L'avvelenamento del template del modello consiste nella manomissione delle istruzioni riutilizzabili, del prompt template o dello scaffold dell'agente che un sistema IA carica per un uso successivo. A differenza di una prompt injection isolata, questo attacca la guida memorizzata che plasma molti output o azioni future. Se un attaccante riesce a modificare quel template, può indirizzare l'uso degli strumenti, cambiare il comportamento di sicurezza, indebolire i vincoli o indurre l'agente a divulgare dati.
È importante perché i template spesso risiedono in file di configurazione, database o archivi di distribuzione che i team considerano più affidabili dell'input utente in tempo reale. In attacchi reali, l'avvelenamento può avvenire tramite controlli di accesso deboli, percorsi di aggiornamento insicuri, compromissione della supply chain o abuso di un servizio locale che scrive le impostazioni dell'agente. Le difese includono accesso con il principio del minimo privilegio, template firmati o versionati, controlli di integrità, separazione tra contenuti utente e istruzioni di sistema e monitoraggio delle modifiche inattese ai template. Tratta i prompt riutilizzabili come codice sensibile dal punto di vista della sicurezza, non come testo modificabile.