Prompt injection: объяснить и защититься

Образцовый ответ: «Модель получает и инструкции, и данные одним текстом, поэтому любая строка в контексте может попытаться ею управлять. Прямая инъекция, это когда пользователь пишет "забудь правила". Косвенная опаснее: инструкция лежит в письме, на странице или в документе, а агент её читает. Надёжного фильтра нет, поэтому я исхожу из того, что модель могут обмануть, и ограничиваю последствия. Инструменты узкие и работают с правами текущего пользователя. Чувствительные действия, вроде отправки писем и платежей, только после подтверждения. Данные пользователей изолированы. Внешние картинки и ссылки в ответе не рендерю или пропускаю только белый список. Сверху фильтры: классификатор инъекций, проверка ответа. И аудит вызовов инструментов. Тестирую набором атак, включая косвенные через документы, и регулярно его пополняю».