وسم
لم يعد الهجوم مضطرًا للوصول إلى الضحية مباشرة، فيكفي أن يصل إلى agent يرد عليها. والسؤال الحاسم صار قدرة الـ agent على التمييز بين نص الرسالة وأوامر صاحبه.
حين يقرأ agent نصًا يكتبه أي غريب، ويعمل في المكان نفسه الذي تُحفظ فيه المفاتيح، يصبح كل repo عام بهذا الإعداد مفتوحًا لمن يجيد كتابة تعليق.
أي agent يقرأ من مصدر يستطيع طرف خارجي الكتابة فيه، ويملك أداة تصل إلى الخارج، هو قناة تسريب محتملة بطبيعته إلى أن يثبت العكس.
حين يقرأ الـ agent صندوق البريد، يصبح أي شخص في العالم قادرًا على وضع نص أمامه، والنص قد يحمل تعليمات موجهة إليه وهو يملك صلاحية الإرسال.
مجرد قراءة كود غير موثوق صارت مخاطرة حين يقرؤه وكيل قادر على التنفيذ، والخطأ هنا في الأدلة المزورة لا في منطق النموذج، فلا يعالجه نموذج أذكى.
الخطر لا يأتي من أداة جديدة مشبوهة، بل من أداة وافق عليها الفريق من قبل ثم تغيّر وصفها بصمت، لأن البروتوكول يخلط التعليمات بالبيانات في مكان واحد.
كل ما يقرؤه الـ agent من محتوى خارجي قد يتحول إلى تعليمات، ولذلك تصبح حدود صلاحياته هي خط الدفاع الحقيقي لا ذكاء النموذج.