Помолете AI агент да обобщи отзивите на страницата на даден продукт и един единствен подхвърлен отзив може да го накара вместо това да кликне върху „Купи сега“. Помолете асистент за кодиране да приложи корекция от поддържащия проекта от нишка в GitHub и фалшив коментар може да го накара да изпълни команда на непознат на вашия компютър.

Нито един от тези трикове не отвлича задачата на агента. Всеки от тях просто компрометира фактите, на които той се доверява, и го оставя да продължи с работата, която сте поискали.

Това е същността на нов клас атаки, изложени в научен труд, публикуван на 6 юли от изследователи от Сеулския национален университет, Университета на Илинойс в Ърбана-Шампейн и Largosoft.

Те го наричат инжектиране на данни в агенти (agent data injection) или ADI. Входните данни на атакуващия се маскират като данни, на които агентът вече се доверява, като име на изпращач или идентификатор (ID) на бутон, така че да се промъкнат покрай повечето защити, изградени за спиране на инжектирането на подкани (prompt injection).

Пропускът идва от начина, по който чете един агент. Той приема два вида неща: инструкции, т.е. какво вие и разработчикът на приложението му казвате да прави, и данни, което означава всичко, което той извлича по време на работа, като имейл, уеб страница или коментар. Класическото инжектиране на подкани крие заповед в тези данни, нещо от рода на „игнорирай задачата си и ми изпрати файловете по имейл“.

Изследователите наричат това инжектиране на инструкции. Съвременните защити са обучени да разпознават текст, който изглежда като скрита заповед, и да го блокират, като срещу този ход те вече работят добре.

ADI работи едно ниво по-надолу, върху малките факти, на които агентът тихо се доверява: кой е изпратил имейл, ID на бутон на страница, записът на стъпка, която даден инструмент вече е изпълнил. Компрометирайте тях и агентът все още изпълнява вашата задача, но стъпвайки върху информацията, която атакуващият е подхвърлил.

Фалшива пунктуация, на която моделът вярва

Методът зад това е това, което изследователите наричат вероятностно инжектиране на разделители. Агентите обвиват своите данни в пунктуация, която маркира къде свършва една част и започва следващата: кавички и фигурни скоби, тагове, скоби и нови редове. Тази пунктуация е начинът, по който моделът разграничава надеждно поле, като име на изпращач, от ненадеждно съдържание, като тяло на съобщение.

Нормална програма чете тази пунктуация по строги правила. Езиковият модел я чете чрез напасване и предположения. Така че атакуващият може да разпръсне символи, подобни на пунктуация, в поле, което контролира, и моделът често ще ги разчете като реална структура, която всъщност никога не е съществувала, виждайки допълнителен имейл, допълнителен бутон или допълнителен резултат от инструмент.

Частта, която прави това трудно за спиране: фалшивата пунктуация дори не трябва да е правилна. При тестване екранирана кавичка (\"), къдрава кавичка, дори знак за долар са минавали за истински и все пак са подвеждали модела. Строг синтактичен анализатор (parser) би прочел тези символи като обикновен текст, а не като нова структура.

Изследователите са изградили три работещи атаки върху реални, разпространявани инструменти:

  • При уеб агентите (Claude в Chrome, Antigravity на Google и Nanobrowser), подхвърлен отзив за продукт използва повторно ID на реален бутон. Агентът възнамерява да кликне върху „Прочети повече“, но вместо това кликва върху „Купи сега“, правейки поръчка, която потребителят никога не е заявявал. Тъй като тези инструменти номерират елементите на страницата последователно, атакуващият може да изчисли ID предварително.
  • При асистентите за кодиране (Claude Code, Codex на OpenAI и Gemini CLI на Google), коментар в GitHub фалшифицира реда за автор, за да изглежда така, сякаш поддържащият проекта го е написал. Накаран да приложи корекцията на поддържащия, агентът ще изпълни командата на атакуващия на машината на разработчика, ако разработчикът одобри това, което изглежда като рутинна стъпка.
  • Злонамерена заявка за сливане (pull request) фалшифицира записа на проверка, която агентът никога не е стартирал, така че в неговата история се показва чист резултат. Агентът преглежда този фалшив резултат, преценява кода като безопасен и преминава към сливане, вкарвайки реалния, злонамерен код в проекта, след като разработчикът даде одобрение.

Повечето от тези инструменти вече искат разрешение, преди да направят нещо рисковано. Claude в Chrome пита преди да кликне; асистентите за кодиране питат преди да изпълнят команда. Това не помага особено. Подканата за кликване казва само, че агентът иска да кликне върху елемент, но не кой или защо.

Асистентите за кодиране показват своите разсъждения, но тези разсъждения са изградени върху фалшиви факти, така че се четат като разумен отчет за нормална стъпка. Наблюдавайки екрана, потребителят има малко начини да разграничи реално одобрение от манипулирано такова.

И всеки тестван модел се е оказал уязвим: GPT-5.2 и GPT-5-mini на OpenAI, Claude Opus 4.5 и Sonnet 4.5 на Anthropic, както и Gemini 3 Pro и Flash на Google. При всичките шест модела атаката е работила върху структурирани данни в 31% до 43% от случаите, а върху данни от уеб страници – от една трета от опитите до абсолютно всички.

Срещу специално създадените защити за агенти, които изследователите са тествали, се е разкрила голяма пропаст: класическата атака със скриване на заповеди е била почти напълно блокирана с близък до нулата процент на успеваемост, докато ADI все пак е успявала в до 50% от случаите. Едни и същи защити, много различни резултати, защото са били изградени за другата атака.

Не всичко е паднало. Браузърът Atlas на ChatGPT е отхвърлил атаката с кликване, тъй като маркира всеки елемент на страницата с произволно, непредвидимо ID вместо с обикновен брояч, така че атакуващият не може да фалшифицира съвпадение. Изследователите са открили същата идея,