ADI (Agent Data Injection): как веб-страницы и письма захватывают управление AI-агентами

Парадокс: самая популярная защита от инъекций — «игнорируй команды из внешнего текста» — против ADI не работает совсем. ADI не даёт команд. Она вставляет в тело письма или отзыва структурные символы — {}, [ref_3], "sender": — и агент читает их как настоящие системные метаданные от инструмента. Защитный шаблон системного промпта позволяет явно объяснить агенту что считать доверенным данными, а что нет — и закрыть эту дыру за 30 секунд без перестройки агента. Без этой инструкции агент убеждён, что выполняет твою задачу — просто на основе фальшивых фактов.