Типизированный ответ не защищает: как инъекции и отравленные модели ломают LLM-слой решений

Во многих автоматизациях LLM или быстрая модель-классификатор выбирает следующий шаг: куда направить заявку, одобрить ли возврат, насколько срочный тикет. На вход идёт «состояние» (данные системы плюс текст пользователя), вопрос и список допустимых ответов. На выходе — вариант или вероятность «да». Исследование показывает: такой слой решений легко переключить текстом, который вписал пользователь. Ограничение вывода (выбрать из трёх вариантов, ответить «да/нет») от этого не защищает.