DEFER (DEterministic-First Enforcement with Residual judgment): жёсткие правила решают первыми, LLM-судья получает только остаток

LLM-судья без правил почти ничего не защищает: атаки проходят с ним так же часто, как вообще без защиты. Метод DEFER позволяет защитить агента, который тратит деньги и вызывает инструменты, от подмены команд в чужом тексте. Фишка: судья читает тот же текст, что написал атакующий, и легко с ним соглашается, поэтому сначала идут правила, которым красноречие всё равно. Каскад из 28 проверок (список инструментов, лимиты, защита от повторов) снимает всё проверяемое. Судьям из 4 разных семейств моделей остаётся только остаток, и атаки проходят примерно в 10 раз реже.