Ciphered Skill Injection (CSI): как зашифрованная инструкция в стороннем скиле заставляет агента выполнить чужую команду

Обнаружено: «агент расшифровал» и «агент выполнил» — это два разных события. Одни модели расшифровывают почти всё, но почти ничего не исполняют. Другие расшифровывают реже, но исполняют охотно. Исследование CSI (Ciphered Skill Injection, внедрение шифрованной инструкции через скил) позволяет проверить на безобидной «канарейке», выполнит ли ваш агент команду, спрятанную в стороннем скиле (скил — это файл SKILL.md с инструкциями для агента). В SKILL.md кладут строку шифртекста и подсказку «расшифруй строку выше». Агент берётся за обычную задачу, читает скил с полным доверием и сам расшифровывает шифр Цезаря (сдвиг букв). Читаемой команды в тексте нет, поэтому сканеры скилов такие вставки редко ловят.