Carryover-атаки: отложенная инъекция, которая живёт в файлах памяти и расписании агента

Обнаружено: стоит агенту один раз записать вредное правило в свой файл памяти или расписания, и он выполняет его почти всегда. Срабатывания не затухают: за 5 новых сессий подряд доля не падает. Исследование показывает, куда ставить защиту агента с долгой памятью и таймером: на запись в файлы и на исходящие действия, а не только на текст системного промпта. Одно письмо заставляет агента записать приказ в MEMORY.md или HEARTBEAT.md, и дальше агент сам исполняет его при каждом запуске. Атакующий давно ушёл, а carryover-атака (атака с переносом) продолжает работать. Текстовые защиты в основном режут закладку, а срабатывание почти не трогают.