Target Rebinding: как подделка структуры промпта заставляет защитную модель проверять не тот текст

Парадокс: фраза «игнорируй всё выше» не сработала ни разу, а поддельная пара «вопрос + документ» пропустила 75 из 75 запросов, которые защитная модель (гард) блокировала. Метод позволяет проверить свой LLM-фильтр на подмену структуры. Пример: модератор чата в n8n или Make, который решает «да/нет» перед отправкой сообщения дальше. Гарда не уговаривают. В хвост сообщения дописывают свои метки и с безобидной фразой. Модель не слушается чужой команды, она теряет, какой текст настоящий, и оценивает последнюю законченную пару. Вредное сообщение при этом лежит выше, нетронутое.