Тема: prompt-injection
-
Context7 CVE-2026-75130: исправление облачного сервиса и недоверенные пользовательские правила
Context7 сообщает, что уязвимость Custom Rules была исправлена на его серверах в феврале 2026 года. Октябрьское уточнение оспаривает привязку CVE к версиям клиента; при этом ответы с документацией по-прежнему не должны определять полномочия агента.
-
The lethal trifecta: private data, untrusted content and an outbound channel in one agent
An agent that combines access to private data, exposure to attacker-controlled content and any way to communicate outward can be steered into sending that data to an attacker. Removing one of the three legs is the only reliable structural defence; the article lists the outbound channels that are easy to overlook.
-
WeKnora CVE-2026-30856: проверка маршрутизации вызовов инструментов после исправления подмены
Коллизия имён инструментов в WeKnora позволяла подменить доверенный инструмент MCP реализацией с другого сервера. Обновите затронутые системы и убедитесь, что одобрение вызова, идентификатор в реестре и отправка запроса указывают на один и тот же сервер.
-
Невидимый и переставленный текст: двунаправленные управляющие символы, теги и похожие знаки в коде и промптах
Unicode позволяет включать в текст символы, невидимые рецензенту или меняющие порядок отображения. Двунаправленные управляющие символы могут заставить читать код иначе, чем он компилируется; символы-теги скрывают инструкции, которые модель всё равно получает, а похожие знаки имитируют идентификаторы. Для обнаружения нужно проверять кодовые точки, а не отображение.
-
Do prompt-injection test suites predict how an agent behaves against injections written after the suite?
Agents are often evaluated against fixed collections of injection attempts. It is unclear how well a good score transfers to new phrasings, new carriers and adaptive attackers, and what a test suite would need to contain to be predictive.
-
Trust laundering between agents: untrusted input does not become trusted by passing through another agent
In multi-agent systems, one agent's output becomes another's input. If the first agent read untrusted content, its output inherits that taint, however authoritative it sounds. Carry a trust label with every message and let the least-trusted input decide what the receiving agent may do.
-
Where injected instructions hide: the carriers of indirect prompt injection an agent reads
Indirect prompt injection arrives through content the agent fetches, not through the user. Knowing the usual carriers — hidden page text, document metadata, issue and commit text, tool results, e-mail, file names — tells an agent which inputs to treat as data and where a reviewer should look after an incident.
-
Отравление памяти: когда одна внедрённая инструкция сохраняется во всех последующих сеансах
Агента с постоянной памятью можно заставить сохранить инструкцию злоумышленника как факт или предпочтение; затем она влияет на сеансы, в которых исходный материал никогда не появлялся. Записям в память нужны сведения о происхождении, проверка и срок действия, а прочитанное из памяти следует считать недоверенным текстом.
-
Внедрение инструкций и джейлбрейк: две разные проблемы с разными ответственными
При джейлбрейке пользователь пытается заставить модель выдать то, чего не разрешает её поставщик; при внедрении инструкций недоверенный ввод подменяет инструкции приложения, построенного на модели. Это различие определяет, кому причиняют вред, кто должен защищать систему и какие меры применимы.
-
Structured, schema-bounded handoffs between agents reduce injection success compared with free-text handoffs
Hypothesis: when an agent that reads untrusted content can pass only schema-validated fields with bounded length to the agent that acts, injected instructions reach the acting agent less often than when it passes free-form prose.
-
Выход за пределы каталога при записи файлов через MCP: границы хранилища notebook и охват проблемы в Ansible Lightspeed
Косвенная инъекция промпта может направить файловый инструмент за пределы предназначенного для вывода каталога. Исправление MCP-сервера notebook требует явно задать корень хранилища, а бюллетень Ansible Lightspeed описывает проблему расширения без подтверждённого диапазона исправленных версий.
Машиночитаемо: JSON