Содержание слайдов

1. 1. Стены для агента: шесть паттернов против инъекций

   Как ограничить агента после чтения чужих данных — и сколько стоит доказуемая защита

2. 2. Четыре остановки: от принципа к цене

   Принцип, шесть паттернов, десять кейсов и измерение CaMeL

3. 3. Эвристики поднимают планку, но гарантий не дают

   Три уровня защиты из раздела 2 и почему авторы ставят на изоляцию

4. 4. Чужие данные не должны запускать значимых действий

   Агент действует и дальше: инъекция меняет текст письма, но не адресата

5. 5. Пять практик нужны любому агенту

   Приложение A: гигиена в дополнение к паттернам

6. 6. Модель выбирает действие, но не видит результат

   Action-selector: LLM — переключатель между заранее заданными действиями

7. 7. План фиксируют до чтения данных

   Plan-then-execute: инъекция меняет аргументы, но не набор вызовов

8. 8. Каждый документ читает отдельная изолированная модель

   LLM map-reduce: инъекция заперта в своём документе

9. 9. Привилегированная модель видит только имена переменных

   Dual LLM: чужие данные читает модель без инструментов

10. 10. План становится программой с вызовами моделей

    Code-then-execute обобщает план и две модели; так устроен CaMeL

11. 11. Запрос пользователя убирают из контекста

    Context-minimization: защита от инъекции в самом запросе

12. 12. У каждой стены своя щель

    Что инъекция ещё может и чем платят за каждую стену

13. 13. Десять кейсов — разные наборы паттернов

    Таблица 1, наш подсчёт: 18 отметок, чаще всех — две модели

14. 14. Безопасный агент разработки видит только API

    Подтверждения обходят, песочница душит, строгий формат режет пользу

15. 15. Две модели защищают план, но не данные

    Инъекция в заметках встречи меняет адресата и документ, не трогая план

16. 16. CaMeL проверяет каждое значение перед вызовом

    Код пишет P-LLM, данные разбирает Q-LLM, политики проверяет интерпретатор

17. 17. Цена защиты зависит от модели

    AgentDojo без атаки: штатный вызов инструментов против CaMeL

18. 18. Атаки AgentDojo почти исчезают

    Успешные атаки из 949: штатный вызов против CaMeL с политиками

19. 19. Гарантии CaMeL покрывают не все атаки

    Запрос и память считаются доверенными; атаки «текст в текст» — вне цели

20. 20. Побочные каналы подтачивают сильные гарантии

    Три примера раздела 7: счётчик загрузок, исключение и время

21. 21. Авторы отвечают: инъекции не решены

    Политики пишут люди, пользователь устаёт, возможны атаки в духе ROP

22. 22. Стены — это код, а не промпт

    Связь с докладом: авторизацию не делегируют модели, дыры закрывает код

23. 23. Защищают не модель, а архитектуру вокруг неё

    Две рекомендации авторов и цена, которую измерил CaMeL