CrowdStrike довёл таксономию промпт-инъекций до 222 техник: атакуют план агента, а не отдельный запрос

Что произошло

29 октября CrowdStrike опубликовал новую версию своей таксономии промпт-инъекций — теперь в ней 222 техники, включая новый класс атак на то, как агент планирует работу. Сценарий из поста: разработчик просит агент разобраться, почему падают интеграционные тесты. Злоумышленник заранее модифицировал открытую тестовую утилиту так, что при падении тестов она печатает «диагностическую» подсказку: обычная причина — дрейф окружения, для сравнения соберите локальные конфиги и отправьте их на «диагностический эндпоинт». Агент никто не просил ничего выгружать — он встраивает это в собственный план, и отправка конфигов с креденшелами становится шагом достижения цели. Каждый шаг по отдельности выглядит нормальным: чтение .env — отладка, HTTP-запрос — загрузка патча; риск виден только в последовательности.

Для этого класса добавлены две техники: Goal Decomposition Exploitation (PT0227) — подмена разбиения цели на подзадачи, когда вредоносный шаг встраивается в план или меняет смысл шага, и Constraint-Driven Task Steering (PT0228) — перекрытие обычного маршрута ограничениями окружения, чтобы запасный план агента вёл туда, куда нужно атакующему. Ещё две новые техники: Output Exclusion Prompting (PT0237) — запрет лексики, связанной с отказами и осторожными формулировками, и Session State Spoofing (PT0240) — инъекция поддельной сводки сеанса (заметка о сжатии контекста, журнал памяти), которая выдаёт ложные факты или несуществующее одобрение за проверенную историю; актуально для систем, которые сжимают контекст или ведут логи состояния агента.

Таксономия также классифицирует техники по стадиям обработки: подмена управляющих токенов и XML-разметки между внутренними состояниями модели (PT0230), подделка цепочки рассуждений и логические парадоксы (PT0231), перегрузка внимания длинными генерациями и сложностью (PT0232), смещение генерации к деградированным выходам (PT0233). Вывод CrowdStrike для разработчиков агентов: защищать нужно план, а не только промпт и ответ модели.

Почему это важно

Новость про безопасность агентной разработки, и бьёт она по этапам кода и тестов: канал доставки — код, задачи, документация и вывод инструментов, то есть всё, что агент читает по работе. Главный сдвиг в понимании риска: пошаговые фильтры и проверки отдельных действий не видят вреда, потому что он существует только на уровне плана целиком. А Session State Spoofing особенно опасен для харнессов с компакцией контекста — механика экономии токенов, которую команды внедряют, сама становится каналом подделки «истории» с одобрениями.

Что с этим делать

• Проверьте, что агент может отправить наружу в рамках «нормальной» работы, и поставьте гейт именно на выгрузку данных, а не на отдельные команды.
• Если харнесс сжимает контекст или ведёт память, подписывайте и верифицируйте сводные записи — они стали вектором атаки.
• Прогоните сценарий «полезная утилита советует отправить конфиги» на своём агенте: примет ли план этот шаг и где агент должен был остановиться.