В сообществе AI-разработчиков обсуждают новую работу OpenAI про самораспространяющиеся prompt-инъекции на агентах. Речь идёт о том, что вредоносный prompt может быть встроен так, чтобы при взаимодействии одного агента с другим сам себя копировал дальше — как компьютерный червь, но в цифровом виде. Это не теоретический сценарий, а документированный механизм, и сообщество реагирует как на качественно новый уровень проблемы.

До этого атаки на AI в основном требовали прямого вмешательства — нужно было вручную подсунуть вредонос в prompt конкретной системе. Теперь же атаке хватает проникнуть один раз в одного агента, а дальше она может распространяться сама по цепочке взаимодействий. Если у вас есть сетевая инфраструктура из AI-агентов, которые обмениваются информацией, потенциально один заражённый узел может вызвать каскадный отказ. Раньше это звучало как гипотеза на конференциях, теперь это задокументированный факт.

Важно понимать контекст: это касается в первую очередь систем, где агенты активно общаются друг с другом и выполняют задачи через цепочку взаимодействий. Типичный пример — многоагентные системы для управления рабочими процессами, где один агент передаёт результаты другому. Если в этой цепочке один звено скомпрометировано, и оно может передавать malicious prompts дальше, масштаб проблемы резко растёт. Это уже не вопрос одного сервиса, это вопрос архитектурного риска.

Сообщество разделилось на две позиции. Одни говорят, что это закономерный этап развития и проблема решаема с правильной архитектурой (валидация входящих промптов, изоляция агентов, логирование). Другие видят в этом фундаментальный вызов для безопасности распределённых AI-систем, который не решить микропатчами. Обе стороны согласны в одном: необходимо начинать думать о безопасности multi-agent систем серьёзнее.

Для российского бизнеса, который начинает внедрять AI-агентов в автоматизацию процессов, это особенно актуально. Если вы строите систему на базе нескольких взаимодействующих агентов — например, для обработки заказов, контроля качества или управления документооборотом — нужно с самого начала закладывать архитектурные ограничения: валидацию промптов на границах между агентами, контроль над тем, какие данные и в каком виде передаются, логирование всех взаимодействий. Это увеличивает сложность, но без этого риск логистический: если один агент скомпрометирован, он может вывести из строя весь конвейер.

Работа OpenAI полезна тем, что явно показывает механизм проблемы, а не просто предупреждает об угрозе. Это даёт архитекторам конкретную точку, на которой нужно сосредоточиться при проектировании систем. Пока это касается в основном сложных multi-agent сценариев, но по мере упрощения развёртывания агентов риск будет расширяться.