Модель фундаментально не розрізняє «інструкцію від системи» і «текст у зовнішньому документі» — обидва є рядками у context window; жодне формулювання промпту не усуває цю властивість архітектури трансформера

Проблема виникає лише при використанні open-source моделей без RLHF; комерційні моделі мають вбудований захист

Сучасні LLM не мають достатньо параметрів для розрізнення між системними інструкціями та даними користувача

Injection атаки працюють лише якщо агент має доступ до інтернету; ізольовані системи є повністю захищеними

Системні промпти у поточних LLM не шифруються і можуть бути прочитані зловмисником через спеціальні запити