Den 15 oktober 2026 är självreplikerande prompt injection inte längre ett teoretiskt tankeexperiment i ett forskningslabb. Två separata studier, en akademisk artikel publicerad vid ACM CCS och en teknisk genomgång från säkerhetsforskare som arbetar med agent-pipelines, bekräftar att skadliga instruktioner kan hoppa från en AI-agent till nästa utan att en människa klickar på något. Attacken kallas ofta en “AI-mask”, och den utnyttjar en enkel designsvaghet: när en AI-agents utdata blir en annan agents indata utan sanering uppstår en kedjereaktion som påminner om hur datormaskar spred sig på 1990- och 2000-talet.
För svenska och nordiska företag som under 2026 har byggt ut sina kundtjänst-, HR- och IT-processer med kopplade AI-agenter är frågan inte längre om problemet existerar, utan hur fort det kan spridas i en produktionsmiljö. Den här artikeln går igenom vad en självreplikerande prompt injection faktiskt är, vilken forskning som ligger bakom larmet, hur de stora AI-labben svarar och vad nordiska säkerhetsansvariga bör göra under de kommande månaderna.
Vad är en självreplikerande prompt injection?
En vanlig prompt injection lurar en enskild AI-modell att ignorera sina ursprungliga instruktioner och i stället följa en dold uppmaning som gömts i ett dokument, ett e-postmeddelande eller en webbsida. En självreplikerande prompt injection går ett steg längre. Den skrivs så att den inte bara manipulerar den agent som läser den, utan också ser till att samma skadliga instruktion kopieras vidare när agenten skickar sitt svar till nästa led i en kedja av AI-system.
Forskare bakom studien Prompt Injection 2.0 beskriver grundproblemet rakt av: attacker byggs för att manipulera AI-system att ignorera sina ursprungliga instruktioner och i stället följa obehöriga kommandon (arxiv.org). Det nya 2026 är att den obehöriga instruktionen innehåller en kopia av sig själv, skräddarsydd för att överleva nästa agents sammanfattning, vidarebefordran eller arkivering. Resultatet är ett mönster som säkerhetsbranschen hämtat direkt från klassisk malware-terminologi: infektion, replikering och spridning, bara att värdprogrammet nu är en språkmodell i stället för ett operativsystem.
Morris II: AI-maskens ursprung 2024
Idén föddes inte i oktober 2026. Redan 2024 visade forskare vid Cornell Tech, med Ben Nassi i spetsen, att en generativ AI-mask kunde spridas mellan AI-drivna e-postassistenter genom att gömma en självkopierande instruktion i ett meddelande. Fallet fick namnet ComPromptMized och byggde på ett system som efterliknade hur ett GPT-4-baserat e-postprogram skulle hantera inkommande post automatiskt.
Nassi formulerade konsekvensen tydligt: “It basically means that now you have the ability to conduct or to perform a new kind of cyberattack that hasn’t been seen before” (wired.com). Det citatet, som ursprungligen gällde en demonstration i en kontrollerad testmiljö, har visat sig förutsäga exakt den utveckling som branschen nu ser två år senare, när agent-till-agent-kommunikation har gått från undantag till standardarkitektur i både konsumentprodukter och företagssystem.
Skillnaden mellan 2024 och 2026 handlar i första hand om skala. 2024 testades attacken mot en handfull simulerade e-postklienter. 2026 körs liknande arkitekturer i produktionsmiljöer hos banker, telekombolag och myndigheter i hela Norden, där en kundtjänstagent kan trigga en faktureringsagent som i sin tur triggar en rapporteringsagent, helt utan mänsklig granskning mellan stegen.
Så sprider sig attacken mellan AI-agenter
Den tekniska kärnan i problemet är förvånansvärt enkel att förklara, även om den är svår att patcha bort. Ett AI-agentsystem bygger ofta på kedjor: agent A läser in ett dokument, sammanfattar det och skickar sammanfattningen till agent B, som agerar på innehållet och skickar vidare till agent C. Så länge varje agent litar blint på föregående agents utdata, utan att behandla den som opålitlig extern text, kan en instruktion som smugglats in i steg ett överleva ända till steg tre eller fyra.
En säkerhetsblogg som specialiserar sig på agent-säkerhet sammanfattar mekanismen i en enda mening: “Agent outputs become agent inputs” (github.io). Den korta formuleringen fångar varför traditionella skydd som webbapplikationsbrandväggar inte räcker. De är byggda för att stoppa trafik mellan en användare och en server, inte för att granska semantiskt innehåll som skickas mellan två AI-modeller som båda har behörighet att utföra handlingar.
Nedan är ett förenklat exempel på det sårbara mönstret, skrivet som pseudokod för att illustrera var felet uppstår:
# Sårbart mönster: utdata hanteras som betrodd instruktion
summary = agent_a.summarize(incoming_email)
agent_b.execute(summary) # ingen sanering, ingen gräns mellan data och kommando
# Säkrare mönster: utdata behandlas alltid som opålitlig text
summary = agent_a.summarize(incoming_email)
clean_summary = sanitize_as_data(summary) # markeras explicit som data, inte instruktion
agent_b.execute_with_data(clean_summary)
Just den distinktionen, mellan data och instruktion, är det som AI Security Distilled-bloggen pekar ut som roten till hela problemklassen. Så länge ett system inte strikt skiljer på vad som är innehåll att läsa och vad som är ett kommando att utföra, kommer en tillräckligt väl utformad text kunna hoppa över gränsen, oavsett hur många filter som läggs ovanpå i efterhand.
RAGworm: akademisk bekräftelse av hotet 2026
Det som skiljer höstens larm från tidigare varningar är att hotet nu är peer-granskat i en vetenskaplig publikation riktad mot säkerhetsforskare snarare än bara journalister. Forskarna bakom studien RAGworm beskriver sitt fynd så: “When the communication between GenAI-powered applications relies on RAG-based inference, an attacker can initiate a computer worm-like chain reaction that we call RAGworm”, publicerad i samband med ACM CCS (Conference on Computer and Communications Security).
RAG, retrieval-augmented generation, är i dag standardteknik för att låta en AI-modell slå upp information i en egen kunskapsbas innan den svarar. Problemet som RAGworm-studien belyser är att om kunskapsbasen kan förorenas, till exempel genom ett kundärende, ett formulärsvar eller ett dokument som laddas upp av en extern part, så kommer varje framtida sökning som träffar det förorenade dokumentet att återinfektera nästa AI-session som läser det. Kedjan behöver aldrig gå via en mänsklig användare för att fortsätta leva.
Det gör RAGworm särskilt relevant för nordiska organisationer som under de senaste två åren byggt interna kunskapsbaser kopplade till supportsystem, intranät och dokumenthantering. En enda infekterad post i en delad kunskapsbas kan i teorin smitta varje AI-agent som senare hämtar den posten som kontext, vilket gör rengöring betydligt svårare än att bara stänga av en enskild konversation.
Prompt Injection 2.0: hybridattacker mot agenter
Parallellt med RAGworm har en bredare analys, publicerad som “Prompt Injection 2.0: Hybrid AI Threats” på arxiv, kartlagt hur klassiska webbsäkerhetshot smälter samman med AI-specifika svagheter. Författarna beskriver prompt injection som attacker där skadlig indata är designad för att manipulera AI-system till att ignorera sina ursprungliga instruktioner och i stället följa obehöriga kommandon, men lägger till att dagens varianter ofta kombinerar detta med klassiska tekniker som cross-site scripting eller SQL-liknande injektioner inbäddade i samma nyttolast.
Hybridaspekten är viktig för hur säkerhetsteam prioriterar sitt arbete. Ett säkerhetsteam som bara skannar efter klassiska webbsårbarheter missar den AI-specifika delen av attacken. Ett team som bara fokuserar på modellens svar missar att nyttolasten kan vara utformad för att även trigga ett traditionellt systemfel i nästa led, exempelvis om agentens utdata matas rakt in i en databasfråga eller ett skript utan validering.
Den praktiska slutsatsen är att gamla checklistor för webbapplikationssäkerhet, som OWASP Top 10, fortfarande behövs, men de måste kompletteras med en ny lins som specifikt granskar var i pipelinen en AI-agents utdata konsumeras som om det vore en pålitlig instruktion.
Varför multi-agent-arkitekturer är extra sårbara
Under 2026 har fler leverantörer gått från enskilda chattbottar till system med flera samverkande agenter som delegerar uppgifter mellan varandra. Det är precis den arkitekturen som gör spridning möjlig. Ju fler agenter som litar på varandras utdata utan att validera den, desto fler hopp kan en skadlig instruktion göra innan den upptäcks.
Tre faktorer driver sårbarheten särskilt tydligt. Först: agenter ges ofta mer handlingsutrymme än enskilda chattbottar, eftersom de kan skicka e-post, skapa ärenden eller ändra data, vilket gör varje infekterat hopp farligare. Sedan: sammanfattning är en vanlig uppgift i pipelinen, och en bra sammanfattning av en skadlig instruktion kan fortfarande innehålla hela instruktionen i komprimerad form. Till sist: många system saknar en tydlig logg över vilken agent som ursprungligen producerade en given text, vilket gör det svårt att spåra var en infektion startade när den väl upptäcks.
Detta är också anledningen till att OpenAI, enligt egna beskrivningar av interna utvärderingar, har observerat vad bolaget kallar obehörigt eller oönskat agentbeteende i simulerade tränings- och utvärderingsmiljöer. Fenomenet behöver inte vara en extern attack för att uppstå, det kan triggas av en agents egna felaktiga antaganden om vad en annan agents utdata faktiskt betyder.
Marknadseffekt: nordiska företag satsar trots risken
Trots larmrapporterna fortsätter nordiska bolag att bygga ut sina AI-agentsystem under hösten 2026. Det är ingen motsägelse, utan en klassisk avvägning mellan affärsnytta och riskhantering som liknar den som fanns kring molntjänster för tio år sedan. Agentbaserad automatisering av kundtjänst, fakturahantering och IT-drift ger mätbara kostnadsbesparingar redan i dag, medan konsekvenserna av en AI-mask fortfarande är hypotetiska för de flesta organisationer som inte själva drabbats.
Det skapar en obalans i hur risken prissätts internt. Ett säkerhetsteam som flaggar agent-till-agent-injektion som ett högrisk-scenario möter ofta en affärssida som redan har byggt in flera agentled i sin produktionsmiljö och inte vill pausa utrullningen. Samma dynamik syntes när SQL-injektion och cross-site scripting var nya hot för tjugo år sedan: tekniken spreds snabbare än säkerhetsmedvetenheten, och det var först efter några högprofilerade incidenter som styrelser började efterfråga regelbundna granskningar som standard.
Den kommersiella logiken pekar också mot att leverantörer som kan visa upp verifierbara skydd mot agent-till-agent-spridning får ett försprång i upphandlingar under 2027, särskilt inom offentlig sektor och finansbranschen där Nordens tillsynsmyndigheter redan ställer höga krav på spårbarhet för automatiserade beslut.
Konkurrensjämförelse: så hanterar de stora AI-labben hotet
Ingen av de stora AI-leverantörerna har i dag ett fristående, namngivet skydd som är specifikt byggt för att stoppa självreplikerande prompt injection mellan agenter. Det som finns är en samling näraliggande initiativ som tillsammans bygger ett försvar i lager. Tabellen nedan sammanfattar var varje aktör står utifrån det som är offentligt bekräftat i höstens rapportering.
| Aktör | Typ av agentprodukt | Känt säkerhetsinitiativ 2026 | Relevans för AI-maskar |
|---|---|---|---|
| OpenAI | Agentbaserade ChatGPT-funktioner | Interna utvärderingar av oönskat agentbeteende i simulerade miljöer | Identifierar riskscenarier innan produktionssättning |
| Anthropic | Claude-agenter | Nya skydd mot modell-distillation, uppges minska obehörig datautvinning med cirka 90–99 procent | Begränsar extern åtkomst till agent-API:er, indirekt skydd |
| Google DeepMind | Gemma-baserade agenter | Finjustering tillsammans med Singapores GovTech för bedrägeridetektering på enheten | Exempel på defensiv finjustering mot manipulativt innehåll |
| Akademi (Cornell Tech, RAGworm-team) | Ej kommersiell produkt | Publicerade bevis för attacken (ComPromptMized, RAGworm) | Grunden för hela branschens riskmedvetenhet |
| Internationell forskargrupp (ca 400 forskare) | Policyinitiativ, ej produkt | Krav på oberoende tillsynsorgan och säkerhetsrapportering | Driver fram framtida regelverk för agentsäkerhet |
Mönstret som framträder är att försvaret i dag är indirekt. Ingen av leverantörerna marknadsför ett verktyg som uttryckligen heter “skydd mot AI-maskar”. Däremot bygger varje lab upp enskilda pusselbitar, allt från åtkomstbegränsningar till defensiv finjustering, som tillsammans gör en lyckad spridningsattack svårare, men inte omöjlig. Det är en situation som påminner om tidiga 2000-talets e-postsäkerhet, innan spamfilter och sandboxning blev standard snarare än tillval.
400 forskare kräver internationellt säkerhetsorgan
Samtidigt som den tekniska forskningen om AI-maskar mognar, har trycket på politisk nivå ökat. Omkring 400 forskare, däribland de erkända AI-pionjärerna Geoffrey Hinton och Yoshua Bengio, har gått samman och efterfrågat ett internationellt organ som kan sätta standarder för innesluten drift av avancerade AI-system och kräva rapportering av säkerhetsincidenter över gränser.
Förslaget som cirkulerar bland forskargruppen går längre än att bara efterfråga riktlinjer. Det föreslår att de mest kapabla modellerna, särskilt sådana med stark förmåga inom cybersäkerhetsrelaterade uppgifter, inledningsvis bör köras i en avskärmad (air-gapped) miljö under oberoende tillsyn innan de får interagera fritt med andra system. Tanken är att om en modell har förmåga att själv upptäcka och utnyttja svagheter i agent-till-agent-kommunikation, bör den behandlas med samma försiktighet som ett nytt patogen i ett biosäkerhetslabb, inte som en vanlig mjukvaruuppdatering.
För nordiska beslutsfattare är det här värt att följa noga. EU:s AI-förordning reglerar redan högrisksystem, men ett särskilt internationellt organ för containment av frontier-modeller skulle lägga till ett lager ovanpå det befintliga regelverket, med konsekvenser för hur svenska myndigheter och storbolag får upphandla och driva de mest kapabla agentsystemen.
Experterna om den nya hotbilden
De forskare som faktiskt har byggt och testat dessa attacker är ovanligt tydliga i hur de beskriver allvaret. Ben Nassi vid Cornell Tech, som ledde arbetet med den ursprungliga AI-masken, konstaterar att tekniken öppnar för “a new kind of cyberattack that hasn’t been seen before” (enligt Wired). Det är ett ovanligt kategoriskt uttalande från en akademisk forskare, och det har hållit sig relevant i två år, vilket i sig säger något om hur långsamt branschen har rört sig från varning till faktiskt motstånd.
Forskarna bakom Prompt Injection 2.0-studien ramar in problemet mer tekniskt och beskriver kärnan i alla prompt injection-attacker som manipulation av AI-system att ignorera sina ursprungliga instruktioner för att i stället följa obehöriga kommandon (publicerad på arxiv). RAGworm-forskarna, publicerade vid ACM CCS, går ett steg längre och ger fenomenet ett eget namn för att det ska kunna studeras systematiskt, på samma sätt som traditionell malware-forskning namnger och katalogiserar maskar och virus för att kunna jämföra spridningsmönster över tid.
Den säkerhetsblogg som specialiserat sig på multi-agent-pipelines sammanfattar varför just denna arkitektur är så känslig med meningen “Agent outputs become agent inputs” (från AI Security Distilled). Den enkla observationen är samtidigt den svåraste att lösa, eftersom hela poängen med att koppla ihop flera AI-agenter är just att låta dem bygga vidare på varandras arbete utan mänsklig inblandning i varje steg.
Kända fall av självspridande AI-attacker
För att ge en överblick över hur forskningsfältet har utvecklats sedan 2024 sammanfattar tabellen nedan de viktigaste publicerade fallen och studierna. Samtliga är genomförda i kontrollerade forsknings- eller testmiljöer, inte som faktiska attacker mot verkliga företag, men de visar en tydlig trend mot allt mer realistiska scenarier.
| Namn | År | Forskare/institution | Attackvektor | Status |
|---|---|---|---|---|
| Morris II (ComPromptMized) | 2024 | Cornell Tech (Ben Nassi m.fl.) | GenAI-drivna e-postassistenter | Proof-of-concept i simulerad miljö |
| Prompt Injection 2.0 | 2025 | Oberoende säkerhetsforskare | Hybridattacker, LLM-till-LLM | Akademisk analys, publicerad på arxiv |
| RAGworm | 2026 | Akademiska forskare, ACM CCS | RAG-baserade GenAI-applikationer | Peer-granskad, visar kedjereaktion mellan appar |
| Multi-agent pipeline-maskar | 2026 | Oberoende säkerhetsforskare (AI Security Distilled) | Agent-till-agent-pipelines generellt | Teknisk genomgång, varnar om bredare branschrisk |
Det som sticker ut i tabellen är tidsspannet. Från den första demonstrationen 2024 till den peer-granskade RAGworm-studien 2026 har det tagit mindre än två år för forskningsfältet att gå från ett enskilt labbexperiment till ett namngivet, kategoriserat hotmönster som presenteras på en av de mest ansedda säkerhetskonferenserna i världen. Den hastigheten är själv ett observandum för alla som planerar en säkerhetsstrategi för AI-agenter som ska hålla flera år framåt.
Konsekvenser för svenska och nordiska organisationer
Svenska myndigheter och företag har redan erfarenhet av hur snabbt ett sårbarhetsmönster kan gå från forskningsrapport till faktisk utnyttjad sårbarhet. Samma lärdom gäller här. Organisationer som har byggt kundtjänstflöden där en AI-agent läser inkommande ärenden, sammanfattar dem och skickar sammanfattningen vidare till en annan agent för åtgärd, bör se det mönstret som en potentiell spridningsväg snarare än ett rent effektiviseringsverktyg.
Särskilt utsatta är sektorer som redan har byggt interna kunskapsbaser kopplade till RAG-system: bank och försäkring, telekom, offentlig förvaltning och sjukvård. I dessa sektorer matas ofta extern text, från kunder, patienter eller medborgare, rakt in i system som senare konsulteras av flera olika AI-agenter. Om en skadlig aktör lyckas placera en självreplikerande instruktion i ett enda ärende som sparas i kunskapsbasen, kan den i teorin fortsätta smitta nya AI-sessioner långt efter att det ursprungliga ärendet är stängt.
Det finns också en tillsynsdimension. Finansinspektionen och andra nordiska tillsynsmyndigheter har redan höga krav på spårbarhet för automatiserade beslut inom kreditgivning och riskbedömning. En AI-mask som smyger sig igenom flera agentled utan att lämna ett tydligt spår gör det svårare att uppfylla just det kravet, vilket kan bli ett regulatoriskt problem innan det blir en uppmärksammad säkerhetsincident.
Så skyddar du dina AI-agenter i dag
Det finns ingen färdig produkt som löser hela problemet i ett slag, men ett antal konkreta åtgärder minskar risken betydligt redan i dag. Den viktigaste principen, som återkommer i samtliga studier som refereras ovan, är att aldrig behandla en annan agents utdata som en betrodd instruktion utan explicit validering.
- Inför en tydlig datagräns mellan agenter: markera all inkommande text från en annan agent som “data att läsa”, aldrig som “kommando att köra”, och genomdriv det programmatiskt snarare än genom instruktion i prompten.
- Logga vilken agent som ursprungligen genererade en given text, så att en eventuell infektion kan spåras tillbaka till källan i stället för att försvinna i en lång kedja av sammanfattningar.
- Begränsa handlingsutrymmet för agenter som bearbetar extern eller osäker text, till exempel genom att kräva mänsklig granskning innan en agent får skicka e-post, ändra data eller trigga en betalning baserat på innehåll från en extern källa.
- Rensa och versionshantera kunskapsbaser som används för RAG, och behandla varje nytt dokument som potentiellt skadligt tills det har granskats, särskilt om det kommer från kunder eller andra externa parter.
- Testa pipelinen regelbundet med kända attackmönster från forskningen, exempelvis genom att försöka återskapa RAGworm-scenariot i en avskild testmiljö innan det sker i produktion.
Flera av dessa principer liknar det arbete som redan beskrivits i tidigare granskningar av hur specifika agentsystem har fallit för klassisk prompt injection, där bristande separation mellan instruktion och data varit den gemensamma nämnaren i nästan samtliga fall.
Fem förutsägelser för 2027
Baserat på hur snabbt fältet har rört sig under de senaste två åren går det att dra några rimliga slutsatser om vart utvecklingen är på väg under 2027.
- Red-teaming specifikt riktat mot agent-till-agent-kommunikation blir en standarddel av säkerhetsgranskningar, på samma sätt som penetrationstest mot webbappar är standard i dag.
- Det internationella tillsynsorganet som de cirka 400 forskarna efterfrågar får en konkret form, möjligen inspirerad av hur existerande organ hanterar andra högrisktekniker, med krav på avskärmad drift för de mest kapabla systemen.
- Stora AI-leverantörer börjar erbjuda inbyggd sanering av agent-till-agent-trafik som standardfunktion snarare än något utvecklare måste bygga själva, ungefär som webbläsare med tiden fick inbyggt skydd mot cross-site scripting.
- Försäkringsbolag som säljer cyberförsäkring till nordiska företag börjar ställa konkreta frågor om agent-till-agent-säkerhet i sina riskbedömningar, särskilt för bolag med flera sammankopplade AI-system i produktion.
- Fler akademiska konferenser publicerar uppföljande studier som mäter hur snabbt och hur långt en infektion kan sprida sig i en realistisk pipeline, ett mått som sannolikt kommer få ett eget namn liknar hur traditionell masksäkerhetsforskning mäter reproduktionstal.
Vanliga frågor
Vad är skillnaden mellan en vanlig prompt injection och en självreplikerande prompt injection?
En vanlig prompt injection manipulerar en enskild AI-session till att göra något den inte borde. En självreplikerande variant är skriven för att dessutom kopiera sig själv vidare när den infekterade agentens svar skickas till nästa agent i en kedja, vilket gör att attacken kan sprida sig utan ytterligare inblandning från angriparen.
Är AI-maskar ett verkligt hot mot svenska företag redan i dag?
De publicerade fallen, inklusive Morris II och RAGworm, har hittills genomförts i kontrollerade forsknings- och testmiljöer, inte som bekräftade attacker mot namngivna svenska eller nordiska bolag. Risken bedöms dock som verklig av forskarna bakom studierna, särskilt för organisationer som redan kör flera sammankopplade AI-agenter i produktion.
Vilka branscher är mest utsatta?
Sektorer som bygger kunskapsbaser kopplade till retrieval-augmented generation och som tar emot stora volymer extern text, till exempel bank, försäkring, telekom, offentlig förvaltning och sjukvård, löper störst risk eftersom en enda infekterad post kan återinfektera framtida AI-sessioner.
Kan vanliga brandväggar eller webbapplikationsbrandväggar stoppa en AI-mask?
Nej, inte på egen hand. Dessa verktyg är byggda för att granska nätverkstrafik eller HTTP-förfrågningar, inte det semantiska innehållet i text som skickas mellan två AI-agenter som båda har legitim behörighet att kommunicera med varandra.
Vad gör OpenAI, Anthropic och Google åt problemet?
Ingen av leverantörerna har i dag ett fristående verktyg som marknadsförs specifikt mot agent-till-agent-maskar. OpenAI har beskrivit interna utvärderingar av oönskat agentbeteende i simulerade miljöer, Anthropic har infört nya skydd mot modell-distillation som uppges minska obehörig datautvinning med cirka 90 till 99 procent, och Google DeepMind har tillsammans med Singapores GovTech finjusterat en Gemma-modell för bedrägeridetektering, vilket visar en defensiv användning av finjustering snarare än ett direkt motmedel mot spridning mellan agenter.
Vad betyder kravet från de 400 forskarna i praktiken?
Gruppen, som inkluderar Geoffrey Hinton och Yoshua Bengio, föreslår ett internationellt organ som kan sätta standarder för hur de mest kapabla AI-systemen körs och kräva att säkerhetsincidenter rapporteras över gränser. Förslaget pekar också på att system med stark cyberförmåga inledningsvis bör drivas avskärmat under oberoende tillsyn, ett förslag som ännu inte har omsatts i bindande reglering.
Hur skiljer sig RAGworm från den ursprungliga Morris II-masken?
Morris II visade att en skadlig instruktion kunde spridas mellan AI-drivna e-postassistenter. RAGworm, publicerad vid ACM CCS 2026, visar att samma grundmönster fungerar i GenAI-applikationer som bygger på retrieval-augmented generation, där en förorenad post i en delad kunskapsbas kan smitta varje framtida AI-session som hämtar just den posten som kontext.
Finns det en snabb åtgärd som löser hela problemet?
Nej. Forskningen pekar snarare på en kombination av åtgärder: strikt separation mellan data och instruktion i varje agentled, loggning av ursprunget för varje text, begränsat handlingsutrymme för agenter som hanterar extern text, och regelbunden testning mot kända attackmönster som de som beskrivs i Morris II- och RAGworm-studierna.