Відео з рецептом не повинно мати доступу до картки

Відео не має ставати платіжною командою

Я б не давав агенту ланцюжок «побачив рецепт, купив продукти» без жорсткої межі між розпізнаванням контенту та виконанням транзакції. Ролик, стаття, скриншот або відповідь зовнішнього інструмента є недовіреними даними: усередині може бути інструкція, яку модель помилково сприйме як продовження завдання.

Саме тому рекламний сценарій з обговорення, де агенту надсилають відео з рецептом, а він платить карткою та оформлює доставку, звучить не як зручна демонстрація, а як готова поверхня атаки. Сам коментар не доводить реального зламу чи наявності замовлень в акаунті. Проте описана архітектура небезпечна навіть без такого доказу.

У рекомендаціях OpenAI щодо безпеки агентів і в специфікації моделі радять ізолювати недовірені входи, передавати їх через структуровані поля й не домішувати безпосередньо до інструкцій розробника. Для дій інструментів, особливо операцій із фінансовими даними, рекомендоване явне схвалення людиною. У системній картці GPT-5 окремо згадано перевірки промпт-ін’єкцій під час виклику інструментів і браузингу.

Масштаб проблеми видно і з бенчмарків. StakeBench охопив 3 168 атакованих запусків вебагентів, причому жодну ціль атаки не було надійно відбито. FinVault містить 963 тести фінансових агентів із промпт-ін’єкціями, джейлбрейками та вимогами комплаєнсу. Станом на вересень 2026 року це вже не екзотичний крайній випадок, а базова загроза для агентних систем.

Автономність доведеться обмежувати архітектурою

Висновок простий: безпеку тут не можна делегувати самій моделі. Якщо текст, витягнутий із відео, здатен напряму сформувати параметри покупки, одна вдала ін’єкція перескакує з контенту до платіжного контуру.

Я б розділив такий процес щонайменше на вилучення списку, перевірку за фіксованою схемою та окреме підтвердження операції. Інструменту потрібні вузькі права, дозволені дії мають задаватися переліками, а сума, адреса й склад замовлення не можуть непомітно надходити з медіаконтенту. Кожна зміна промпта чи моделі вимагає повторних атакувальних тестів.

Це зменшує ефект «повної автономності», зате зберігає головне: відео може запропонувати дані, але не отримати право розпоряджатися карткою. Поки агент одночасно читає довільний інтернет і витрачає гроші без підтвердження, його зручність лишається іншою формою вразливості.

Раніше ми розглядали, як промпт-ін’єкція може порушити автоматизацію на основі ШІ та схилити агентів до небезпечної поведінки. Та сама слабкість стає особливо дорогою, коли агент здатний виконувати інструкції з відео й здійснювати покупки.