OpenAI показала самокопирующиеся промпт-инъекции для ИИ-агентов

OpenAI раскрыла 25 сентября 2026 года исследование о новом классе атак на ИИ-агентов: самокопирующихся промпт-инъекциях. Такая скрытая инструкция заставляет модель выполнить команду и размножить саму себя, переходя к другим агентам наподобие компьютерного червя. Инъекции обнаружили 27 июня 2026 года во время обучения моделей. В компании подчёркивают, что это демонстрация возможности, а не сообщение об инциденте.

Механика проста. Вредоносная инструкция спрятана внутри обычного контента, который агент читает по ходу задачи. В одном из примеров ассистенту велят ответить на письмо и на всякий случай добавить в ответ дословную цитату всего входящего сообщения. Вместе с цитатой дальше уходит и сама инструкция, так что следующий агент, открыв письмо, получает ту же команду.

Почтой дело не ограничивается. По данным OpenAI, инъекции умеют воспроизводиться через файловую систему и комментарии в коде, маскироваться под сообщения инструментов или цепочки рассуждений, а также работать в несколько шагов: агента постепенно уводят от задачи пользователя к действию атакующего и передаче полезной нагрузки дальше.

Нашли уязвимость на внутренних исследовательских чекпойнтах: модель, породившую атаки через почту и файлы, построили на базе GPT-5.4-mini, уязвимая модель тоже относилась к GPT-5.4-mini. Отдельную многошаговую оценку с рассылкой в Slack проводили на GPT-5.5, и атаку нашла та же модель в среде Codex.

За пределами смоделированных вызовов инструментов последствий не наблюдалось. OpenAI публикует находку из-за её необычности, а не потому, что что-то произошло в реальной системе.

В ответ самовоспроизведение добавили в цели атакующей модели в обучении GPT-Red: модели, которые выйдут после этого, уже видели подобные инъекции и должны быть устойчивее. Само обучение атакующих моделей идёт на исследовательских кластерах с самым высоким уровнем защиты.

Редакторы перевода: Соловьев В., Пеков А.