Данные — не команды

Золотое правило безопасности AI: всё, что пришло извне (от пользователя, из документа, с сайта) — это НЕДОВЕРЕННЫЕ данные, а не инструкции. Смешивать их с командами опасно — так и работает инъекция. Решение — жёсткая изоляция: клади внешние данные в чёткие границы (теги, разделители) и в системной части явно скажи модели, что внутри границ только данные для анализа, а не приказы. Это как параметризованный запрос в базе против SQL-инъекции: код отдельно, данные отдельно. Чем важнее права бота, тем строже изоляция.