استهدف ملف خبيث وُضع في مجلد التنزيلات وكيل برمجة بالذكاء الاصطناعي، محاولًا خداعه لتثبيت برمجيات خبيثة. وتعتمد هذه التقنية على حقن غير مباشر عبر سياق ملف محلي بدلًا من مسار شبكي، ما يضع سطح الهجوم أقرب إلى بيئة عمل الوكيل نفسها مما تفترضه معظم دفاعات مستوى الـ prompt.
بالنسبة للفرق التي تشغّل وكلاء يقرؤون نظام الملفات المحلي، يعيد هذا الاكتشاف تأطير قناة الإدخال. فالوكيل الذي يستوعب ملفات المستودع أو التنزيلات المخزّنة مؤقتًا أو الملاحظات العابرة يتعامل مع هذا المحتوى بوصفه سياقًا، وأي نص على هيئة تعليمات داخله ينافس الـ prompt الفعلي للمشغّل. لذلك يجب رسم حدود الثقة حول البيانات نفسها، لا حول المحادثة وحدها. وعمليًا، يعني ذلك وسم مصادر الملفات، وفصل القراءات غير الموثوقة عن الإجراءات المصرّح بها للأدوات، واشتراط خطوة موافقة صريحة قبل أي تثبيت أو تنفيذ قد يكون ملف قد أثّر فيه.
ما يبقى غير واضح من التغطية هو الوكيل المحدد وصيغة الملف المعنيّان، ومسار الحمولة الدقيق، وما إذا كانت المحاولة قد نجحت أم جرى صدّها. وهذه التفاصيل مهمة لتحديد نطاق التعرّض، لذا يتعامل الاستوديو مع السلوك المُبلَّغ عنه بوصفه إشارة على مستوى فئة كاملة لا حادثة منتج واحد. وينبغي أن تتضمن أجنحة التقييم لأنظمة الوكلاء حالات حقن عبر الملفات المحلية إلى جانب الحالات المنقولة عبر الشبكة، وأن تتحقق من رفض الوكيل التصرف بناءً على تعليمات يجدها في محتوى قرأه فحسب.