Автор разбирает, почему trust boundaries, STRIDE и data flows перестают работать: в LLM-приложении инструкции и недоверенный ввод попадают в один контекст, и разделить их невозможно. Раньше софт делал то, что запрограммировано. Теперь агент делает то, в чём убеждён. Если злоумышленник засовывает команду в текст, который пользователь отправляет агенту, — это работает. Главное: • Prompt injection — главный риск для LLM-приложений • Проблема структурно идентична SQL injection: конкатенация недоверенного ввода с командной строкой, только вместо SQL — промпт • Атака проходит тот же канал, что и легитимные инструкции Текст обрывается на определении direct injection: какие именно меры защиты рекомендует автор и как перестраивать модель угроз — неизвестно. Что это значит: для приложений с автономными агентами нужны новые модели угроз — старые инструменты безопасности здесь бессильны.