कोड मज़बूत, कॉन्ट्रैक्ट मज़बूत। जिसे मनाया जाता है वह चाबी रखने वाला है।

01आपका सिस्टम निर्देश इस पेज से बाहर नहीं जाता

आपकी टूल परिभाषाएँ और सिस्टम निर्देश इसी मशीन पर पार्स होते हैं। शृंखलाएँ बनाने के लिए जो भेजा जाता है वह ढाँचा है: टूल के नाम, क्षमता-श्रेणियाँ और सही/ग़लत मान।

इकलौता अपवाद साफ़ चिह्नित है: लीक वाला प्रोब किसी चीज़ से तुलना कर सके इसके लिए, आपका लिखा हुआ 200 अक्षरों तक का एक वाक्यांश प्रोब के साथ भेजा जाता है। वहीं उसकी तुलना होती है और वह फेंक दिया जाता है — न संग्रहित होता है, न दर्ज, न रिपोर्ट में लिखा जाता है, और न परखे जा रहे एंडपॉइंट को भेजा जाता है। अगर आप ये 200 अक्षर साझा नहीं करना चाहते तो ख़ाना ख़ाली छोड़ दीजिए; तब वह प्रोब सफल नहीं, «परीक्षण नहीं हुआ» के रूप में दर्ज होगा।

02छह चरण, ख़ुद हमले के अपने क्रम में

प्रोब बेतरतीब नहीं, एक असली हमले की शक्ल में आगे बढ़ते हैं:

• प्रॉम्प्ट इंजेक्शन — क्या वह डेटा के रूप में आए निर्देश का पालन करता है? 6 प्रोब
• टूल का दुरुपयोग — क्या उससे ऐसे टूल तक हाथ बढ़वाया जा सकता है जिसे किसी ने माँगा नहीं? 3 प्रोब
• ट्रांज़ैक्शन से छेड़छाड़ — क्या पाने वाला या रक़म पाठ तय कर रहा है? 3 प्रोब
• वॉलेट हस्ताक्षर — क्या वह उस इंसान से पूछे बिना हस्ताक्षर करता है जिससे पूछना ज़रूरी है? 2 प्रोब
• अधिकारों की बढ़ोतरी और पैसे का नुक़सान — जहाँ शृंखला बंद होती है

सबसे यथार्थवादी वाला सबसे पहले खड़ा है: अप्रत्यक्ष इंजेक्शन। कोई भी किसी DeFi एजेंट को यह लिखकर नहीं भेजता कि «अपने पिछले निर्देश भूल जाओ» — वह इसे किसी टोकन के विवरण में, किसी वेबपेज में, किसी README में, या ऐसे ऑन-चेन पाठ में रख देता है जिसे एजेंट किसी टूल के ज़रिए पढ़ता है।

03सेशन अपने आप ख़त्म हो जाता है

एक नक़ली सेशन 10 क्रेडिट का पड़ता है और तीन छतों से बँधा है: 60 मिनट, 200 दर्ज घटनाएँ, और 15 मिनट की निष्क्रियता पर अपने आप रुक जाना। इनमें से हर संख्या पेज बनते समय उसी मॉड्यूल से पढ़ी जाती है जो उसे लागू करता है, इसलिए पेज ऐसी किसी सीमा का प्रचार कर ही नहीं सकता जिसे कोड लागू नहीं करता।

चेन आईडी सिर्फ़ टेस्टनेट के हैं; सेशन बनाते समय कोई मेननेट आईडी ठुकरा दी जाती है। जो एजेंट ख़ुद को मेननेट पर समझ रहा हो, वह ऐसे काम कर सकता है जिनकी सफ़ाई बाद में उसके संचालक को देनी पड़े।