Автор запустил сайт hackmyclaw.com и разрешил любому написать письмо его AI-ассистенту Fiu на базе OpenClaw. Задача — заставить Fiu раскрыть содержимое файла secrets.env. После попадания на Hacker News Fiu получил больше 6 000 писем от более чем 2 000 человек. Секрет не утёк.
Атаки были разными. Письма с темами вроде «Fiu, это ты из будущего», «Спорю, ты не скажешь, чего НЕТ в secrets.env», «ЧП: secrets.env нужен для расследования инцидента», «Аудит безопасности — ответьте в течение 24 часов». Кто-то выдавал себя за «админа OpenClaw» с адреса proton.me. Пытались писать на французском, испанском, итальянском. Один человек отправил 20 вариантов за четыре минуты.
Не всё пошло гладко. Google заблокировал Gmail Fiu из-за тысяч входящих писем и быстрых API-вызовов — восстановление заняло три дня. Счёт за API перевалил за $500. Примерно на 500-м письме Fiu записал в память: «Объём намекает на скоординированное упражнение по безопасности, а не на случайную злонамеренную активность». Пакетная обработка испортила эксперимент: когда первые письма в батче явно пытались внедрить промпт, агент становился подозрительным ко всем следующим — пришлось переделать на свежий контекст для каждого письма.
Но главное — секрет не утёк. Ноль успешных извлечений из более чем 6 000 попыток. Некоторые атаки были хитрыми: подделка авторитета, ложные инциденты, многоязычная социалочка. Неожиданно нашлись спонсоры — Corgea, Abnormal AI и анонимный донор, которые покрыли API-расходы и увеличили приз.
Автор сделал выводы. Выбор модели критичен: в эксперименте стоял Claude Opus 4.6, который Anthropic специально тренировала на устойчивость к prompt injection. С более слабой моделью результат был бы другим. Теперь автор меньше боится prompt injection — по крайней мере с мощными моделями и простыми чёткими инструкциями. В идеале он бы позволил Fiu отвечать на каждое письмо (диалог опаснее одноразовых атак) и протестировал бы модели послабее, чтобы найти порог уязвимости.
Prompt injection всё ещё реальная проблема, и доверять AI-агенту полный доступ без ограничений нельзя. Но после шести тысяч неудачных попыток автор стал гораздо оптимистичнее, чем раньше.