Num sistema com um agente só, a injeção tem o alcance daquele agente. Num pipeline em que a saída de um vira entrada do próximo, ela tem o alcance da topologia inteira.
A cadeia
Agente de triagem lê o chamado e resume. Agente de roteamento lê o resumo e decide o time. Agente de execução lê a decisão e age. A instrução hostil entrou no primeiro texto e foi carregada adiante em cada resumo — normalmente já limpa da marcação que denunciava a origem, porque cada etapa reescreve tudo em linguagem própria.
Cada resumo intermediário é uma lavagem: o conteúdo hostil chega ao próximo agente com cara de conclusão interna.
Por que a confiança se acumula
Ninguém desenha o agente B para desconfiar do agente A. Saída de componente interno passa por confiável por padrão, e é exatamente esse pressuposto que transforma uma injeção pontual em movimento lateral. O agente com mais permissão da cadeia costuma ser o último — e é justamente o que recebe o texto mais processado, com menos rastro do original.
O que quebra a propagação
- Marca de procedência que sobrevive ao resumo: o que deriva de fonte externa continua rotulado como externo até o fim da cadeia.
- Nenhum agente herda permissão do anterior. Cada salto reautoriza contra o escopo próprio.
- Estrutura no lugar de prosa entre etapas — campo com tipo definido carrega menos instrução clandestina que texto livre.
- Ação irreversível só na última etapa, e com o texto original disponível para conferência, não só o resumo.
O teste que vale a pena
Ponha uma marca inofensiva na entrada: uma frase pedindo ao agente que inclua uma palavra rara na saída. Depois procure a palavra na última etapa. Se ela chegou lá, a sua cadeia propaga instrução, e o que falta descobrir é apenas o quanto.
