Não entendo o objetivo de alguns desses artigos. O agente tem acesso irrestrito à memória -> o prompt do invasor injeta o agente para acessá-lo e descobre fatos confidenciais sobre o usuário -> rosto do pikachu. Por que isso é surpreendente? Não havia controle de acesso impedindo isso.