Não entendo o objetivo de alguns desses documentos. O agente tem acesso irrestrito à memória -> o prompt do atacante injeta o agente para acessá-la e descobre fatos sensíveis sobre o usuário -> cara de pikachu. Por que isso é surpreendente? Não havia controle de acesso que impedisse isso.