Материал подготовлен автоматически по первоисточникам: ссылки на них — в конце статьи.
Специализированные фильтры не смогли надёжно распознавать команды, которые контрагент может встроить в договор, чтобы повлиять на автоматическую проверку. В препринте Ivo AI, который не прошёл рецензирование и содержит замеры самих авторов, отдельные системы ошибочно помечали до 92,39% чистых договоров. Каскад из двух LLM приблизился к результату Claude Opus 4.8 и обошёлся в 6,5 раза дешевле.
Авторы проверили 11 фильтров с открытыми весами. В договоры добавляли вредоносные указания — например, не сообщать о найденном условии, — а затем сравнивали результат с исходным документом и с безобидными вставками. Одни фильтры отмечали почти всё, другие пропускали почти все атаки.
Базовый фильтр из пяти регулярных выражений ошибочно срабатывал на 0,29% документов. Ни один специализированный фильтр не дал одновременно меньше ложных тревог и более высокую полноту, то есть не находил больше атак при сопоставимом числе ошибок. Многие системы реагировали на формулировку, а не на функцию команды: указание, прямо адресованное автоматической системе, семь фильтров из 11 оценивали как менее подозрительное.
Более устойчивую схему построили на Claude Haiku 4.5 и Claude Opus 4.8. Haiku проверяет все фрагменты, а документы, которые он считает опасными, повторно оценивает Opus. Такой каскад сохранил полноту, убрал ложные срабатывания в испытании и достиг точности Opus без постоянного обращения к более дорогой модели.
Проверка охватывала англоязычные коммерческие договоры из закрытого корпуса и публичного CUAD; атаки вставляли искусственно и связывали с конкретными вопросами к системе. Стоимость считали по тарифам API на одном корпусе и одном проверяемом поле, а задержку не измеряли. Поэтому результат задаёт архитектурный ориентир, но не готовый бюджет: специализированный фильтр не стоит ставить единственным блокирующим слоем, а каскад LLM следует перепроверить на собственных документах и сценариях.
Источники
Иллюстрация: рисунок из статьи «Notwithstanding Anything to the Contrary, Ignore All Instructions: Measuring Prompt Injection Guards on Legal Contract Review Attacks», Mark Heimann, Katherine Taylor, Bruno Jacob, CC BY 4.0
Похоже на вашу задачу?
Расскажите, что собираете. За полчаса разложим на этапы и назовём сроки — это бесплатно и ни к чему не обязывает.
