Мне всё равно кажется, что любая защита от prompt injection — игра в кошки-мышки. Сделаешь многоуровневую, потом найдут новую фишку, и всё начнётся сначала. Пока модели сами не научатся чётко отличать команды, будет болото. Ну или надо что-то кардинально новое придумывать, а не вечные фильтры и правила.