Diante de uma classe de ataque sem correção disponível, a recomendação publicada pelos pesquisadores foi de processo e não de produto: tratar toda saída de rastreador de erro como entrada não confiável e inserir revisão humana antes de qualquer ação decorrente.
Recomendação de processo costuma frustrar quem espera uma atualização que resolva. Mas é a resposta honesta quando o problema está no desenho: o agente precisa ler conteúdo de fora para ser útil, e conteúdo de fora pode ser escrito por quem quiser.
A alternativa que aparece nos produtos anunciados no mesmo período é reduzir o estrago em vez de impedir a entrada: privilégio zero permanente, autorização por ação e identidade própria para o agente. Não impedem a instrução maliciosa de chegar, impedem que ela alcance muita coisa.
As duas abordagens se completam e nenhuma sozinha basta. Revisão humana em toda ação inviabiliza a automação; escopo estreito sem revisão deixa passar o que couber dentro do escopo.
A regra que sobrevive é a mesma de qualquer salvaguarda: só vale depois de alguém a ter visto falhar de propósito, com um caso conhecido, e conferido que o alerta disparou e que alguém atendeu.