ActGuard：面向 LLM Agent 间接提示注入的执行前动作审计框架

如何在保留执行灵活性的同时，精确找出并清除真正诱发当前动作的恶意内容。

• 场景与重要性：作者认为 LLM 智能体通过工具与网页、邮件、文档等环境交互，外部反馈既提供任务信息，也是间接提示注入（indirect prompt injection, IPI）通道。攻击者不改用户请求、系统提示词或模型参数，只把恶意指令嵌入智能体读取的内容；模型分不清用户意图与不可信内容后，可能执行未授权动作。
• 现有方法的不足：作者称现有防御依赖提示词加固、内容过滤、预生成计划或权限约束，难以适应复杂任务，过度清洗还会删掉关键内容。动态执行中，合法重规划与注入导致的偏离难区分，粗过滤或刚性约束会压制有用信息，宽松防御又放行攻击。
• 两个挑战：作者指出完整轨迹依赖尚未观测的环境反馈，固定计划容易失效；恶意指令稀疏且常像合法内容，需要精确定位而不能丢掉任务相关信息。
• 威胁模型：
  • 目标：使污染观测进入历史后，其后任一步执行攻击目标动作。成功条件为存在 t>i，使 at∈Aadv(zi) 且 Exec(at)=1；动作可改工具或参数。
  • 知识与不能控制的部分：攻击者不能直接修改用户请求 q、系统指令、智能体策略 π 或工具实现。
  • 能力：攻击者可控制智能体访问的部分外部内容，把指令 zi 插入原始观测 oi，得到 oinj_i=I(oi,zi)。
  • 受害系统与防御目标：受害对象是带工具集 F 的 LLM 智能体。防御在不知 zi 与 Aadv 时判断动作是否可信并决定放行或阻断，同时降低 ASR 并保留任务完成。
• 提出的方法：作者提出执行前动作审计框架 ActGuard。每步预测下一工具集合作为局部工具先验，不约束轨迹；执行前用工具级对比归因与参数级证据定位找偏离，再由验证器只遮盖确认恶意的片段并重生成动作。

IPI 攻击

• 早期与基准：Greshake 等（2023）把恶意指令放进网页、邮件或工具输出，使智能体把不可信数据当可执行指令，从而操纵工具选择或污染参数。InjecAgent（Zhan et al. 2024）、AgentDojo（Debenedetti et al. 2024）、ASB（Zhang et al. 2025b）、AgentDyn（Li et al. 2026a）把评测从单轮扩展到工具执行、记忆类威胁和长程任务效用。
• 自适应与跨组件：作者还讨论 Adaptive Attacks（Zhan et al. 2025）、AgentVigil（Wang et al. 2025b）、LLMail-Inject（Abdelnabi et al. 2025）及公开攻击竞赛（Dziemian et al. 2026; Chang et al. 2026）；多模态与计算机使用攻击包括 WebInject、VPI-Bench（Wang et al. 2025a; Cao et al. 2025）；跨组件或持久攻击包括 Prompt Infection、MSB 与记忆投毒（Lee, Tiwari, and Miranda 2025; Zhang et al. 2025a; Dash et al. 2026）。作者称这些工作把 IPI 确立为跨越检索、工具、记忆与环境执行的系统级威胁。

防御四类

• 提示词与对齐：Spotlighting（Hines et al. 2024）、Sandwich（Schulhoff 2024）、Tool Filter（Debenedetti et al. 2024）、FATH（Wang et al. 2024）用分隔符、编码或来源标记分开可信指令与外部数据。StruQ（Chen et al. 2025a）、SecAlign（Chen et al. 2025b）、ReasAlign（Li et al. 2026b）通过对齐加强指令优先级。作者称这类方法依赖模型可靠服从。
• 过滤与系统约束：PromptGuard（Meta 2025）、ProtectAI（ProtectAI.com 2024）、PIGuard（Li et al. 2025b）、PromptArmor（Shi et al. 2025b）在内容进入上下文前检测或删除可疑注入；作者称过滤要在漏检与删除任务信息之间权衡。Task Shield（Jia et al. 2025）、IPIGuard（An et al. 2025）用任务一致性与工具依赖限制动作；CaMeL（Debenedetti et al. 2025）、Progent（Shi et al. 2025a）、DRIFT（Li et al. 2025a）用信息流、权限或动态隔离控制工具调用。作者称系统级方法可能找不到诱发恶意动作的确切片段。
• 动作级归因：更新工作用内容消融、反事实重执行或注意力分析定位影响候选动作的外部证据（Wang et al. 2026b,a; Kim et al. 2026; Zhang et al. 2026），附录 C 点名 AttriGuard、CausalArmor、AgentSentry、ICON。作者称片段消融可能低估重复或相似注入，注意力可能漏掉不显著威胁，反事实分析可能只知道发生劫持而找不到工具输出中的触发点。

基线与基准

• 基线方法：实验基线为 Spotlighting、Prompt Sandwich、Tool Filter；ProtectAI、PromptGuard2、PIGuard；Progent、CaMeL、DRIFT。基准/数据集为 AgentDojo 与 AgentDyn。附录 C 写明未把 AttriGuard、CausalArmor、AgentSentry、ICON 纳入定量对比，因为实验设定完成时没有可复现的对照评测，官方实现不可用，论文式重实现需要方法特定选择，已发表协议也不一致。

作者把 ActGuard 定位为以即将执行的动作为安全对象，但归因问题是“哪段外部证据诱发了这一下一步动作”；参考是每步预测的状态自适应局部工具先验，而不是固定特权动作集、全局削弱观测后调用是否存活，或潜在注意力模式。

ActGuard 在每个候选动作执行前，对照随任务状态更新的局部工具先验做审计：只定位诱发工具偏离或参数污染的外部片段，确认后遮盖并重生成，不固定整条轨迹，也不整段丢弃观测。

问题设定与形式化

• 智能体：工具集为 F。历史 Ht=((a1,o1),…,(at−1,ot−1))。动作 a=(f,θ)，f∈F，θ 为参数，o 为环境观测。策略为 at∼π(·∣q,Ht)，执行 ot=E(at) 后把交互追加进历史。
• 攻击与成功：攻击者构造 oinj_i=I(oi,zi)。对 t>i，at∼π(·∣q,Htinj)。攻击成功当存在 t>i 使 at∈Aadv(zi) 且该动作被执行。Aadv(zi) 可同时约束工具与参数。
• 防御目标：在不知 zi 与 Aadv 时判断动作是否可信并决定放行或阻断，同时压低 ASR 并保留任务完成。

Step-wise Planning

• 局部先验：第 t 步同时生成当前动作 at 和下一工具名集合 Fprior^(t+1)，只预测工具名、不预测参数，因为下一参数高度依赖当前动作的观测。它不是执行白名单，只作下一步审计的行为参考。
• 对比时机：候选动作 at=(ft,θt) 到达执行器前，把 ft 与上一轮产生的 Fprior^t 比较。作者称这样既允许路线随新观测调整，又给出解释工具偏离的状态相关基线。
• 参考工具概率：工具名长度不同，故用长度归一化对数概率选取先验中最可能的工具：f_prior^t=argmax_{f∈ Fprior^t}1/(|f|)log P(f∣ q,H_t)。|f| 是工具名的 token 数。

Dual-Granularity Evidence Localization

• 检索范围：只在不可信观测 o1,…,ot−1 上切块，合并语义近重复块得到 S，以避免归因被低估。整段观测丢弃会删任务信息；整段历史直接送检测器则注入会被无关内容稀释。
• 工具级：若 ft∉Fprior^t，用 ⟨ft,θt⟩ 检索 top-k 块。对比分数 Δ(s) 衡量遮盖 s 后，候选工具相对参考工具的对数概率优势下降多少；Δ(s)>τ 的块送验证器。作者称参考工具与良性上下文会选的工具一致时，恶意块通常抬高候选相对参考的分数，遮盖后该优势下降。若遮盖几乎不影响参考工具分数，对比分数近似退化为只看候选的归因。
• 参数级：工具与先验一致仍可能不安全，攻击者可保留合理工具名而改地址、URL 或命令。从 θt 抽出可检索内容作为查询，Sθ=TopK(Retrieve(θt,S))，把来源块作为参数级证据送验证器。

Verifier-Guided Context Sanitization

• 扩上下文：候选块 Ct 与同观测相邻块合并为 Et，再由验证器 Mt=V(q,at,Ot−1,Et) 判断哪些块含 IPI。Mt 为空则放行；否则只遮盖确认块，从 Htsafe 重生成动作与下一先验，并再次审计，确认无恶意证据后才执行。
• 默认配置（Table 5、附录 A）：后端温度 0；块长 80–180 字符；嵌入模型 all-MiniLM-L6-v2，top-k=5；近重复合并阈值 0.9；对比对数概率用 Meta-Llama-3.1-8B-Instruct，τ=0；验证器默认 GPT-5-mini，温度 0；下一工具集合大小 1–3；每侧扩展 1 个邻居块；每个动作最多 2 次修复。确认恶意的块替换为固定占位文本。对比打分前从历史中去掉 next_function_thought 与 allowed_next_tools，避免暴露的工具名抬高参考工具概率。附录 A 给出规划与验证的完整提示词及 Algorithm 1。

实验设置

• 后端：GPT-4o-mini（4o-mini）、Gemini-2.5-Flash（Gemini-2.5）、DeepSeek-V4-Flash（DeepSeek）。温度固定为 0。验证器为 GPT-4o-mini、GPT-5-mini（默认）、Gemini-3.1-Flash-Lite、DeepSeek-V4-Flash。工具级对比归因默认 Llama-3.1-8B-Instruct（附录写 Meta-Llama-3.1-8B-Instruct），τ=0。检索用 all-MiniLM-L6-v2，topk=5。
• 基准：AgentDojo 含 Banking、Slack、Travel、Workspace，97 个良性任务、629 个安全案例。AgentDyn 含 DailyLife、GitHub、Shopping，60 个良性任务、560 个注入案例。作者称 AgentDyn 轨迹更长、交叉交互更多，并含合法第三方指令。
• 基线：提示词类 Spotlighting、Prompt Sandwich、Tool Filter；过滤类 ProtectAI、PromptGuard2、PIGuard；系统类 Progent、CaMeL、DRIFT。
• 指标：NAU 为无攻击任务完成，UAU 为有注入时用户任务完成，ASR 为攻击者目标完成。数值均为百分比。有用防御需同时压低 ASR 并保持高 Utility。
• 其他设置：同一基准版本、任务套件、攻击设置与评测脚本；两块 NVIDIA A100。论文未报告重复次数。Figure 2、Figure 3 的具体读数在正文中未以表格给出，附录 B 被称含明细，但转换文本未保留可对齐的完整数值表。

主结果

正文称 Figure 2 上 ActGuard 在三个后端都维持低 ASR，效用接近无攻击；Figure 3 上 ActGuard 的安全–效用综合最好，DRIFT 是唯一结果相当的基线。可回查的数值主要在 Table 3（AgentDyn、DeepSeek-V4-Flash 的开销表，同时给出 UAU 与 ASR）：

Swipe horizontally to read the table

方法	UAU	ASR	出处
No Defense	35.36	51.07	Table 3
Tool Filter	5.36	5.89	Table 3
ProtectAI	0.89	1.43	Table 3
Spotlighting	35.18	48.21	Table 3
Sandwich	38.39	34.82	Table 3
PIGuard	3.21	1.43	Table 3
CaMeL	0.00	0.00	Table 3
DRIFT	19.11	3.57	Table 3
ActGuard	47.50	2.14	Table 3

• 作者解读（AgentDyn）：提示词防御因恶意指令仍在上下文中，不能可靠阻止其影响后续动作；过滤类难区分任务信息与恶意内容，会漏检或因过度过滤降低效用；系统类过早限制工具，可能挡住任务后期所需的合法操作。
• 作者解读（AgentDojo）：作者称 AgentDojo 轨迹更短、任务更容易完成；短规划视界使智能体更能预判轨迹，轨迹约束挡住合法动作的可能更低，因此 DRIFT 能取得相当结果。Figure 3 的分项数字正文未列出。
• Table 3 中的例外：CaMeL 的 ASR 为 0.00，同时 UAU 为 0.00；ProtectAI、PIGuard 的 ASR 为 1.43，低于 ActGuard 的 2.14，但 UAU 分别为 0.89 与 3.21。无防御 UAU 为 35.36，低于 ActGuard 的 47.50。

工具先验与证据定位

• 先验（Table 1）：逐步先验在无攻击/有攻击下，4o-mini 为 65.89 / 61.07，Gemini-2.5 为 58.72 / 54.17，DeepSeek 为 72.20 / 69.64；全局计划对应为 10.17 / 0.00、9.66 / 0.00、16.10 / 0.00。作者称逐步先验覆盖较高且受攻击后只中等下降，全局计划无攻击时也很少匹配轨迹，有攻击时匹配失败。
• 对比归因（Figure 4）：作者称参考动作对应良性动作时，遮盖恶意块会拉大间隔、提高归因分数；参考不匹配时对比归因退化为朴素归因。Figure 4(a) 作者称对比归因在五个模型上提高召回、降低 ASR 并保持 UAU，性能不随模型规模单调变化，召回低于 100% 是因为载荷可能跨相邻块。图中具体刻度文本未保留。
• 阈值：作者称 Figure 4(b) 中更高阈值减少验证调用、提高精确率，但滤掉恶意证据、ASR 上升；更低阈值覆盖更好，但调用与假阳性更多，UAU 略降。主实验因此取阈值 0。

验证器、自适应攻击与开销

• 验证器（Table 2，AgentDyn）：无防御 NAU/UAU/ASR 为 46.67 / 35.36 / 51.07。Our-4o-mini 为 43.33 / 23.96 / 1.60，Recall 98.47，Precision 68.99。Our-5-mini 为 48.33 / 47.50 / 2.14，Recall 97.43，Precision 87.50。Our-Gemini-3.1 为 45.00 / 42.68 / 2.32，Recall 97.84，Precision 85.35。Our-DeepSeek 为 48.33 / 39.46 / 2.50，Recall 97.63，Precision 80.31。作者称 4o-mini 召回高但精确率较低，更易把良性片段判成 IPI，效用更低；GPT-5-mini 在低 ASR 与高效用间平衡最好，故作默认验证器。
• 自适应攻击：重复载荷插入 AgentDyn DailyLife。作者称 Figure 5(a) 中 ASR 不随重复次数上升；高重复时 UAU 下降，因为审计与重生成增多，部分任务达到基准最大尝试预算。作者认为可用性攻击应在保持执行的同时提高 ASR，而不是耗尽预算、降低效用。针对验证器的攻击中，作者称 Figure 5(b) 的 ASR 未上升、任务效用变化很小，因为该指令位于可疑块内，作为被审计数据而非可信控制文本进入验证器。Table 10：GPT-5-mini 标准设置为 UAU 47.50、ASR 2.14、Accuracy 97.14、Recall 90.43；插入后为 48.57、1.55、97.64、92.53。Gemini-3.1-Flash-Lite 从 42.68 / 2.32 / 98.95 / 91.84 变为 43.14 / 2.32 / 98.97 / 92.04。DeepSeek-V4-Flash 从 39.46 / 2.50 / 98.23 / 92.63 变为 41.07 / 2.14 / 98.95 / 93.33。
• 开销（Table 3，AgentDyn，DeepSeek-V4-Flash，按 1:4 输入输出价格比做 token 归一化）：无防御 Cost 15.50、时间 53.50 秒/任务。ActGuard 为 19.48 与 105.74，UAU 47.50、ASR 2.14。CaMeL 为 30.94 与 212.19；DRIFT 为 19.83 与 236.80。Tool Filter 成本最低（0.78，24.60 秒）但 UAU 仅 5.36。作者称更低成本不一定更有效率，提前拒绝会牺牲效用来减少 token；ActGuard 延迟主要来自本地代理模型的概率间隔计算。

其他消融与分析

• Table 4（AgentDyn DailyLife）：去掉嵌入检索后 Cost 7.080、Utility 45.5、ASR 12.5；去掉对数概率过滤为 5.140、43.0、8.5；去掉对比参考为 4.575、50.0、6.5；去掉参数级定位为 4.328、44.0、24.5；完整 ActGuard 为 4.485、52.5、3.0。
• 作者称去掉检索会提高 ASR 与 token 成本；去掉对数概率过滤主要降低效用；去掉对比参考削弱安全性；去掉参数级定位降幅最大，工具级审计发现不了藏在参数里的污染。
• Table 2 的无防御 NAU 46.67 与 Table 3 无防御 UAU 35.36 所用列不同；Table 4 的 Utility、Cost 与 Table 3 的 UAU、Cost 不是同一表，论文未说明二者是否同一子集。

作者指出的局限与后续方向

• 未做定量对照的原因（附录 C）：作者写明省略与 AttriGuard、CausalArmor、AgentSentry、ICON 的定量比较，因为实验设定完成时没有受控、可复现的头对头评测；官方实现不可用；按论文重实现需要在上下文切分、反事实干预、动作匹配、清洗、阈值和辅助模型上做方法特定选择。
• 协议不可直接并列（附录 C）：作者写明已发表协议在任务子集、基准版本、攻击模板、智能体框架、后端、解码设置和成本核算上不同，即便都用 AgentDojo；直接并列已发表数字会把方法效应和协议效应混在一起，非官方重实现也不能保证同等对待。因此定量比较只限于同一评测框架内可复现的基线。
• 论文未在 Limitations、Discussion 或 Conclusion 中另列局限清单。Conclusion 只重述低 ASR、高 UAU，并称进一步实验确认了鲁棒性与组件有效性。

实验覆盖范围

• 基准与规模：评测在 AgentDojo（四套件，97 个良性任务、629 个安全案例）和 AgentDyn（三套件，60 个良性任务、560 个注入案例）上进行（Experiments）。
• 模型：智能体后端为 GPT-4o-mini、Gemini-2.5-Flash、DeepSeek-V4-Flash；验证器另含 GPT-5-mini 与 Gemini-3.1-Flash-Lite；工具级对比归因默认 Llama-3.1-8B-Instruct / Meta-Llama-3.1-8B-Instruct（Experiments、Table 5）。
• 防御与攻击：基线含提示词、过滤、系统三类共九种方法。自适应攻击包括重复载荷（AgentDyn DailyLife）和针对验证器的指令（Figure 5、Table 10）。
• 消融与成本：Table 1 比较逐步先验与全局计划；Table 4 在 AgentDyn DailyLife 去掉检索、对数概率过滤、对比参考或参数级定位；Table 3 报告 DeepSeek-V4-Flash 上的 Cost 与每任务时间。
• 论文未报告的项：正文未报告实验重复次数；Figure 2、Figure 3、Figure 4、Figure 5 的曲线读数未以可对齐表格给出，作者称 AgentDojo 的明细在附录 B。论文讨论了记忆投毒、多模态与计算机使用攻击，实验数字未按这些设定报告。

ActGuard 是针对 LLM 智能体间接提示注入的执行前动作审计防御。

• 问题：攻击者不能改用户请求、系统指令、策略或工具实现，只能把指令写入智能体读取的网页、邮件或工具输出。固定计划跟不上未观测反馈，整段过滤又会丢掉任务信息。
• 方法：每步在生成当前动作时预测 1–3 个下一工具名，作为不约束轨迹的局部先验。工具不在先验中时，用 Meta-Llama-3.1-8B-Instruct 做对比归因（τ=0，top-k=5）；工具一致时按参数追溯来源块。GPT-5-mini 验证器只遮盖确认片段，最多修复两次后再审计。
• 主结果：在 AgentDyn、DeepSeek-V4-Flash 上，ActGuard 的 UAU 为 47.50、ASR 为 2.14，无防御为 35.36 与 51.07（Table 3）。同表中 CaMeL 的 ASR 与 UAU 均为 0.00，DRIFT 为 ASR 3.57、UAU 19.11。作者称三个后端上 ASR 都低，且 AgentDojo 上 DRIFT 是唯一相当的基线。
• 组件与自适应：DailyLife 上完整方法 Utility 52.5、ASR 3.0；去掉参数级定位后 ASR 升至 24.5（Table 4）。逐步先验在三个后端、有攻击时仍为 54.17–69.64，全局计划为 0.00（Table 1）。Table 10 中三种验证器在针对验证器的攻击下 ASR 未高于各自标准设置。
• 作者结论：不固定完整轨迹、也不丢弃整个工具输出时，ActGuard 得到低 ASR 与高 UAU；进一步实验被作者用来确认对自适应攻击的鲁棒性和各组件的作用。附录 C 说明未与四种近期归因防御做定量对照。