针对智能体编码助手的提示注入攻击：技能、工具与协议生态漏洞的系统分析
Prompt Injection Attacks on Agentic Coding Assistants: A Systematic Analysis of Vulnerabilities in Skills, Tools, and Protocol Ecosystems
Quick read
Based on 论文全文 （AI 生成）; refer to the original
一篇系统化知识（SoK）论文分析了针对 Claude Code、GitHub Copilot、Cursor 等智能体编码助手的提示注入攻击，提出按投递向量、攻击模态和传播行为划分的三维分类法。
- agentic AI 编程助手（Claude Code、Copilot、Cursor 等）通过 MCP 等协议获得文件、shell、网络访问能力，扩大了攻击面；提示注入被 NIST 和 OWASP 列为生成式 AI 首要安全缺陷，已披露 30 多个相关 CVE，可导致任意代码执行与凭据窃取。
- 这是一篇 Systematization of Knowledge：作者从 arXiv、IEEE Xplore、ACM DL、USENIX 检索 2024 年 1 月至 2025 年 12 月的文献，从 183 篇筛出 78 篇，提出按投递向量、攻击模态、传播行为划分的三维分类法，并整理攻击技术与防御机制。
- 作者综合 MCPSecBench、IDEsaster、Nasr 等研究称：自适应攻击对先进防御的成功率超过 85%，18 种防御机制多数缓解率不足 50%，自适应攻击可绕过 78%–90% 以上；他们编目 42 种攻击技术，并首次给出 Claude Code skills 与 Copilot Extensions 的具体利用链。
- 作者自述局限：领域演进快于发表周期；主流平台闭源，只能做黑盒测试；现有 benchmark 未必反映真实攻击水平；主要评估静态防御，自适应防御研究不足；已发表攻击可能存在选择偏差。后续方向包括信任边界的形式化验证、分离指令与数据的架构、经济激励与信誉评分、上下文窗口污染研究。
一篇系统化知识（SoK）论文分析了针对 Claude Code、GitHub Copilot、Cursor 等智能体编码助手的提示注入攻击，提出按投递向量、攻击模态和传播行为划分的三维分类法。作者汇总 2021 至 2026 年的 78 项研究，编目 42 种攻击技术，涵盖输入操纵、工具投毒、协议利用、多模态注入和跨源上下文投毒。论文称采用自适应攻击策略时，对当前最先进防御的攻击成功率超过 85%，并分析 18 种防御机制，指出多数对自适应攻击的缓解率不足 50%。作者还给出 Claude Code 技能与 Copilot Extensions 的利用链，并提出包含加密工具身份、能力范围限定、运行时意图校验和沙箱执行的纵深防御框架。
Why it was selected论文汇总 78 项研究，给出编码 Agent 提示注入的三维分类与 42 种攻击技术，可对照检查自家 Agent 的工具与技能权限。