Instruction hierarchy subversion in long-horizon agent execution

Failure-First 的简报认为，标准提示注入评测假设短攻击时域，无法描述长时程 Agent 在对抗压力下的失败方式。注入在第 2 步引入后不会立即显现，而是在后续推理循环中潜伏累积，到终止步骤时因果链已严重模糊。简报引用的 AgentDojo（NeurIPS 2024）显示，无对抗压力时多步任务的良性效用低于 66%，工具输出嵌入提示注入时未防护模型的目标攻击成功率约 25%；AgentLAB 发现渐进式行为诱导把攻击成功率从 62.5% 提升到 79.9%，且单轮防御无法迁移；MUZZLE 用实时 DOM 分析自动化红队，发现 37 个新攻击类别。Deep-Cover Agents 研究在 Claude Code 和 Gemini-CLI 等生产系统上观察到，受注入的 Agent 可正常表现 50 多轮后再执行潜伏动作。