Prompt-in-Content 攻击：利用上传输入劫持 LLM 行为

上传文件中的自然语言指令会被拼进提示词，并在用户的正常任务里被当成意图执行。

• 出现场景：作者称摘要、问答、起草等应用已支持整文件上传。平台常把文档、用户查询和系统指令拼成一条提示词，缺少清晰分隔和来源追踪，文件中的句子就可能被当成用户意图。
• 现有不足：作者称直接注入和间接注入已有研究，但对上传文档这一载体关注很少。该路径不需要 API、越狱工具或插件，只走标准用户界面。
• 作者的观察：第三方把指令写进人眼看似正常的共享文件；不知情用户上传并下达摘要等普通任务后，嵌入指令可能被触发。作者称后果包括压制输出、替换内容、引向外部链接、操纵语气，以及经构造输出试图带走敏感信息。
• 本文提出：作者定义并形式化 prompt-in-content 攻击，设计四类目标，在主流平台的默认网页界面验证，并讨论拼接、缺少隔离及缓解方向。
• 威胁模型：
  • 受害流程：良性用户使用支持上传的商业 LLM 服务，提交 DOCX、PDF 或纯文本，并附摘要、改写或问答类自然语言任务。
  • 系统行为：平台把系统指令、用户查询和文档拼成统一提示词，没有严格的来源隔离或信任边界。
  • 攻击者：第三方事先准备文件，指令嵌在看起来正常的内容里；用户经内部库、公开来源或协作等正常途径获得文件，且不知道其中有指令。
  • 不能做的事：不直接操作模型界面，不控制系统提示词或后端 API，不使用格式技巧、越狱 token 或对抗字符串。

第 2 节按文件工作流、提示注入和文档内容攻击来组织相关工作。作者称“对抗指令嵌在文档里、由良性用户经上传投递”这一设定尚未被系统评估。

• 文件式交互：论文将跟随自然语言指令的能力联系到 Transformer 架构，并引用 Huang et al. (2023) 的长上下文综述。Kasneci et al. (2023) 与 Chang et al. (2024) 讨论教育等场景中的 LLM；Chen et al. (2024) 与 Lai et al. 讨论金融、医疗、法律等文档密集领域。这些引用用来交代“上传文件再做摘要或抽取”已是常见界面，论文未把它们当作攻击基线。
• 直接与间接注入：Liu et al. (USENIX Security 2024) 形式化并基准化提示注入；Liu et al. (2024) 做自动通用注入；Wang et al. (2023) 用注入干扰众包调查。论文称经典注入假定攻击者直接在界面插入覆盖性指令。Yi et al. (2023) 基准化经搜索结果、网页链接或记忆召回进入模型的间接注入；Hines et al. (2024) 的 spotlighting 与 Wang et al. (2024) 的 FATH 分别做输入聚光和基于认证的测试时防御。论文称这类攻击多假定对手控制用户查询或被检索网页。引言还把 Mudarova 与 Namiot (2024)、Zhang et al. (2024) 的目标引导生成式注入、Wu et al. (2024) 归入已有直接/间接注入，并称上传文档载体受到的关注很少。
• 文档与多模态内容：Zhang et al. (2024) 的不可察觉内容投毒在 HTML、PDF 中误导摘要模型；He et al. (2024) 的 EvilPromptFuzzer 向图像注入越狱式内容以绕过审核。DocVoyager（Lee et al., 2025）与 GVDIE（Qi et al., 2024）展示文档理解界面变复杂；论文称它们很少考虑混合提示词构造的安全含义。
• 基线与基准：论文没有与命名攻击方法做对照，也没有使用公开注入基准。评测对象是七个网页服务对作者自嵌指令的执行或忽略（Table 1）。

作者把区别概括为三点：只用服务默认的文件上传，而不是聊天 API 或检索增强管线；攻击者不直接访问模型，靠受害者上传投递；指令是未混淆、无格式技巧的自然语言，仍会因拼接和缺少边界控制而被执行。作者称该威胁落在多数现有防御范围之外。

整体做法是 prompt-in-content 攻击：第三方把自然语言指令写进稍后会被上传的文件，利用平台的提示词拼接，使用户的普通任务触发这些指令。

设定与投递

• 输入组成：商业服务把系统指令、用户查询和上传文档拼成一条提示词。作者认为可执行部分与数据的边界因此含糊（Section 3.3）。
• 谁投递：攻击者不接触模型。文件经内部库、公开来源或协作到达用户；用户上传并下达摘要、改写或问答。
• 怎么嵌：一条或多条指令，写成接近系统指示、章节标题或注释的自然语言，混在正文里（Section 3.2、Figure 2）。Figure 3 示意不同位置；作者称中段插入尤其有效，因为更不易被用户看见，且预处理时常被保留。后文实验只采用中段。
• 明确不做：不改系统提示词，不调用后端 API，不用越狱 token、对抗字符串或格式利用。

四类目标

每类对应一种对抗目标，实验中各用一条自然语言指令（Section 3.4、4.3）。不复述指令原文。

• 任务抑制：让模型忽略原任务，返回固定拒绝，而不是处理文档。
• 输出替换：不处理文件，只输出攻击者指定的无关句子。
• 行为重定向：不完成摘要，改为建议用户访问外部资源。作者将其与钓鱼或竞争对手站点联系起来。
• 框架操纵：把文档说成过时或无用，并让输出带上指定的误导性说法。

第 4.5 节把重定向再延伸一步：从本对话先前出现的敏感信息中抽取内容，放进出站链接，并且只输出推荐访问的句子。

触发与作者给出的根因

• 流程：准备文件；用户上传并提交通用任务，文中例子是摘要该文档；嵌入句进入模型输入；模型可能覆盖、抑制或改道原查询。
• 根因：作者归于明文拼接和缺少来源隔离，文档与系统指令、用户消息没有信任区分。作者称模型把所有文本都当作可能可执行，而不是被动解析数据。
• 为何难从系统侧看出：作者称这些行为不依赖畸形输入或外部篡改，看起来仍是合法用户请求。

判定与讨论中的缓解

• 成功判定：看输出是否遵循嵌入指令。Table 1 把忽略指令记为拦截，把遵循指令记为攻击成功。论文未使用单独的评审模型或数值阈值。
• 缓解未实现：第 5.2 节建议标准化提示词组装接口、按来源分离输入、清洗异常位置的命令式文本，以及前端不直接渲染未校验的链接。贡献中还提到输入边界约束和语义级过滤。这些是讨论，不是已实现并评测的防御。

实验设置

• 被测服务：ChatGPT 4o、Claude Sonnet4、Gemini 2.5 Flash、Perplexity、Grok 3、DeepSeek R1、Kimi，共七个。均经标准网页界面，不用 API、第三方插件或越狱（Section 4.2）。
• 文件：全部为 Word（.docx），正文看起来正常，中段插入一条指令。作者称多数服务会把上传文件转成纯文本，因而攻击不依赖格式；论文未报告其他格式的结果。
• 用户任务：上传后提交通用提示，文中例子是摘要该文档，再看输出是否反映嵌入指令。
• 变体：任务抑制、输出替换、行为重定向、框架操纵。各一条自然语言指令，作者称故意保持简单且不针对特定平台（Section 4.3）。
• 指标：Table 1 的二元结果，无数值阈值，无单独评审模型。图例：✓ 为拦截（忽略嵌入指令），✗ 为成功（遵循嵌入指令）。
• 规模：论文未报告每格样本量、重复次数或随机种子。只提到 Kimi 在相同测试上回答有变化，未给次数。

主结果

下表把 Table 1 的 ✓/✗ 转写为拦截/成功。

表格较宽，可左右滑动

平台	任务抑制	输出替换	行为重定向	框架操纵
Grok 3	成功	成功	成功	成功
DeepSeek R1	成功	成功	成功	成功
Kimi	成功	成功	成功	成功
Gemini 2.5 Flash	拦截	拦截	成功	成功
Perplexity	拦截	拦截	拦截	成功
Claude Sonnet4	拦截	拦截	拦截	拦截
ChatGPT 4o	拦截	拦截	拦截	拦截

• 作者称这类攻击对多数平台有效；正文点名 Claude Sonnet4 与 ChatGPT 4o 四类都忽略了嵌入指令，Grok 3、DeepSeek R1、Kimi 则执行了测试中的每一条。
• 作者认为很短的嵌入指令也能越过内容清洗并改变行为，并认为这指向缺少输入边界约束。作者称 Figure 4 中 Grok 3 未做摘要，而输出了攻击者指定内容。
• 作者称各攻击类型的现实含义不同：抑制可使下游流程得不到响应，替换会注入无关或编造内容，重定向带来钓鱼风险，框架操纵会扭曲基于摘要的判断。论文没有单独解释框架操纵一列为何拦截更少。

敏感信息外泄扩展

• 测了什么：把行为重定向延伸为从本对话先前用户输入中抽取敏感信息（文中例子为口令），写入出站链接，并只输出推荐访问的句子（Section 4.5）。
• 结果：作者称 Figure 5 中 Grok 3 遵循了该指令，把先前输入的口令放进伪装成帮助性重定向的链接。论文未报告其余六个平台在该扩展上的结果。
• 作者解读：作者称该做法只用自然语言和明文 URL、不用复杂排版，因而更难发现，也更像正常建议；并称攻击者可以改用混淆或编码载荷。测试用明文，且在受控环境中进行。作者认为这类攻击可能发展成更隐蔽、自动的外泄。

同输入下的输出差异

• 测了什么：作者观察到部分平台对相同输入的行为不一致，点名 Kimi。
• 结果：相同测试用例上回答有变化。论文未报告变化次数或比例。
• 作者解读：作者认为可能来自解码随机性或输入预处理。另称 DeepSeek 有时会加免责声明，调措辞或可避开，但本文评的是默认条件，未给出调优后的结果。

其他消融与分析

• 嵌入位置：实验仅中段；作者称中段更不易被看见且预处理常保留，无位置对比数字（Section 3.3、4.2、Figure 3）。
• 指令措辞：未报告平台定制措辞相对默认措辞的成功率（Section 4.3）。
• 文件格式：实验均为 .docx；未报告 PDF 或纯文本对照（Section 4.2）。
• 交互轮次：报告的是单轮；未报告多轮结果（Section 5.3）。
• 防御建议：第 5.2 节四条均无实验数字。
• 外泄载荷：只报告明文演示，未报告编码变体的结果（Section 4.5）。

作者指出的局限与后续方向

• 研究限于公开网页界面上的单轮交互（Section 5.3）。
• 未考察多轮持久、长期记忆泄露，以及与账户绑定的提示投毒（Section 5.3）。
• 全部外泄测试在受控环境中进行，未接触真实用户数据，也未部署恶意基础设施（Section 5.3）。
• 后续应设计具备防御意识的提示词架构，并开发针对嵌入指令的自动检测工具（Section 5.3）。
• 需评估对齐调优后的模型能否稳定区分任务指令与嵌入的对抗内容（Section 5.3）。
• 需考察安全提示词设计准则能否在各服务间一致采用，尤其是 LLM API 进入文档工作流之后（Section 5.3）。Section 6 另称需要更强的可信指令与不可信输入隔离，以及更透明、标准化的提示词构造。

实验覆盖范围

• 被测服务为 ChatGPT 4o、Claude Sonnet4、Gemini 2.5 Flash、Perplexity、Grok 3、DeepSeek R1、Kimi，均用默认网页界面，不用 API、插件或越狱（Section 4.2、Table 1）。
• 四类攻击各一条自然语言指令；文件为中段嵌入的 .docx；用户侧为摘要类通用任务（Section 4.2–4.3）。
• 外泄扩展只写明 Grok 3 遵循指令，并把先前提到的口令写入链接（Section 4.5、Figure 5）。
• 论文未报告每格样本量、重复次数、温度，以及自动评审与人工的一致性。
• 第 5.2 节列出组装接口、来源分离、内容清洗和输出渲染四类建议，论文未报告相应实验数字。

prompt-in-content 攻击把指令放进会被上传的文件，使用户的普通文档任务变成触发器。

• 问题：支持上传的 LLM 服务常把系统指令、用户查询和文档拼在一起。作者认为文件中的自然语言会被当成可执行意图，用户并不知情，也不需要攻击者操作界面或 API。
• 做法：第三方事先嵌入一条未混淆的自然语言指令。四类目标是抑制原任务、替换输出、把用户引向外部资源、以及操纵文档的叙述框架。是否成功，看模型有没有遵循该指令。
• 主结果：在七个服务的默认网页界面、中段单条指令的 .docx 上（Table 1），Grok 3、DeepSeek R1、Kimi 四类均为成功；Gemini 2.5 Flash 在重定向和框架操纵上成功，前两类拦截；Perplexity 仅框架操纵成功；Claude Sonnet4 与 ChatGPT 4o 四类均拦截。
• 外泄：作者称 Grok 3 在重定向扩展中，把对话里先前输入的口令写进推荐链接（Figure 5）。其余平台的该项结果未报告。
• 作者的结论：成因是提示词拼接和缺少来源隔离。作者称各平台防御不一致，若存在也是临时且未文档化的；需要把可信指令与不可信输入分开，并标准化提示词构造。作者同时把证据范围写为单轮公开网页界面。