特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

论文速读

问题

间接提示注入（IPI）通常在代理读取内容时立即触发。作者提出“explosive prompt”：把恶意载荷写成条件式，潜伏到攻击者选定的触发条件（如用户说“thanks”）出现时才执行，从而获得注入与执行的时间分离。

方法

用组合式生成器把越狱、条件词、触发器和载荷拼成条件式提示，与同一目标的命令式 IPI 配对，在 AgentDojo 上做真实多轮工具执行实验；并测试九款生产代理、三种已部署注入分类器和七个基础模型，另提出轻量检测器 DeFuse。

实验与结果

在七个模型上，条件式提示的执行率均不低于命令式（配对均值 16.5% vs 2.4%），在拒绝命令式的模型上最高达 34.2%，且几乎都在触发轮才触发；九款生产代理中成功率 43–83%，命令式基线至多 3%；已部署分类器在阈值下漏检，SecAlign 仍执行 11.8%。用生成器数据重训后，编码器类检测器把攻击成功率从 34.3% 降到 7.5–8.1%，DeFuse 在 5% 误报预算下为 3.0%，AUC 0.9994，延迟 1.16 ms/文档。

局限与可以继续做的

生产应用结果仅 n=30，属可行性估计；模型与工具套件范围有限；DeFuse 只针对条件式表层结构，未针对会改写条件的自适应攻击者加固，且需按文档长度调整阈值；实验只覆盖两轮会话，载荷能否在更长会话中存活尚未验证。

据 论文全文（AI 生成） 整理，供快速了解，以论文原文为准。