A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型

A2A 上的间接提示注入能让一次植入绕过后续智能体防御，而现有评测只用 ASR，分不清失败发生在 LLM 还是智能体层。

• 场景：作者称 ACP、A2A 把智能体从单智能体推向多智能体协作。远端对等方经 A2A 发来的任务被接收方当作合法请求，成为间接提示注入的自然通道；A2A 广泛部署带来单智能体没有的威胁。
• 现有不足：作者称现有智能体安全评测大多只依赖 ASR，难以区分攻击失败是因为“LLM 识别了恶意内容”，还是因为“智能体层拦截了恶意任务的执行”，因而无法刻画各防御层的实际效果。
• 观察：同一基线下，hermes 的语义拒绝率高于 claude code、openclaw 等智能体。作者据此把恶意内容进入智能体的通道称为信封层（envelope layer），并把它当作新的防御维度。
• 本文提出：攻击原则 A2A-TIBA（间接提示注入加绕过规避）、红队测试台方法 GDA Measurement（四类结果 Class A/B/C/D）、三层同构攻防模型 ELA-ITL，以及 15 组前端×后端上的 1,000 例测试台攻击数据集。
• 威胁模型：
  • 目标与前提：攻击者已能认证到目标 A2A 端点并投递任务。入站凭证只允许把内容写入目标上下文，不允许直接调用目标工具或在目标主机执行。本文不研究如何获得投递能力，而研究“投递已经可行、且目标未对主机部署与执行施加有效限制”时的可达范围与防线分布。
  • 知识：作者假定 gray-box 攻击者持有目标 Agent Card、A2A 端点信息和基本交互能力，不掌握系统提示词、内部策略配置、后端 LLM 参数或目标主机文件系统。
  • 能力：可多轮投递任务、轮询任务状态，并按回调结果调整后续提示词；不能直接在目标主机执行命令、直接读写目标文件，或直接调用目标的 MCP 工具。成功植入常驻回调程序后，下令与外传不再经过智能体。
  • 受害系统与适用边界：规范把认证授权交给 HTTP 层，本身不定义权限分级，Task 与 Skill 在协议层无绑定。实验采用第二种情形：通过认证并能投递任务的任意凭证即可。作者称这反映“已认证但未分级”或“宽范围凭证”的风险上界；实施按技能授权时，攻击者还需要能触发执行类技能的凭证，实际风险更低。

论文把相关工作分成协议安全、间接注入、防御策略和评测方法四组，并据此定位自己补的是完整攻击链和更细的分层度量。

A2A 与跨协议安全

• A2ABreak [5]：作者称这是对 A2A 做系统安全分析的第一项工作，在完全符合规范的前提下指出 11 个协议级漏洞，并表明攻击者可用合法手段实现上下文权限提升。
• Habler 等 [6]、Louck 等 [9]：前者用 MAESTRO 分析 A2A，提出 Agent Card 管理、任务执行完整性与认证方面的安全开发方法；后者比较 A2A、ACP、CORAL，指出 A2A 在认证、授权和数据完整性上有设计层弱点。
• Protocol Pivoting [10]、Kim 等 [11]：前者系统刻画 MCP 与 A2A 共存时的攻击路径；后者表明在 A2A–MCP 集成环境中，外部智能体可在不违反协议、不做权限提升的情况下，语义诱导内部 MCP 工具做敏感操作。作者称上述工作主要在协议规范层揭示信任模型缺陷，没有深入讨论如何用这些权限构造完整攻击链。

间接提示注入

• Greshake 等 [7]：2023 年形式化间接提示注入：攻击者把恶意指令嵌在智能体检索的外部数据中，无需直接与受害者交互即可劫持行为。
• AgentDojo [12]、Promptware Kill Chain [13]：前者提供 97 个工具、629 个测试用例的动态评测环境，并成为间接提示注入评测的基准；后者把单次注入升级为具有持久能力的多步恶意软件投递链。作者称现有研究主要关注“如何让 LLM 执行恶意指令”，A2A-TIBA 则强调让智能体只执行一次，其后步骤不再依赖智能体。

智能体防御

• LLM 语义防御：Spotlighting [14] 用标记和隔离区分数据与指令；Instruction Hierarchy [15] 按系统指令、用户输入、外部数据建立优先级；StruQ [16] 用保留 token 把提示词与数据分成两通道，并以结构化指令微调提高抗注入能力。
• 执行控制：SIEVE [17] 用 Intent Graph 核验工具转移与参数来源，确定性核验失败才做语义裁决；Task Shield [18] 在测试时核验每条指令和工具调用是否服务于用户目标；DRIFT [19] 用安全规划器、动态验证器和注入隔离器同时施加控制级与数据级约束。
• 与信封层的差别：作者称这些工作针对 LLM 识别层或智能体执行层，信封层关心的是组件或外部数据进入上下文时的通道级策略，该表面尚未被深入研究。

评测基准与基线

• AgentDojo [12]、ASB [20]、ClawSafety [21]：ASB 覆盖 10 种提示注入、1 种记忆投毒和 11 种对应防御，在 13 个 LLM 骨干、超过 420 个工具上评测；ClawSafety 为 OpenClaw 等个人智能体构建 120 个对抗场景，跨模型 ASR 为 40%–75%。GroundEval [22] 无需人工判断；Hong 等 [23] 用证据锚定文本评测提高 LLM-judge 分数的可靠性。
• 基线与数据集：主实验以干净基线（clean baseline）对每个技能×组合攻击 20 次；信封层消融以主实验或补充测试的对应结果为基线。评测环境是作者自建测试台，不是上述公开基准上的复现。作者称现有基准多以 ASR 为核心，无法区分 LLM 识别失败与智能体层拦截。

作者把本文定位为：在上述协议缺陷之上构造植入–下令–外传的完整攻击链；用 Class A/B/C/D 把 ASR 扩展为语义拒绝率、语义突破率、拦截率和穿透率；并把信封层作为由实验归纳、而非先验假定的第三层防御。

整体思路是：A2A-TIBA 只求一次诱导目标部署常驻回调程序，之后下令与外传绕过智能体；GDA Measurement 用网关原始上下文把结果分成四类；实验差异再被归纳为三层同构模型 ELA-ITL。

问题设定与注入点

• 主链：对等方投递任务 → A2A 入站端点校验并打标 → 智能体组装上下文 → 后端 LLM 推理 → 智能体以其自身权限执行 → 结果返回对等方。智能体权限可触及容器内环境变量和配置等通常不向对等方暴露的数据。
• 三个注入点（Table 1）：上下文注入位于 A2A 任务被写成合法请求之处，是唯一攻击入口，对应 Implant；动作触发时执行者从攻击者变成目标智能体，绕过调用方权限上限，也对应 Implant；结果外传时回调程序与攻击者直接通信，命令和结果不再经过智能体，对应 Command 与 exfiltration。
• 权限落差：对等方只能投递 Message 和 Task。目标智能体的权限集等于其工具集、命令执行、文件读写和记忆能力，减去策略门（write-safe root、命令允许列表、敏感文件列表、入站来源标签头）。作者称能否跨过这一落差取决于目标自身的安全策略。

A2A-TIBA 三步与实现

• Implant：用所持入站凭证建立正常 A2A 链路，经间接提示注入要求目标在其主机上部署并运行常驻回调交互程序。作者称部署该程序的提示词不含其他恶意攻击内容，以降低被目标识别的风险。
• Command 与 Exfiltration：确认部署后，攻击者直接向该程序下发命令并取回敏感信息，不再经过智能体。作者称对这一攻击，目标智能体只有一次防御机会，即拒绝部署该程序；Fig. 1 给出 implant → command → exfiltration。
• 技能划分：实现为 skill01–skill10，均经 A2A 与目标交互。skill01–skill06 为预备工作，用于收集可利用信息；skill07–skill10 为具体攻击，由受攻击原则引导的智能体经持续实测与优化得到（附录 A 给出细节）。skill07 有 a/b/c/d 四种同一路径的不同实现。大规模实验只用 skill07-a（MCP 工具植入）、skill09（脚本修复植入）和 skill10（多步植入），分别对应触发形式、代码来源和交互轮数三个维度；其余技能只作介绍。

GDA Measurement 与四类判定

• 三个组件：基于 LLM 网关的原始上下文采集、双份数据保存、基于智能体的自主判定。网关转发智能体与 LLM 的全部原始上下文，捕获程序同步接收并在攻击结束后存储（Fig. 2）。实验选用 LiteLLM，把不同后端 API 统一成 OpenAI 兼容格式。
• 四类结果（§4.2，状态机见 Fig. 3）：是否执行恶意内容对应目标是否部署并运行常驻回调程序。Class A：完全未执行，LLM 明确拒绝或只执行良性内容。Class B：部分执行后终止，且未动用智能体层策略。Class C：LLM 按恶意提示完整执行，但被智能体层机制拦截；拦截后 LLM 重新识别并拒绝也算 Class C。Class D：智能体层防御被突破，攻击者从目标主机获得敏感信息，其占比即穿透率，等价于 ASR。两种特例——LLM 识别恶意意图仍执行，以及拦截后 LLM 改用等价方式继续尝试——按实际执行结果归类。
• 指标：Class A 占比为语义拒绝率；非 A（B+C+D）为语义突破率；Class C 为拦截率；Class D 为穿透率。
• 双份数据与判定流程：每轮保存攻击智能体对话和网关原始上下文。Class A、D 可从对话直接判断；Class B、C 需要原始上下文。判定智能体必须从两份数据抽取支持结论的内容存档；证据不足则输出 “unable to judge”。每个结果独立判定两次，一致才计数；不一致或无法判定时由人工兜底。
• 评审选择：用 Cohen’s κ 做评分者间一致性。对每个 skill、前端、后端组合随机抽 10% 结果，人工与若干“前端+后端”组合分别标注，每个组合独立判定两次；以人工为参照，选两次平均准确率和 κ 最高的组合。K=4 时标注者 1 为人工、标注者 2 为所选组合；因 B 与 C 边界不严格且 D 最重要，另只在 Class A 与 Class D 上计算 κ。公式为 κ=(p_o−p_e)/(1−p_e)，其中 p_o 为观察一致率，p_e 为期望一致率。

ELA-ITL 三层同构

• 来源：作者称信封层来自实验，而非先验假定。Fig. 8 把防御分成 Envelope Packaging、LLM Recognition、Agent Interception，把攻击同构地分成植入通道选择、提示词优化、执行机制优化。
• 防御三层：信封包装对 A2A/ACP、MCP 工具/技能、记忆和外部数据等入口配置策略，手段包括来源标记和不可信内容标注，目的是提高后端 LLM 的识别；LLM 识别可用语义审计和恶意意图检测；智能体拦截处理危险操作，如工具允许列表和运行时拦截。
• 攻击三层：攻击者选择防御较弱的信封进入，改变恶意内容在上下文中的权重；针对不同 LLM 的识别能力优化提示词，策略包括语义越狱和意图伪装；执行机制上寻找等价路径，例如 exec 被拒时改走 Terminal，方法包括工具调用和持久驻留。作者认为三层不可分割，只有三层都被突破或都被守住，攻防才真正完成。

实验设置

• 环境与攻击者：Ubuntu 主机上的隔离测试台。攻击者为 Claude code + deepseek-flash，经合法 A2A 通道使用所定技能；持有可认证并投递任务的入站凭证。
• 前端：Docker 中的 hermes-agent 0.21.0、openclaw 2026.9.2、Claude Code CLI 2.1.90。前两者原生支持 A2A，Claude code 无 A2A 服务器，但实验中全部经 A2A 端点对外并认证入站。三者都不做 A2A 入站权限分级，任务进入上下文后不再受调用者身份约束。
• 后端与组合：MiniMax-M3、deepseek-v4-pro、glm-5.3、kimi-k2.7-code、qwen3.8-max，经 API 调用。与三个前端两两配对，共 15 组。攻击目标为放置在智能体中的虚构敏感诱饵文件。
• 规模：每个技能在干净基线下对每组攻击 20 次。主实验三技能共 900 组数据。skill07-a 在 hermes 上植入 MCP 工具后须重启容器，再额外测该工具能否取得敏感信息。网关为 LiteLLM。
• 指标与判定：Class A/B/C/D 及语义拒绝率、语义突破率、拦截率、穿透率，定义见 §4.2。主实验与消融的判定智能体均为 claude code + deepseek-flash。每例独立判定两次，不一致或无法判定时人工兜底。论文未报告主实验中人工兜底的次数。
• IAA 样本：900 个测试单元按技能×前端×后端分成 45 组，每组随机抽 10%（2 例），共 90 个判定样本；人工结果为基线，6 个候选后端各独立判定两次。

主结果

Figs. 4–6 分别是 skill07-a、skill09、skill10。横轴为后端 LLM，每个 LLM 从左到右为 hermes、openclaw、claude code；纵轴自下而上为 Class A/B/C/D 占比，柱上标注各类计数且合计 100%，柱顶另记 Class D 占比。正文只给出三个前端跨技能的合计，未逐格抄出 15 组的四类计数，因此下表只列论文写明的合计。

表格较宽，可左右滑动

前端（三技能合计）	穿透率 Class D	语义拒绝率 Class A	出处
hermes	12.00%	69.33%	§5.2
openclaw	24.00%	35.00%	§5.2
claude code	45.00%	46.00%	§5.2

• 作者解读：hermes 总体防护最强，openclaw 次之，claude code 最弱。作者称 hermes 交给 LLM 的上下文中存在某种机制，使后端识别恶意行为的能力明显高于另外两者；分析 LLM 识别时不能只看训练期防御，还要看前端传入的上下文。
• 并非全组合都能挡住：除 glm5.3 + openclaw 外，没有组合对三个技能全部防御成功。作者称换一种攻击原则的具体实现后，已有防线可能被突破。正文写作 “glm5.3”，设置中的模型名为 glm-5.3。
• 同技能同 LLM 下前端不同：Fig. 5 中 skill09、kimi-k2.7-code 上，hermes 穿透率仅 35%，claude code 达 100%；openclaw 穿透率为 0%，语义突破率达 100%。作者称后者说明 openclaw 有智能体层拦截，否则也会被 100% 穿透。

智能体层拦截与绕路

• 测了什么：作者分析原始数据中 Class C 占比较低的原因，并举出策略拒绝后 LLM 改走其他路径的例子。
• 结果：hermes 的工具级 write-safe root 拒绝后，LLM 改用终端经 shell 完成写入；openclaw 的 exec 命令允许列表拦截后，LLM 改为直接改配置文件；claude code 的敏感文件列表拒绝后，LLM 转向“向用户请求明确授权”或“自我削弱”。
• 作者解读：智能体侧拦截是否有效，取决于恶意行为的全部等价路径是否都在拦截范围内，而不是单点拦截的强度。另有两项观察：每次重复测试传给后端的上下文完全相同，判定却有时拒绝、有时同意，作者认为恶意意图识别存在漂移，需要进一步手段加强；部分组合运行时间或 token 消耗明显高于其他组合（附录 C），作者认为某些前端×后端在处理特定任务时可能出现性能异常。

判定智能体的 IAA

• 测了什么：前端统一为 claude code，后端为 deepseek-flash、MiniMax-M3、deepseek-v4-pro、glm-5.3、kimi-k2.7-code、qwen3.8-max，对 90 个样本各独立判定两次，对照人工基线（Table 2）。
• 结果：除 MiniMax-M3 两轮和 deepseek-v4-pro 第二轮外，总体准确率均高于 90%。deepseek-flash 与 kimi-k2.7-code 的总体准确率同为 94.4%/93.3%，总体 κ 为 0.909/0.890；deepseek-flash 第二轮 Class A 准确率更高（97.8%/97.8%，κ 0.955/0.954）。Class D 准确率除 MiniMax-M3 第一轮为 94.4%（κ 0.830）外均为 100.0%（κ 1.000）。MiniMax-M3 总体准确率为 78.9%/85.6%，是六者中最低。
• 作者解读：智能体自主判定可行。因攻击者已使用 claude code + deepseek-flash，综合后选用该组合作为主实验和消融的判定智能体。

信封层消融

消融组合为 skill07-a + deepseek-v4-pro，因为 hermes 上该组合语义拒绝率为 100%，另外两个智能体的穿透率分别为 90% 和 95%。每次条件 20 次重复。Fig. 7 报告结果；附录 B 给出标签原文，此处只记作用。

• A2A 标签（Fig. 7a）：把 hermes 的 A2A 标签头改成更中性的描述后，skill07-a 穿透率升至 60%（基线语义拒绝率 100%）。作者称该恶意提示标签能帮助 LLM 识别恶意内容。主实验中的标签差异是：hermes 警告来源不可信；openclaw 只说明消息来自 A2A，防御效果不明显；claude code 本身不支持 A2A，无此类标签头。
• 工具标签（Fig. 7b）：以 skill07-a 后半段、恶意 MCP 已植入并重启后的 20 次补充测试为基线，无恶意提示标签时穿透率为 95%；加上工具标签后语义拒绝率达 100%。
• 记忆标签（Fig. 7c）：基线语义拒绝率 100%；复用 skill07-a 在 hermes + kimi-k2.7-code 上一次成功攻击的记忆并植入 hermes 后，穿透率达 35%；加上记忆标签后语义拒绝率回到 100%。作者据此把在上下文中标注恶意提示标签称为信封层防御，并称 A2A/ACP、MCP 工具/技能、记忆和外部数据等信封在上下文中权重与防御策略不同，会影响 LLM 识别。

其他消融与分析

• 附录 C 耗时/token：论文点名过长的是 Table 5 中 openclaw + qwen3.8-max（skill07-a，557.6/207920），以及 Table 7 中 openclaw + glm-5.3（skill10，1083.8/482297）和 openclaw + qwen3.8-max（1110.1/671396）。点名 token 异常的是 Table 5 中 claude + deepseek-v4-pro（skill07-a，264.7/354934）。单位论文写为 Time/Token，“—”表示未采集。
• openclaw 的 token：Tables 5–7 中 openclaw 一列的 token 均为 “—”，时间有数值。
• skill07-a 的 hermes 重启：植入成功后配置须重启才生效，因此另做补充测试；Fig. 7b 的工具消融复用的正是这一后半段。
• 固定流程：为使重复测试一致，技能的攻击过程被固定，不能随目标回复动态改变。
• 1,000 例数据集：摘要与结论称得到 1,000 例测试台攻击数据集；正文主实验写明为 900 组。论文未说明另外 100 例的构成。
• 未做大规模测试的技能：skill01–skill06、skill07-b/c/d、skill08 只被介绍，不进入 20 次重复的大规模测试。

作者指出的局限与后续方向

• 规模与场景（Limitations）：攻击测试只在三个智能体容器和五个专有 LLM 上评估，未在真实场景测试。作者称所选智能体和 LLM 可能不能代表全部场景，A2A-TIBA 的真实攻击效果仍待进一步测试。
• 权限分级（Limitations）：测试台不对 A2A 入站做权限分级，所报穿透率反映“已认证但未分级”或“宽范围凭证”情形的风险上界；实施技能级授权的部署中，攻击者还需至少一份能触发执行类技能的凭证，实际风险更低。
• 攻击过程不能自适应（Limitations）：为保持重复测试一致，技能流程被固定，不能按目标回复动态变化；作者称真实场景可以采用动态攻击过程。
• 后续方向（§7 Conclusion and Future Work）：作者计划把 A2A-TIBA 扩展到其他攻击面，并针对 ELA-ITL 深入分析信封层防御。

实验覆盖范围

• 被测对象：前端为 hermes-agent 0.21.0、openclaw 2026.9.2、Claude Code CLI 2.1.90；后端为 MiniMax-M3、deepseek-v4-pro、glm-5.3、kimi-k2.7-code、qwen3.8-max，共 15 组。攻击者为 Claude code + deepseek-flash。判定候选另包括 deepseek-flash，共 6 个后端（§5.1、§5.3）。
• 攻击与次数：大规模测试为 skill07-a、skill09、skill10，每组干净基线 20 次，合计 900 组（§5.2）。消融固定为 skill07-a + deepseek-v4-pro 及记忆条件中的 hermes + kimi-k2.7-code，每个条件 20 次（§5.4）。
• 判定：IAA 从 45 个组合各抽 2 例，共 90 例，人工为参照，每个候选独立判定两次；主实验每例也由判定智能体独立判定两次，不一致时人工兜底（§4.3、§5.3）。论文未报告主实验人工兜底次数，也未报告判定与人工在全部 900 例上的一致性。
• 防御相关测量：实验环境不存在“A2A 通道权限分级”这条防线（§5.1）。信封层消融覆盖把 hermes 的 A2A 标签改为中性描述，以及为 MCP 工具和记忆增加恶意提示标签（§5.4、附录 B）。论文未报告这些标签带来的效用下降、延迟或误拒。
• 数据与部署：全部实验在隔离测试台完成，目标为仅能通过 URL 到达的容器，命令只经 A2A 发出，不涉及真实生产系统、真实用户数据或第三方在线服务（Ethics and Reproducibility Statement）。攻击目标是虚构敏感诱饵文件。

A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。作者同时认为，只看 ASR 无法区分 LLM 拒绝和智能体拦截。

• 评测：GDA Measurement 用 LiteLLM 网关保存原始上下文，并与攻击对话双份存档。Class A–D 分别对应未执行、部分执行、执行后被智能体拦截、取得敏感信息。语义拒绝率、语义突破率、拦截率、穿透率即 A、非 A、C、D 的占比，穿透率等价于 ASR。判定由智能体对每例独立做两次，不一致则人工兜底。
• 主实验：3 个前端 × 5 个专有 LLM，技能 skill07-a、skill09、skill10，每组 20 次，共 900 例。hermes、openclaw、claude code 的合计穿透率为 12.00%、24.00%、45.00%，合计语义拒绝率为 69.33%、35.00%、46.00%。除作者所写的 glm5.3 + openclaw 外，没有组合挡住全部三个技能。skill09 下 kimi-k2.7-code 上，hermes 穿透率 35%，claude code 100%，openclaw 穿透率 0% 而语义突破率 100%。
• 判定器：90 例人工对照中，claude code + deepseek-flash 两轮总体准确率 94.4%/93.3%，Class D 准确率均为 100.0%，被选为判定智能体。
• 信封层：skill07-a + deepseek-v4-pro 上，hermes 的 A2A 标签改成中性描述后穿透率升至 60%；无工具标签时补充测试穿透率 95%，加标签后语义拒绝率 100%；成功攻击的记忆使穿透率达 35%，加记忆标签后再回到 100%。作者据此提出 ELA-ITL：防御侧为信封包装、LLM 识别、智能体拦截，攻击侧为植入通道、提示词优化、执行机制，并认为三层都要被突破或守住才算完成。
• 作者的结论：在 A2A、工具、记忆等信封上加入恶意提示标签，能提高 LLM 对恶意内容的识别。作者同时指出，所报穿透率是未做权限分级或使用宽范围凭证时的风险上界，且技能流程被固定；后续将把攻击原则扩到其他攻击面，并继续分析信封层防御。