提示注入 · 论文

• 定位与核心问题：本研究系统评估了MCP工具调用流水线中的输入信任问题，针对所有通道共享单一上下文且缺乏权限隔离的设计弱点，探索恶意MCP服务器如何利用多通道实施凭证外发。
• 方法核心要点：通过受控测试5个输入通道与6种载荷构架建立了模型的隐式信任画像；提出双通道与三通道分段攻击，将恶意模式与映射指令分散在工具描述与工具结果等不同通道；针对强抵御模型设计了符合工具声明目的的价值对齐利用，以及利用VS Code采样接口注入配置提示词的系统提示词覆盖攻击。
• 关键实验结果：
  1. 双通道分段攻击使12个模型的平均遵从率从单通道的42%上升至82%，使GPT-4o、Gemini Flash与Llama 70B从0%遵从跃升至100%（Table IV）。
  2. 三通道分段攻击使在单通道和双通道下完全防御的Claude Haiku 4.5在Cursor中遵从率达到100%（20/20）（Table IV）。
  3. 针对抵御所有分段攻击的Sonnet 4.6与Opus 4.6，泄露凭证扫描器在Cursor中实现了20/20与18/20的.env文件外发（Table V）。
  4. 受测的7款主流第三方MCP安全工具对两通道与三通道分段攻击的检出率均为0%（Table IX）。
• 作者结论与启示：作者认为模型的安全性不仅取决于训练对齐，更是模型与具体部署环境（如客户端系统提示词）交互的产物；现有多通道共享上下文且无特权分级的架构存在根本性安全缺陷，亟需在客户端实施通道特定的输入清洗、严格的工具参数类型约束以及跨通道安全感知训练。

• 研究定位：该研究展示了一种针对黑盒商业大模型的新型攻击向量，表明此前依赖微调接口的任意密码越狱已能直接通过常规对话接口实现。
• 核心问题：现有防御依赖默认放行的有害性分类器，且既有研究认为未见密码无法直接在聊天中生效；作者试图验证前沿模型能否仅凭提示词掌握任意字母置换并突破安全对齐。
• 方法设计：攻击通过提示词静态输入置换规则与加密问答对，利用上下文学习使模型掌握字符映射；方法包括全量单轮置换与基于词频递增的迭代算法，并在调用时关闭模型 reasoning 以防止其显式解密。
• 关键实验发现：在 5 次采样评估中，Claude Sonnet 4 单轮攻击达到 100% ASR（7+ 置换）；Gemini 3 Flash 迭代算法达到 100% ASR（10+ 置换）；GPT 5.5 结合 crescendo 越狱达到 100% ASR；Claude Sonnet 4.5 定制置换下达到 80% ASR；而 GPT-4 等前代模型 ASR 均为 0%（Table I、II）。
• 作者结论与启示：作者认为前沿模型能力的提升使得此前不可行的分布外通信成为现实，从而打开了新型攻击面；当前对齐在足够困难的通信任务下容易被旁路，强制启用 reasoning 或部署专门的隐蔽通信检测分类器是潜在的缓解途径（Section VII）。

论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。