Agent 安全 · 论文

该论文系统研究并量化了通过共享持久工件在具有独立私有内存的 LLM 智能体之间发生自传播的“工件介导传播”攻击风险。

本文研究了持久化个人智能体面临的隐蔽记忆注入威胁，提出了一套兼顾写入、隐蔽与跨会话生效的自动化生成框架与全周期评测基准。

• 论文定位：该论文是一项关于工具使用推理智能体的安全实证研究，阐明智能体安全是由模型与解码harness共同决定的复合属性。
• 核心问题：研究间接对抗输入能否通过篡改分词边界消除思维链推理，从而打破基于推理审查的安全监控假设，并分析下游工具调用解析器对动作执行的控制作用。
• 核心机制：攻击者在输入中注入模型自身的保留控制标记，构造一个预先闭合的空 analysis 通道，诱导分词器将其解析为已完成的推理轮次，促使模型跳过思考直接生成工具调用；同时解析器对缺失闭合标记的宽容匹配使得截断调用仍能触发。
• 关键定量结果：在 gpt-oss-20b 上，该注入使 40 个普通措辞任务的平均推理从 52.5 token 降为 0 且工具调用全部触发（Table 1）；在 48 个恶意任务上使规则和跨家族大模型监控器的检出率从 1.00 降为 0.00，并将 39.6% 的拒绝转变为成功外传（Table 3）；Gemma 模型在相同生成下仅因解析器不同而呈现 0% 与 100% 的成功率对立（Table 4）。
• 防御与规避发现：输入清洗需采用替换而非朴素删除以防拼接新触发词（Table 6）；空推理检测绊线可被单行良性诱饵自适应绕过并达成 1.00 的外传成功率（Table 7）。
• 结论与启示：作者认为不能单凭思维链监控保障智能体安全，防御者必须将推理审查与动作级参数检查相结合，并在解码harness中实施严格的输入清洗与解析器加固。

• 论文定位：该研究探讨了基于 harness 架构的智能体在持久记忆机制下所面临的新型跨会话安全与隐私风险。
• 研究问题：现有提示注入多局限于单次会话，而传统后门攻击往往依赖较强的访问权限；论文研究在攻击者无法直接访问智能体的前提下，嵌入外部源的恶意指令能否诱导智能体将其持久化并引发跨会话隐私泄露。
• 攻击方法：提出的 PMPA 采用两阶段流程，在注入阶段将包含过渡句、记忆写入指令和条件恶意规则的三组件载荷置于外部良性内容中，诱导智能体在问答时写入持久记忆；在触发阶段，用户执行正常工作区任务时激活存储的恶意规则，实现隐私窃取。
• 核心实验发现：
  1. 在全场景平均下，OpenClaw 的 ISR 与 C-ASR 分别达到 73.7% 和 55.5%，Claude Code 对应达到 66.9% 和 81.7%，且良性任务 Utility 均保持在 80% 以上（摘要及 Table 1）。
  2. 文本模态的攻击效果高于多模态输入，OpenClaw 上文本输入的 ISR 达到 99.4 ± 0.8%，而图像与 PDF 的 ISR 分别为 54.5 ± 2.2% 与 67.2 ± 11.6%（Table 2）。
  3. 日历场景在两个系统上均取得突出的跨会话攻击效果，Claude Code 与 OpenClaw 的 C-ASR 分别达到 96.7 ± 4.7% 和 87.8 ± 9.5%（Table 3）。
  4. 三明治提示词防御能有效降低图像与 PDF 的注入率（如 Claude Code 图像 ISR 从 65.6% 降至 2.2%），但在日历场景中一旦记忆被投毒，Claude Code 的 C-ASR 仍维持在 96.7% 不变（Table 6）。
• 作者结论与启示：作者认为持久记忆机制打破了单任务交互的安全边界，未经验证的外部数据可能使智能体形成长期的恶意潜伏行为；作者指出当前的提示级防御难以抵御已持久化的记忆投毒，智能体安全亟需从架构与记忆管理机制层面设计更有效的防护方案。

论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。