提示注入 · 论文

本文研究了持久化个人智能体面临的隐蔽记忆注入威胁，提出了一套兼顾写入、隐蔽与跨会话生效的自动化生成框架与全周期评测基准。

本文系统分析了真实世界 AI 智能体 Harness 上下文组装机制的安全性。

• 论文定位：该研究探讨了基于 harness 架构的智能体在持久记忆机制下所面临的新型跨会话安全与隐私风险。
• 研究问题：现有提示注入多局限于单次会话，而传统后门攻击往往依赖较强的访问权限；论文研究在攻击者无法直接访问智能体的前提下，嵌入外部源的恶意指令能否诱导智能体将其持久化并引发跨会话隐私泄露。
• 攻击方法：提出的 PMPA 采用两阶段流程，在注入阶段将包含过渡句、记忆写入指令和条件恶意规则的三组件载荷置于外部良性内容中，诱导智能体在问答时写入持久记忆；在触发阶段，用户执行正常工作区任务时激活存储的恶意规则，实现隐私窃取。
• 核心实验发现：
  1. 在全场景平均下，OpenClaw 的 ISR 与 C-ASR 分别达到 73.7% 和 55.5%，Claude Code 对应达到 66.9% 和 81.7%，且良性任务 Utility 均保持在 80% 以上（摘要及 Table 1）。
  2. 文本模态的攻击效果高于多模态输入，OpenClaw 上文本输入的 ISR 达到 99.4 ± 0.8%，而图像与 PDF 的 ISR 分别为 54.5 ± 2.2% 与 67.2 ± 11.6%（Table 2）。
  3. 日历场景在两个系统上均取得突出的跨会话攻击效果，Claude Code 与 OpenClaw 的 C-ASR 分别达到 96.7 ± 4.7% 和 87.8 ± 9.5%（Table 3）。
  4. 三明治提示词防御能有效降低图像与 PDF 的注入率（如 Claude Code 图像 ISR 从 65.6% 降至 2.2%），但在日历场景中一旦记忆被投毒，Claude Code 的 C-ASR 仍维持在 96.7% 不变（Table 6）。
• 作者结论与启示：作者认为持久记忆机制打破了单任务交互的安全边界，未经验证的外部数据可能使智能体形成长期的恶意潜伏行为；作者指出当前的提示级防御难以抵御已持久化的记忆投毒，智能体安全亟需从架构与记忆管理机制层面设计更有效的防护方案。

论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。

• 研究定位：针对长生命周期智能体中用户批准持久化存储带来的安全隐患，论文提出了残余权限重放（Residual-Authority Replay）攻击框架。
• 核心问题：传统权限控制存在时序盲区，用户在良性上下文中做出的单次批准被转化为长期生效的机器规则后，脱离了原有的任务背景，形成可被后续攻击无感复用的残余权限。
• 方法设计：通过逆向分析智能体授权机制与代码实现，先推导出攻击目标所需的敏感操作权限，再利用良性交互诱导用户合法批准并持久化该权限，最后在对抗性上下文下触发目标动作并重放权限绕过确认。
• 关键实验结果：在 508 个 AgentDojo 案例中，良性历史授权使受影响模型在 h=64 时的 ASR 达到 0.114–0.351（相比新鲜状态下的 0.000），其中 Gemini-3.1-Flash-Lite 增幅达 35.1 个百分点；在 55 个 Terminal-Bench 真实案例中，三款代码智能体的 ASR 平均增加 24.9 个百分点。
• 细粒度与防御表现：将授权精确至具体资源时仍存在 0.012–0.039 的 ASR，而任务感知防御 Progent 将 ASR 压制在 0.009 以下，PAuth 与禁止重放策略可将 ASR 降为 0。
• 结论与启示：作者指出持久化授权有损地编译了人类同意，单纯收紧匹配粒度无法根除授权与执行在时间上的脱节，未来的智能体授权机制需要在保留复用效率的同时对上下文环境绑定进行动态重新验证。