提示注入 · 论文

• 定位与目标：本文针对智能体支付协议 AP2，研究商户利用商品描述影响智能体决策的推理层攻击面，并提出了协议层绑定防御机制 A-VIP 与评测基准 AP2-WhisperBench。
• 要解决的问题：现有支付协议的密码学签名仅能证明交易未被篡改，但未约束生成交易的决策推理；商户在商品描述中植入不含违规指令的事实性断言即可左右购物结果，且生成的购物车完全符合协议校验。
• 方法要点：A-VIP 将用户签名意图转变为权能授权。针对凭据泄漏（Vault Whisper），引入 DDFC 使用单次会话令牌替代用户标识符；针对购物车篡改（Branded Whisper），通过快照进行实体与展示的算术与标识比对；针对事实性诱导（Selection Whisper），通过与最低价基准比对将未授权支出露出给用户确认。
• 关键实验发现：
  1. 在 AP2 默认的 Flash-Lite 预览模型上，Vault 与 Branded 攻击成功率分别达 90% 与 56%（Table 3）；Selection 攻击在 GA 后续版本上达 73.3%（Table 3）。
  2. 事实性操纵在 17 个 Google 模型上成功率为 23.3% 至 73.3%（Table 4），在多厂商 27 个模型汇总达 71.8%（Section 7.4），仅 claude-opus-5 出现较低成功率（1.2%）。
  3. A-VIP 结构化检查以零假阳性闭环拦截了全部 7 类购物车篡改，并在 68 个被操纵购物车中 100% 露出了未授权支出（Table 11）。
  4. 辅助内容扫描器在 Intel i7 CPU 上单核达 1,932 次/秒，8 线程达 10,328 次/秒（Appendix C）。
• 作者结论与启示：作者指出模型抵御能力与模型规模、厂商或定价无直接对应关系，支付协议设计者无法依赖下游模型自觉防御，必须在协议层将凭据、购物车与支出严格绑定到用户初始授权上。

• 论文定位：这是一项针对分层多智能体系统在间接提示注入威胁下的安全性与防御协议研究。
• 核心问题：现有单智能体系统级防御（如 CaMeL）无法在多智能体交互中自动组合，上游智能体获取的非可信数据经跨边界传递后会被下游智能体的规划模型视为可信输入，从而发生“边界清洗”并劫持系统控制流。
• 防御方法：提出 multi-CaMeL 通信协议与扩展解释器，将跨智能体调用强制解耦为可信指令通道（message）与不透明数据通道（variables），在运行时维持指令通道完整性与数据溯源。
• 核心实验结果：
  • 在 MultiAgentDojo 上，multi-CaMeL 将 5 款模型的平均攻击成功率从无防御的 12.9% 和单智能体 CaMeL 的 0.2% 降低至 0.0%，消除了残留攻击（Table III）。
  • 在良性效用上，AssetOpsBench 中 multi-CaMeL 较单智能体 CaMeL 平均仅多损失 3.2 个百分点，在 Claude Fable 5 与 GPT-5.5 上额外损失仅 0.85 个百分点（Figure 5）。
  • 效用损失随着模型能力的提升而呈现收窄趋势，作者称这提示能力更强的模型更能适应预定义控制流与变量解耦的约束（Figure 5、Figure 6）。
• 作者结论与启示：作者指出“跨越智能体边界不得隐式提升信息的可信度”是多智能体安全的核心原则；单纯保护每个个体智能体并不足以保障系统安全，必须在系统交互接口处对指令与数据实施显式隔离。

• 论文定位：论文构建了评估针对生成式引擎优化（GEO）隐蔽虚假信息攻击的防御基准 COUNTER-GEO-BENCH，并提出了轻量分块级防御基线 C-GEO Guard。
• 核心问题：攻击者利用良性 GEO 优化策略将针对性虚假事实伪装成合规且流畅的网页内容，经正常检索进入生成式搜索引擎摘要阶段并误导受害 LLM；现有安全护栏主要针对毒性与策略违规，在此类事实扭曲威胁下缺乏拦截能力。
• 方法要点：通过双配对机制（信息保留 IP 与信息扭曲 ID）隔离虚假信息效应与 GEO 可见性增益，结合四维几何平均质量门控与人工核验构建 247 个高质量查询实例；提出参数量仅 184M 的 C-GEO Guard，利用对比学习提取攻击类别原型向量进行检索分块过滤。
• 关键实验结果：
  • 未防御流水线在三款开源 LLM 上的平均 ASR 达 55.7%（Table 3）。
  • Granite Guardian 与 Llama Guard 3 仅使平均 ASR 分别降低 1.7 与 3.2 个百分点，且 Granite Guardian 在 Llama-4 上误删反驳分块导致 74 个查询恶化，充当了攻击放大器（Table 3，§6.2）。
  • C-GEO Guard 将三模型平均 ASR 降至 29.2%（绝对降幅 26.5 个百分点，相对下降 47.6%），在保持回答质量与准确率的同时，跨模型迁移至 GPT 5.5 重写时 ASR 仍降至 22.1%（Table 3，Table 6）。
• 作者结论与启示：作者认为安全分类护栏与同上下文蕴含检查无法有效抵御 GEO 虚假信息，但通过定向对比表征能够以较小算力代价实现有效拦截，未来亟需结合跨源分歧量化与外部核验构建纵深防御体系（§7，§8）。

• 定位与核心问题：论文针对智能体浏览器在处理网页时容易遭遇提示注入并被操纵为混淆代理的问题，指出当前主流的“人在回路”确认弹窗因依赖模型生成摘要或页面可控标签，易受 Lies-in-the-Loop 伪造，无法提供安全保证。
• 架构方案设计：提出了可验证操作卡（Verifiable Action Card, VAC），将安全根基从模型叙述转移至底层动作本身。核心包括：从 DOM 待执行表单中提取真实的收件人、金额与目标域名的操作描述符（C2）；在浏览器可信 chrome 中渲染默认拒绝的独立卡片（C3）；通过结构特征与意图来源进行风险分级（C4）；并在动作分发瞬间重新校验参数以防范 TOCTOU 篡改（C5）。
• 主要实验结果：
  1. 在跨 5 个开源模型的评测中，无门控时攻击成功率平均为 78%（各模型介于 68% 至 100%），VAC 将所有模型的攻击成功率降至 0%（Table 8、10）。
  2. 朴素人在回路（Naive HITL）面对伪造标签时攻击成功率仍高达 72%，在转账伪造场景下被骗率达 100%，而 VAC 在相同条件下将 ASR 降至 0%（Table 10、第 8.1 节）。
  3. VAC 在 293 次评测中保持了 78% 的良性任务完成率，误报拦截率为 0%，平均每个良性任务仅需 0.94 次确认（Table 10）。
  4. 面对提交时篡改参数的自适应 TOCTOU 攻击与虚假归因攻击，无门控与 Naive HITL 均告失守，VAC 借助执行绑定与域名级归因实现了拦截（Table 9）。
• 作者结论与启示：作者认为，人机协同防御的有效性完全取决于呈现给人类的证据质量；将确认逻辑绑定至真实动作并脱离模型与页面渲染信道，为自主智能体提供了不受模型鲁棒性波动影响的系统级安全防线。

论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。