一个单词就能打开安全大门：Agent 护栏中的选项通道攻击

南加州大学研究人员 2026 年 10 月 8 日发布论文（arXiv 2610.12292），评估 7 个开放权重模型作为 Agent 安全护栏的可靠性，提出针对类型化决策模型的选项通道攻击。实验显示，在工具输出中追加六行无关日志，就能让原本正确拦截的危险操作约 63% 被错误放行；在仅改选项名称、不动待检内容的特定实现下，错误放行率可达 93%～100%，Qwen2.5-7B 在 GuardBench 上的平均错误放行率从 4.7% 升至 100%。被攻击翻转的决策不一定表现为低置信度，仅复核约 10% 请求也只能把错误放行率降到约 54%。提示指令、结构化输入等防御在自适应攻击下仍可被绕过，而基于解析结果的确定性规则在 GuardBench 上达到 100% 准确率；攻击前提是攻击者能影响选项名称且名称进入模型输入。