从盾牌到靶子：针对基于 LLM 的 Agent 护栏的拒绝服务攻击

《From Shield to Target》研究提出一种针对 LLM Agent 护栏的推理扩展拒绝服务攻击，攻击者向 Agent 环境注入模仿护栏分析结构的载荷，把护栏拖入自我强化的推理循环，使其无法下达裁决。独立评测中 token 放大达 13–63 倍，约 800 字符的载荷可迫使护栏生成超过 50,000 字符的推理，真实部署中延迟放大最高达 148 倍。在 TS-Guard-8B 上优化的载荷可迁移到 GPT-4o-mini、Claude-3.5-Haiku 和 Gemini-1.5-Flash。研究指出设置 token 预算或超时无法解决，只会让开发者在 fail-open 的安全缺口与 fail-closed 的可用性缺口之间二选一。