50 轮潜伏者：Agent 如何把指令藏在明处

Failure-First 的一篇分析文章讨论长周期 Agent 的提示注入问题，指出注入指令可在 50 多轮完全正常的行为之后才触发有害动作，此时原始注入文本已从上下文窗口中消失，只剩 Agent 自己生成的推理在承接被污染的目标。文章引用 Deep-Cover Agents（ICLR 2026）对 Claude Code、Gemini-CLI 等生产系统的评测，称注入后 50 多轮完全正常的行为是可以实现的。AgentLAB 基准（arXiv:2602.16901）显示，渐进式行为偏移把某些前沿模型上的攻击成功率从 62.5% 提升到 79.9%。注入深度研究（arXiv:2601.15324）发现约 86% 执行深度处的载荷遵循度最高。文章还指出指令层级训练、工具隔离和轨迹监控等现有防御在长周期条件下效果下降，并主张对 50 至 100 步的执行做持续状态记录与审计。