通过结构化模板注入实现 Agent 劫持自动化
Automating Agent Hijacking via Structural Template Injection
论文速读
据论文全文整理（AI 生成），以原文为准
研究者提出 Phantom，一个基于结构化模板注入的自动化 Agent 劫持框架，在 AgentDojo 上对七个闭源 Agent 取得 79.76% 的平均攻击成功率。
- LLM agent 的 agent hijacking 被 OWASP 列为关键威胁，现有攻击多依赖手工构造的语义提示注入，成功率低且难以迁移到闭源商用模型。作者认为根源在于这些攻击针对语义行为，而非 agent 处理对话所依赖的 chat template 架构机制。
- 提出 Phantom，利用 Structured Template Injection 向检索内容注入优化过的结构化模板，诱发角色混淆，使 agent 把注入内容误当作合法用户指令或先前工具输出。为提升黑盒迁移性，先做多级模板增强，再用 Template Autoencoder 把离散模板映射到连续隐空间，最后用贝叶斯优化搜索最优对抗向量。
- 在 AgentDojo 上对 Qwen、GPT、Gemini 等七个闭源 agent 测试，平均 ASR 达 79.76%，高于 Single-Template（54.09%）、Semantic-Injection（39.86%）和 ChatInject（38.46%）。在 942 个商用 agent 中发现 70 多个漏洞，涉及数据外泄与远程代码执行，并报告了 MCP 相关 CVE 及 Agentbay 云平台提权问题。
- 研究仅限文本交互，未覆盖多模态 agent；黑盒威胁模型假设不了解目标模板，内部人员可能构造更强载荷；依赖迭代查询反馈，可能受速率限制或异常检测影响；指标只衡量即时劫持成功，未考虑长期持久性。未来方向包括架构级防御原语、多模态威胁模型和标准化基准。
研究者提出 Phantom，一个基于结构化模板注入的自动化 Agent 劫持框架，在 AgentDojo 上对七个闭源 Agent 取得 79.76% 的平均攻击成功率。该方法向 Agent 检索到的外部内容注入聊天模板的特殊 token 与分隔符，伪造对话历史并引发角色混淆，使 Agent 把注入内容当作合法用户指令或此前的工具输出，从而绕过以语义对齐为主的防御。为在黑盒条件下搜索模板，作者先用多级模板增强构建种子池，训练基于 Qwen3-0.6B 的 Template Autoencoder 把模板映射到连续隐空间，再用贝叶斯优化寻找高成功率模板。在 942 个商用 Agent 的大规模测试中，作者称发现 70 多个漏洞，包括开源框架 MCP 集成中的 CVE-2025-6***4 和针对 Agentbay 云平台的权限提升，并称均已按负责任披露流程获得厂商确认。
推荐理由论文给出结构化模板注入的跨模型攻击成功率与真实产品漏洞披露结果，部署 Agent 的团队可据此检查模板解析与工具输出清洗。