测量基于 LLM 的简历筛选中的真实世界提示注入攻击

核心问题：提示注入在真实部署的 LLM 简历筛选中有多普遍、如何随时间演化、攻击者实际采用什么形态——此前只有学术概念验证和零星个案，缺乏大规模实证。

• 场景与重要性：LLM 被用于自动化简历筛选，简历属于不可信外部数据，恶意求职者可注入隐藏提示操纵筛选结果；作者称这是高风险的真实部署场景。
• 现有研究不足：作者称现有工作多在受控学术环境或合成基准上评估，Liu et al. [25] 讨论了简历筛选注入的可能性但未做实证，真实事件（如 Bing Chat 事件、2025 年同行评审操纵）只是孤立个案。
• 检测难点：简历文本长，注入内容被淹没，作者实验显示通用检测器在简历上效果有限，因此需要面向该领域的检测与定位方法。
• 论文贡献：设计两个互补检测器 HCD 与 VDA（均已集成进 hireEZ 生产系统），并基于 hireEZ 多年收集的 196,682 份脱敏简历做大规模测量。
• 威胁模型（§3.1）：
  • 目标：恶意求职者在简历 PDF 中嵌入隐藏提示，使 LLM 筛选对其有利，且提示对人类读者不可见。
  • 知识：知道目标机构使用自动化筛选，但无法访问具体系统架构、提示词或解析逻辑，也不能观察或查询目标系统。
  • 能力：可完全控制 PDF 文档结构，包括文本位置、字体属性、颜色值和图层。
  • 受害系统：LLM 驱动的简历筛选流程；作者刻意不在部署中的筛选流水线上评估攻击是否成功。

LLM 简历筛选

• Gan et al. [9] 提出用 LLM 智能体总结、打分和排序简历的框架，作者称其相对人工筛选大幅提速。
• 行业系统如 Greenhouse、Lever 集成 AI 简历分析用于初筛 [10, 21]；作者据此说明简历筛选是 LLM 的高影响真实部署。

提示注入攻击（启发式）

• Naïve Attack [46] 直接拼接注入内容；Context Ignoring [34] 用显式覆盖指令；Escape Characters [46] 用特殊 token；Fake Completion [47] 伪造任务完成；Combined Attack [25] 组合多种手法。
• Liu et al. [25] 形式化并基准化了注入攻击与防御；作者指出其讨论了简历筛选场景但未做实证。

提示注入攻击（优化型）

• 按对目标模型的访问程度分为 white-box [15,23,32,33,37,45]、black-box [12,36]、no-box [38] 和可访问微调 API [17] 四类；如 NeuralExec [33] 联合优化分隔符与后缀，ObliInjection [44] 针对多源输入。
• 作者指出这类攻击的注入内容通常语义无意义，且整体上与启发式攻击一样缺乏真实部署测量；Mu et al. [30] 把注入攻击用于简历筛选但未做大规模真实数据测量。

防御与基线

• 防御分预防、检测、定位三类 [25]；预防类（StruQ [2]、SecAlign [3]、Meta-SecAlign [4]、SecInfer [27]、安全策略类 [5,7,16,22,39,48]）在附录 A 讨论，作者指出安全策略类不适用于无外部动作调用的简历筛选。
• 基线方法：PromptGuard [29]（训练分类器）、DataSentinel [26]（博弈论微调检测 LLM）、PromptArmor [40]（推理型 LLM 直接判定）；定位方法 PromptLocate [14] 被引用但未作基线。基线评测在作者构建的 10,000 份简历数据集（1% 恶意率）上进行。

作者定位：本文是面向真实简历筛选场景的大规模测量研究，检测器利用 PDF 视觉属性而非纯文本模式，作者称这使其能检出占主导的数据注入。

整体思路：先设计面向简历 PDF 的隐藏注入检测与定位方法 Hybrid Cascade Detector (HCD) 和 Visual Discrepancy Analyzer (VDA)，验证精度后用 HCD 对两个真实简历数据集做大规模测量，并用 LLM 对注入内容做分类画像。

威胁模型与隐藏手法

• 攻击者控制 PDF 结构；论文列出四类隐藏手法：颜色匹配（如白字白底）、极小字号（如 1pt 或更小）、位置隐藏（页面边界外或被遮挡）、图层隐藏（解析器可提取但渲染不显示）。

HCD：两阶段级联（Figure 2）

• Stage 1 规则化视觉分析：对 PDF 每个文本元素做四项检查——字号（低于 4pt 标记）、颜色距离（RGB 欧氏距离低于阈值 15 标记）、视觉方差（像素强度标准差低于 3.0 标记）、墨迹密度（非背景像素占比低于 1.5% 标记为 phantom text）。
• Stage 2 LLM 语义复核：LLM 把每个候选摘录二分类为恶意或良性；任一摘录判恶意则整份简历判恶意。
• 定位能力：HCD 同时输出触发检测的具体内容，供人工复核与后续测量。

VDA：视觉差异分析（Figure 3）

• 把简历 PDF 构造为两种表示：渲染页面图像（人类所见）与机器提取文本（含隐藏内容）。
• 指示 VLM 比对两种表示，找出提取文本中存在但渲染图像中不可见的内容，并判断差异是故意隐藏还是良性渲染伪影；返回判定、可疑摘录与解释。

两方法对比与部署

• 作者称 VDA 整体感知文档、能基于语义推理、可能捕捉规避规则的新手法；但长文档上下文大、可能幻觉出不存在的差异、延迟与成本更高。
• 因互补性，两个方法均已集成进 hireEZ 生产系统。

数据与测量流程

• 数据集：Applicant Match 数据集 83,277 份（2024 年 7 月至 2025 年 11 月，17 个月，月度时间戳）；ATS 数据集 113,405 份（2019 年 7 月至 2025 年 12 月，6.5 年，半年粒度）；合计 196,682 份，均已脱敏。
• 测量：以 HCD 为主检测器跑全量数据；注入策略分类用两阶段 LLM 流程——先分指令注入/数据注入并给数据注入子类型，再对指令注入分子类型（Naive Attack、Context Ignoring、Fake Completion、Combined）。
• 画像分析：人口统计维度（教育、年限、职级、地域）从简历抽取；行业与职能用 LLM 按 LinkedIn 分类体系划分（20 个行业、26 个职能），采用全量恶意简历加每数据集 5,000 份随机良性简历的非对称抽样，计算时加权并用 bootstrap（1,000 次迭代）估计置信区间。

实验设置

• 检测器底层模型：HCD 与 VDA 均以 GPT-5 为底层模型（§5.1）；因生产环境超时限制，仅 62,029 份 Applicant Match 简历被两方法同时成功处理。
• 人工验证：Both-Malicious（517）抽 100、HCD-only（276）抽 100、VDA-only（85）全审、Both-Benign（61,151）抽 100；三准则（内容存在、视觉不可见、语义上故意操纵）全满足才判真阳性。
• 基线对比数据集：10,000 份简历、1% 恶意率；恶意样本（n=100）为两检测器共同标记且人工确认，良性样本（n=9,900）取自 Both-Benign 池。
• 测量指标：恶意简历比例（malicious rate）、精度/召回/F1；人口统计用 95% Wilson 置信区间，行业与职能用 95% bootstrap 置信区间（1,000 次迭代）。
• 画像分类：行业 20 类、职能 26 类（LinkedIn 体系），LLM 分类；恶意简历全量加每数据集 5,000 份随机良性简历，加权计算；任一数据集中恶意样本少于 5 的类别被排除。
• 论文未报告 LLM 分类的准确性验证，也未报告测量实验的重复次数。

主结果

检测器评估（据 Table 1、Table 2、Figure 4）：

项目	HCD	VDA
标记简历数（62,029 中）	793	602
加权整体精度	86.1%	92.7%
平均耗时	1.35s	24.82s
平均成本/份	$0.0001	$0.0134
平均 token	∼850	∼4,500

• 两方法对 98.6% 的良性分类一致（61,151 份）；Both-Malicious 类别人工验证精度 100%，HCD-only 60.0%，VDA-only 48.2%，Both-Benign 抽样 100 份未发现隐藏注入（Table 1）。
• 作者称 HCD 敏感度更高但误报更多（误报多为装饰性文本、水印、页眉页脚），VDA 更保守但会漏检长文档、且因 VLM 幻觉产生误报；两者呈不同精度-召回权衡。
• 作者称 HCD 相对 VDA 有 18× 加速与 134× 成本降低；全量 20 万份简历 HCD 约需 75 小时、$20，VDA 约需 1,380 小时、$2,680。

基线对比

• 在 10,000 份简历（1% 恶意率）上（Table 3）：PromptArmor 精度 0.583、召回 0.070、F1 0.125；PromptGuard 精度 0.455、召回 0.050、F1 0.090；DataSentinel 精度 0.009、召回 0.870、F1 0.018。
• 作者解读：DataSentinel 几乎把全部输入判为恶意；PromptArmor 与 PromptGuard 召回低是因为它们针对显式指令注入设计，而真实简历注入中超过 90% 是数据注入，纯文本方法难以识别。

大规模测量结果

• 流行率（§6.1）：HCD 在 196,682 份简历中检出 2,030 份恶意：Applicant Match 993 份（1.19%）、ATS 1,037 份（0.91%）；作者称应视为保守下限。
• 时间趋势（§6.2，Figure 5、6）：ATS 2019-H2 至 2023-H2 稳定在 0.6%–0.8%，2024 年 H1、H2 升至约 1.2%，2025-H2 降至 0.67%；Applicant Match 从约 1.5% 降至 2025 年底约 1.0%，月度在 0.8%–1.6% 间波动；但 Applicant Match 的月度恶意简历绝对数量持续上升（Figure 6）。作者假设 2024 年上升与公众对提示注入的认知提高有关，近期下降或因求职者更谨慎。
• 注入策略（§6.3，Figure 7–9）：数据注入占 Applicant Match 的 90.5%、ATS 的 95.7%；指令注入中 Combined 约 60%、Naïve Attack 约 28%，Context Ignoring 与 Fake Completion 各不足 10%；数据注入中 Skills 最多（Applicant Match 56.5%、ATS 42.3%）。未观察到优化型攻击，全部为可读的启发式注入。

画像分析

• 人口统计（Figure 10）：硕士持有者比例高于本科（1.26% vs. 1.07%，AppMatch；1.14% vs. 0.95%，ATS）；PhD 最低（0.56%，n=7；0.57%，n=5），作者提醒样本量小需谨慎。entry 与 executive 职级高于平均，manager 最低。亚洲与欧洲高于北美（如 AppMatch 1.29%、1.23% vs. 1.01%），作者称可能反映就业市场动态、文化差异或自我选择，需谨慎解读。
• 行业与职能（Figure 11、12）：Technology, Information and Media 绝对数量最大（n=279、n=180）但比例接近平均（约 1.26%、约 1.04%）；Engineering 与 Information Technology 绝对数量最大；Marketing、Program/Project Management 比例偏高且两数据集一致；名义最高比例的行业（如 Entertainment Providers 1.92%）样本量小（n≤13）、置信区间宽。

其他消融与分析

• Figure 13：HCD 在 2 秒内处理 89.6% 简历、98.4% 在 5 秒内；VDA 集中在 10–30 秒。
• VDA 失败主要发生在超长简历（如超过 20 页）或含大量小文本区域、表格、多栏布局时（§5.1）。
• 负面结果：VDA-only 精度仅 48.2%，作者归因于 VLM 在长文档比对时幻觉出不存在的差异。
• 作者报告 2019 年早期注入已主要是数据注入，认为求职者在 LLM 筛选普及前就已用隐藏内容操纵传统解析与关键词匹配。

作者指出的局限与后续方向

• 召回未知、流行率为下限（§5.2、§7）：精确召回需对 61,151 份 Both-Benign 简历做穷尽人工复核，作者不声称零假阴性，基于 HCD 的流行率应解读为保守下限。
• 未评估攻击是否影响筛选结果（§7）：数据集无下游决策标签，且为避免伤害求职者与干扰生产系统，作者刻意不在部署中的筛选流水线上评估攻击成功率；作者称评估端到端攻击有效性是重要但正交的问题，留作未来工作。
• 数据来自单一平台（§7）：作者称两个独立数据集在不同时间跨度与来源上结论一致，增强了对结论的信心。
• 数据不可公开（Open Science）：简历因隐私与合同限制不能发布，作者承认这影响测量结果的直接可复现性，但称检测方法本身可复现、可应用于其他数据集。
• 小样本类别解读受限（§6.4）：PhD（n=7、n=5）、部分行业（n≤13）等类别样本量小、置信区间宽，作者称统计可靠性有限。
• VDA 的已知局限（§3.4）：长文档上下文大、可能幻觉差异、延迟与成本高；作者称可用分页或分块比对替代全文比对。

实验覆盖范围

• 检测器底层模型仅 GPT-5 一个（§5.1）；论文未报告用其他模型作为检测 LLM 或 VLM 的实验。
• 人工验证样本量：Both-Malicious 100/517、HCD-only 100/276、VDA-only 85/85、Both-Benign 100/61,151（Table 1）。
• 基线对比覆盖 PromptGuard、DataSentinel、PromptArmor 三个检测器，评测集为 10,000 份简历、1% 恶意率（Table 3）。
• 测量覆盖 196,682 份简历：Applicant Match 83,277 份（17 个月）、ATS 113,405 份（6.5 年）（§4）。
• 论文未报告注入策略与画像所用 LLM 分类器的准确性验证，也未报告测量实验的重复次数；作者讨论过安全策略类防御，指出其不适用于无外部动作调用的简历筛选（附录 A）。

一篇面向真实部署的提示注入测量研究：作者与 hireEZ 合作，研究 LLM 简历筛选中恶意求职者嵌入隐藏提示的现象。

• 问题：提示注入此前主要在学术受控环境或个案中被研究，真实应用中的流行率、演化与形态缺乏实证；通用检测器在长简历文本上效果有限。
• 方法：设计两个互补检测器——HCD（规则化视觉分析加 LLM 语义复核，可定位注入内容）与 VDA（VLM 比对渲染图像与提取文本），均以 GPT-5 为底层模型，均已集成进 hireEZ 生产系统；随后以 HCD 对 196,682 份脱敏简历做测量。
• 检测器效果：人工验证下 HCD 整体精度 86.1%、VDA 92.7%；HCD 每份 1.35 秒、$0.0001，VDA 24.82 秒、$0.0134（Table 2）。基线检测器 PromptArmor、PromptGuard 召回仅 7.0%、5.0%，DataSentinel 精度仅 0.9%（Table 3）。
• 主要发现：约 1% 简历含隐藏注入（Applicant Match 1.19%、ATS 0.91%）；ATS 中占比 2019–2023 年稳定在 0.6%–0.8%，2024 年升至约 1.2% 后回落，但绝对数量持续上升；超过 90% 注入为无显式指令的数据注入（AppMatch 90.5%、ATS 95.7%），Skills 注入最多；未观察到优化型攻击。
• 作者结论：作者称这提供了真实 LLM 应用中大规模提示注入的证据，纯文本检测思路难以应对占主导的数据注入，跨模态校验应是核心防御能力；流行率估计为下限，攻击是否真正影响筛选结果留作未来工作。