不需要提示注入，也能操纵 Agent：分支引导攻击与 COBRA 防御架构

苏黎世联邦理工学院、剑桥大学、帝国理工学院等机构的研究者发表论文《Securing Computer-Use Agents Against Branch Steering Attacks》，提出分支引导攻击并给出系统级防御架构 COBRA。该攻击不改写 Agent 的指令，而是操纵它做判断时依赖的外部数据，使其沿事先允许、却不符合用户真实意图的分支执行。COBRA 沿用可信规划与不可信执行隔离的思路，为每条分支预先规定允许使用的工具、访问目标和参数范围，并在 HTTP 请求与 MCP 工具调用边界做确定性核验。作者构建 STEER-Bench，含 101 项任务、9 组场景、199 个攻击测试单元；普通 ReAct Agent 攻击成功率为 94.4%，Dual-LLM 为 89.5%，COBRA 报告 0%，138 个正常测试单元中出现 4 次误拦截。