通过指令遵循意图分析缓解间接提示注入

研究者提出 IntentGuard 防御框架，通过分析模型是否打算执行来自不可信数据的指令来缓解针对 LLM Agent 的间接提示注入。其指令遵循意图分析器（IIA）先识别模型将输入提示中哪些部分视为可执行指令，再标记或中和这些指令与不可信数据段的重叠。为实现该分析器，论文设计了思维起始预填充、思维末尾精炼和对抗性上下文示例三种思维干预策略，让具备推理能力的 LLM 产出结构化的意图指令列表。在 AgentDojo 和 Mind2Web 两个 Agent 基准上用 Qwen-3-32B 和 gpt-oss-20B 评测，除一个设置外均无效用下降，并对自适应提示注入攻击保持较强鲁棒性，例如在某个 Mind2Web 场景中将攻击成功率从 100% 降至 8.5%。