AdapTools：针对智能体大语言模型的自适应工具型间接提示注入攻击

现有间接提示注入依赖静态模式，且多在简单模型上评测，难以同时满足推理型智能体所需的鲁棒性、适应性与隐蔽性。

• 出现场景： 作者称基于LLM的智能体要分解多步任务，并经MCP等外部服务取数据。作者引述公开MCP服务器超过1,000个，超过50%由第三方维护且缺少统一安全审计，攻击面随之扩大。IPI把指令放进网站或数据库等中间内容，读取后可能外泄数据或执行有害动作。
• 现有不足： 作者称推理模型会多步核对用户原意，静态重复模式易被安全过滤和Red Herring检测挡住；工具若与任务语义不一致，也会被内部审计标出。作者称Perez等（2024）、Liu等（2024c）、Zhan等（2024）、Liu等（2025）不能同时处理Robustness、Adaptability、Stealthiness。
• 核心观察： 作者在IPI-3k上比较后称，带思维链的模型更抗攻击；常见拒因为Security Risk与Red Herring，另有工具与用户目标无关。作者认为真实场景里很难只靠模板注入。
• 本文提出： 作者提出AdapTools，含自适应攻击策略构建和攻击增强（选更隐蔽的工具），并构建IPI-3k（3,691条良性轨迹、277个高权限攻击工具）。
• 威胁模型：
  • 目标： 向智能体取回的外部内容注入指令，使策略π执行指定工具fa，并最大化该调用概率。
  • 知识： MCP server controllers为grey-box，可看到轨迹的部分信息（如最近一次工具）；third-party adversaries为black-box，只公开广播指令，不能访问内部状态或任务细节。
  • 能力： 攻击发生在智能体查询外部服务器、取回公开内容时；返回观测可含第三方编写的指令。§5.5的实现会截获工具调用轨迹以推断任务上下文。
  • 受害系统： 用工具和外部接口（如MCP）执行用户任务的LLM智能体。实验中适配ReAct。

间接提示注入

• 来源与目标： Greshake等（2023）、Yi等（2025）、Wu等、Zhan等（2025）讨论智能体与外部数据交互中的IPI。指令来自第三方而非终端用户，目标是破坏系统或外泄数据。作者称注入内容看起来良性，因而难检测、难缓解。
• 代表攻击： Willison（2022）用转义符号改上下文解析；Perez等（2024）与Schulhoff等（2023）要求模型忽略先前上下文；Liu等（2024c）组合多种策略。AutoHijacker（Liu等，2025）用LLM-as-Optimizer生成提示，而不是静态模式。
• 作者的对照： 引言与Table 1用Adaptability、Stealthiness、Robustness对照上述工作，并称它们未能同时满足这三项。表中Perez、Liu（2024c）、Zhan（2024）三列均为#（缺失）；Liu（2025）的Stealthiness为#。该行其余符号及AdapTool一行的符号在文本抽取中缺失，此处不转写。

工具调用基准

• InjectAgent与AgentDojo： Zhan等（2024）与Debenedetti等（2024）评估工具调用场景下对IPI的鲁棒性。作者称样本高度人工构造，主要在非推理LLM上、以单轮和静态策略评测。
• 规模（Table 2）： AgentDojo为629个测试例、30个攻击工具；InjectAgent为510例、27个工具；IPI-3K为3691例、277个工具。

防御

• 输入级： instruction prevention（2023）、data prompt isolation（Willison，2022）、sandwich prevention（2023）用静态规则引导模型忽略外部数据中的命令。Pi-Detector（Debenedetti等，2024）用分类器区分工具响应里的恶意指令。
• 输出级： ProtectAI（2023）用微调模型判断输出是否含恶意内容。MELON（Zhu等，2025）与Perplexity Filtering（Jain等，2023）为免训练方法，靠规则或启发式判断工具是否被篡改。论文在这一节只作分类描述，未逐篇批评。

实验中的基线与数据集

• 基线方法： Ignore Instruction（Schulhoff等，2023）、Combined Attack（Liu等，2024c）、InjectAgent（Zhan等，2024）、Autohijacker（Liu等，2025；作者称代码未开源，故自行复现）。防御基线为MELON与Pi-Detector。基准为IPI-3k、InjectAgent、AgentDojo。

作者将本文定位为：离开静态提示注入，用可迁移策略和任务相关工具，把鲁棒性、适应性、隐蔽性合在一起，面向快速演化的推理型智能体做评测。

AdapTools先自动积累并压缩可迁移攻击策略，再按轨迹挑选语义更贴近的高权限工具，把生成提示拼进外部观测，以提高下一步调用目标工具fa的概率。

问题设定与数据

• 智能体： 策略π在用户指令Iu下迭代。每步生成动作at，从工具集F调用ft；外部工具经MCP等返回观测ot。轨迹由指令及（动作、工具、观测）序列组成。
• 攻击目标： 论文将目标写成max_pa P_π(a_t+1=f_a∣τ_t;õ_t), s.t. õ_t=o_t⊕ p_a。⊕为文本拼接，即在原观测后接上攻击提示。策略层的对应写法是：在策略集合上最大化下一步调用fa的概率，提示由生成器G根据fa与策略sa合成。
• 针对的失败： Red Herring、Security Risk、Unrelated Information。作者称其他失败多来自模型自身限制，这三类是IPI最可利用的向量。策略模块针对前两类，工具选择针对无关内容。
• IPI-3k： 3,691条需外部检索的多步良性轨迹，由既有基准整理重组（Zhang等，2025a）。另有277个可访问敏感信息的高权限工具，分数据泄露、财务损失、系统危害。Entrypoint是对接中间服务器的工具；Direct Harm是攻击的终端目标。商业LLM（举例GPT-4o、DeepSeek-R1）按可利用性打0–10分。论文未写采用阈值。

自适应策略构建

• 流程（Figure 3）： 策略库S初始为空。攻击者随机选高权限工具fa；作者称随机选择迫使策略适应不同工具、与具体任务解耦。从S取出最相关策略sa，与用户任务一起交给攻击提示生成器（对抗LLM；形式化中举例GPT-5）。冷启动时只按工具描述生成。提示注入良性检索内容后再继续推理。
• 成败更新： 若调用了fa，策略入库。若失败，抽出思维链，交给分析器（论文写为commercial LLM）诊断拒因并改策略。最多K轮或直至成功。实验默认迭代次数ka=5；正文未给出K的其他数值。

策略蒸馏

• 做法（Figure 4）： 作者称工具–任务组合变多后，检索变慢且易错配，细策略也难迁到新条件。文本嵌入模型（引用Zhang等，2025b；Wang等，2024）把策略变成向量，再用K-means等聚类抽象。以ASR为效用：合并后ASR下降不超过阈值δ才合并。论文未给出δ，也未在实验节写明实际嵌入模型名称。
• 设计意图： 作者称剪枝后的库保留主要决策模式、去掉过专门的规则，并称ASR可与细粒度库相当。该比较的具体数字论文未在本节给出。

攻击增强：工具选择

• 图示： Figure 5在点咖啡任务上把与任务无关的调用标为REJECT，把任务相关调用标为SUCCESS。Figure 6文字含86%、fa与ft+1；正文未单独解释86%。不复述图中的注入语句。
• 转移： 工具序列被看成一阶马尔可夫链。grey-box可见最近工具ft。转移矩阵由全部良性轨迹计数：从fi到fj的次数，除以从fi出发的总次数。
• 选择准则： 先预测无攻击时最可能的下一良性工具，再选嵌入余弦相似度最高的攻击工具。论文写为f_a=argmax_{f∈ F}sim(ϕ(f),ϕ(f_t+1^∗))。φ为预训练语义嵌入，sim为余弦相似度。作者称这样同时满足时间依赖和语义对齐。

实现与成功判定

• 三阶段（§5.5）： 策略库与转移矩阵离线建好后重复使用。用户任务需要外部数据时，智能体调用MCP，攻击者截获调用轨迹；用转移矩阵选fa，从库中取泛化策略并合成提示；把提示注入被控服务器返回的合法数据。
• 成功： 智能体随后执行fa即成功。实验指标为ASR（越高越好）与受攻击效用UA（越低越好），另报无攻击的BU。论文未写由LLM裁判判定ASR。

实验设置

• 被测模型： 智能体框架为ReAct。基础模型为GPT-4.1、DeepSeek-R1、Gemini-2.5-Flash、Qwen-3-8B、LLaMA-3.1-8B、Mistral-8B。Table 3注：CoT列的#为非推理；GPT-4.1、LLaMA-3.1-8B、Mistral-8B标为#。后三个模型未标#，正文将其与推理模型一并讨论。引言把Gemini写作Gemini-2.5。
• 数据： 主数据集为IPI-3k（3,691条良性轨迹、277个攻击工具）。另用InjectAgent与AgentDojo。Table 3表题未写数据集名；InjectAgent与AgentDojo在§6.2单独报告。论文未写Table 3使用的轨迹子集规模。
• 基线： Ignore Instruction、Combined Attack、InjectAgent、Autohijacker（作者复现，称代码未开源）。防御为No Defense、MELON、Pi-Detector。
• 指标： ASR为攻击成功率，越高越好；UA为受攻击时的效用，越低越好；BU为无攻击效用。成功对应执行目标工具。论文未报告LLM评审、人工一致性、重复次数和查询次数。攻击提示生成器在形式化中举例GPT-5，分析器写为commercial LLM；实验节未点名实际模型。

主结果

据Table 3无防御行。AH为AutoHijacker。

表格较宽，可左右滑动

模型	BU	Ours ASR	AH ASR	Ours UA	AH UA
GPT-4.1	66.0	26.1%	12.0%	44.8%	55.4%
DeepSeek-R1	50.0	20.3%	9.3%	36.8%	40.2%
Gemini-2.5-Flash	61.0	35.4%	22.4%	17.3%	26.0%
Qwen-3-8B	80.0	60.6%	29.6%	32.6%	49.6%
LLaMA-3.1-8B	38.0	44.4%	37.6%	15.2%	17.8%
Mistral-8B	36.0	69.3%	47.4%	6.7%	12.4%

• 作者的总括： §6.1称，商业LLM上平均ASR为best baseline的2.13×。引言称相对best baseline（14.5%）大约翻倍。两处都未给出计算式。摘要称系统效用下降倍数为1.78，§6未复述该倍数。Table 3无防御各模型最高基线ASR为12.0%、9.3%、22.4%、29.6%、37.6%、47.4%，且该行最高者都是AutoHijacker。
• 开源与商业： 作者称开源模型防御更弱，ASR平均超过30%；Mistral-8B的Avg ASR为49.0%，LLaMA-3.1-8B为31.4%，Qwen-3-8B为44.5%。引言给出本地模型平均ASR 58.1%（基线38.2%），未写明是无防御还是跨防御。作者称商业模型比开源模型更能抵抗此类攻击。GPT-4.1上，作者称基线平均ASR低于8%，本文把ASR提到18.5%（Table 3的Avg行）。
• 作者对个别模型的解读： 作者认为Mistral-8B的高ASR可能与函数调用grounding较弱（BU 36.0%）有关。作者称LLaMA-3.1-8B的Avg ASR相对较低，但IPI下效用下降更大。Qwen-3-8B的BU更高，Avg ASR仍为44.5%。

防御下的结果

• 测了什么： Table 3在每个模型上报告MELON与Pi-Detector。作者称二者可缓解IPI，但在AdapTools下ASR只降低近50%（引言）；§6.1称防御把基线ASR至少降为约1/3，对本文约降为1/2。
• 格子： GPT-4.1无防御26.1%，MELON 13.3%，Pi-Detector 16.1%。作者称DeepSeek-R1由20.3%降到两防御平均10.1%，Qwen3-8B由60.6%降到两防御平均36.4%。Table 3中Ours的最低ASR是DeepSeek-R1加MELON的6.7%。六个模型上，MELON行的Ours ASR都低于Pi-Detector行。
• 效用： 据Table 3，六模型无防御Ours的UA，在加上MELON或Pi-Detector后都更高，更接近各自BU。作者未把这一点单独写成结论。

迁移

• InjectAgent（Figure 7）： 只报告GPT-4.1与Qwen3-8B。作者称相对Autohijacker，GPT-4.1高3.6%，Qwen3-8B高6.5%。图中标注+3.6%与+6.5%，并出现0.204、0.157、0.139、0.122、0.000、0.004；抽取后无法把每个柱可靠配到方法，故不配对。
• 作者的解读： 作者称InjectAgent上的总体ASR低于他们称为更真实的数据集，并认为原因是现代LLM会把已知攻击案例吸收进安全机制。
• AgentDojo： 作者称AdapTools优于全部既有基线。论文未给出该基准上的ASR。

工具选择消融

• 设置： Table 4称为grey-box。作者称因API成本，只测GPT-4.1与Qwen3-8B。w/ selection的ASR、UA与Table 3无防御Ours相同；论文未在Table 3标题写明grey-box或black-box。
• 数字： GPT-4.1无选择ASR 21.4%、UA 43.8%，有选择26.1%、44.8%（Δ +4.7、+1.0）。Qwen3-8B为52.7%、36.4%对60.6%、32.6%（Δ +7.9、−3.8）。
• 解读与例外： 作者称提升来自避开与任务无关的失败、改选任务相关工具。GPT-4.1的UA上升1.0个百分点，与“UA越低越好”的攻击方向相反；作者未单独解释这一格。

其他消融与分析

• 推理对比（§4，Combined Attack）： Qwen3-8B thinking的ASR 19.4%，非thinking 26.1%，LLaMA-3.1-8B 32.8%。作者将其归因于显式思维链会把恶意提示判成与用户指令无关或有风险。19.4%与32.8%分别等于Table 3对应无防御Combined Attack格。
• 失败类型（Figure 2）： 对象为Qwen3-8B上基于IPI-3k的IPI攻击，论文未说明是哪一种攻击方法。类别名为Security Risk、Red Herring、Unrelated、No Functions、Arguments Error、Others；图中百分比为29.3%、24.3%、20.2%、9.9%、8.7%、7.6%。抽取后无法可靠配对。正文只点名前两类为常见拒因，并讨论Unrelated。
• 迭代（Figure 8）： 默认ka=5，作者称比较七档。作者称单次迭代ASR约35%，随后超过80%并收敛；图标注关键点(5, 0.81)，横轴为0到7。作者称6或7次略高，但API成本增加，故取5次作折中。论文未说明该图的模型与数据子集。该0.81高于Table 3任一ASR，不宜与主评测ASR混读。

作者指出的局限与后续方向

论文未设Limitations或Future Work专节。结论只称本工作推进对IPI的理解，并为后续研究提供参考，没有列出具体要做的实验。影响声明讨论披露攻击方法的伦理权衡，称使防御研究获益大于误用风险；这是对披露做法的说明，不是对方法能力的局限。因此：论文未专门讨论局限。

实验覆盖范围

• 模型与框架： 被测基础模型为GPT-4.1、DeepSeek-R1、Gemini-2.5-Flash、Qwen-3-8B、LLaMA-3.1-8B、Mistral-8B，共6个；智能体框架为ReAct（§6、Table 3）。
• 数据与防御： 数据集为IPI-3k（3,691条良性轨迹、277个攻击工具）、InjectAgent、AgentDojo。Table 3含No Defense、MELON、Pi-Detector；表题未写数据集名。AgentDojo只给出“优于基线”的文字，没有ASR数字（§6.2）。
• 基线与消融范围： 攻击基线为Ignore Instruction、Combined Attack、InjectAgent、Autohijacker（作者复现）。工具选择消融只报告GPT-4.1与Qwen3-8B；作者称原因是API成本（Table 4）。
• 迭代： 策略库生成默认ka=5，并比较七档（Figure 8，标注(5, 0.81)）。论文未说明该图对应的模型。
• 未报告项： 论文未报告实验里攻击提示生成器与失败分析器的具体模型名（方法中仅为举例或写commercial LLM）、合并阈值δ、Table 3的重复次数与查询次数，以及ASR是否经人工或LLM复核。

AdapTools是面向工具调用型LLM智能体的自适应间接提示注入方法，并配有评测集IPI-3k。

• 问题： 推理型智能体会逐步核对用户意图。作者称静态IPI难同时具备鲁棒性、适应性和隐蔽性，也多在非推理模型上评测。攻击者或是能看到最近工具的grey-box MCP控制者，或是只能公开投递指令的black-box第三方；目标都是让智能体执行指定高权限工具。
• 做法： 用失败轨迹的思维链迭代策略库，再经嵌入聚类，仅当ASR下降不超过δ时合并策略。grey-box路径用良性轨迹估计一阶工具转移，按余弦相似度挑选与当前任务更一致的攻击工具，把提示拼进外部返回内容。IPI-3k有3,691条良性轨迹和277个攻击工具。实验智能体为ReAct。
• 主结果： Table 3无防御时，AdapTools的ASR在六个模型上都高于同行列出的四个基线：Mistral-8B 69.3%，Qwen-3-8B 60.6%，LLaMA-3.1-8B 44.4%，Gemini-2.5-Flash 35.4%，GPT-4.1 26.1%，DeepSeek-R1 20.3%。作者称商业模型平均为best baseline的2.13×；引言另称大约是14.5%这一best baseline的两倍，并给出本地模型平均ASR 58.1%（基线38.2%）。摘要称效用下降倍数为1.78。
• 防御与迁移： MELON下GPT-4.1的ASR为13.3%，Pi-Detector下为16.1%；Table 3里Ours的最低格是DeepSeek-R1加MELON的6.7%。作者称防御把基线大约降到原来的1/3，对AdapTools大约降到1/2。InjectAgent上，作者称相对Autohijacker，GPT-4.1高3.6%、Qwen3-8B高6.5%。AgentDojo未给ASR数字。
• 作者的结论： 作者称该方法在既有防御下仍然有效，因而需要更强的智能体防护，并为后续研究提供参考。论文未专门讨论局限。