AttriGuard：通过工具调用的因果归因防御 LLM 智能体中的间接提示注入
AttriGuard: Defeating Indirect Prompt Injection in LLM Agents via Causal Attribution of Tool Invocations
AI 导读
研究者提出 AttriGuard，一种基于并行反事实测试的运行时防御，用于阻止 LLM 智能体中的间接提示注入。该方法把防御从输入层面的语义判别转为动作层面的因果归因，对每个待执行的工具调用，在衰减外部观测控制权后重新执行智能体，以判断该调用是由用户意图支持还是由不可信观测驱动。技术上它结合教师强制的影子重放以避免归因混淆、分层控制衰减以压制多种控制通道并保留任务相关信息，以及对 LLM 随机性稳健的模糊存活判据。在四个 LLM 和两个智能体基准上，AttriGuard 在静态攻击下达到 0% 攻击成功率，效用损失可忽略、开销适中，并在主流防御显著退化的自适应优化攻击设置下仍保持韧性。