ECLIPSE：针对长程 Agent 系统的自演化隐蔽提示注入攻击

本文试图解决大语言模型（LLM）智能体在执行多步骤长任务（long-horizon tasks）时，提示词注入攻击难以兼顾隐蔽性（stealthiness）与执行保真度（fidelity / controllability）的核心难题。

• 应用场景与重要性：随基础模型与工具调用机制发展，智能体已能执行依赖多个工具协调的长流程任务，但长任务场景下的提示词注入安全脆弱性仍缺乏充分探索（第 1 节）。
• 现有方法的不足：集中式直接注入将恶意意图显式置于单一指令中，虽易控制但易被输入侧检测器拦截；分布式间接注入将意图分散至多阶段，虽更隐蔽但因执行顺序不确定及中间规划偏差极易导致任务中断（第 1、2.2 节）。
• 核心观察与假设：长任务需要双通道协同，将用户端直接注入（提供全局上下文）与工具端间接注入（提供局部指导及偏差校正）结合，化解控制力与隐蔽性的对立（第 5.1 节）。
• 威胁模型：
  • 攻击者目标：作为授权用户，联合构建注入提示词 pa 与操纵工具信息，覆盖隐藏系统指令 s，诱导智能体执行超出 s 范围的长动作序列以达成指定恶意目标（第 3.2 节）。
  • 攻击者知识：对系统指令 s 无先验知识，对后端 LLM 仅具有黑盒查询访问权限，无法访问模型参数、梯度或内部状态（第 3.2 节）。
  • 攻击者能力：可基于可观测结果和环境反馈自适应优化 pa；能操纵工具元数据（尤其是自然语言描述）与运行时输出，可通过公开恶意工具或事后修改（Rug Pull）控制工具（第 3.2 节）。
  • 受害系统：基于 LLM 与外部工具构建、遵循迭代规划-行动-观察循环的长任务智能体系统（第 3.1、3.2 节）。
• 论文提出的方案：提出自演化且隐蔽的提示词注入框架 ECLIPSE，包含隐蔽攻击轨迹合成（SATS）与工具链引导（TCS），并构建了长任务安全基准 LASE-Bench（第 1 节）。

直接提示词注入

• 独立 LLM 注入：PromptInject (Perez & Ribeiro, 2022) 与 Tensor Trust (Toyer 等, 2024) 分别系统化构建注入提示词及建立在线对抗博弈基准，主要针对独立 LLM 的目标劫持与系统提示词提取。
• 智能体直接注入：ASB (Zhang 等, 2025) 在用户查询后附加攻击者指令，StakeBench (Wang 等, 2026) 提出 9 种针对真实购物智能体的直接注入模板；此类方法将恶意意图显式集中于输入端，易被检测防御拦截（第 1、2.2 节）。

间接提示词注入

• 环境内容注入：InjecAgent (Zhan 等, 2024)、AgentDojo (Debenedetti 等, 2024) 与 WASP (Evtimov 等, 2026) 评测了通过网页或外部工具返回的非可信数据重定向智能体行为的威胁。
• 辅助组件注入：ToolHijacker (Shi 等, 2025) 在工具库注入恶意工具文档操控检索与选择；MINJA (Dong 等, 2026) 向持久记忆注入恶意记录；Skillject (Jia 等, 2026) 在可复用技能中嵌入指令；此类方法拓宽了攻击面但缺乏长轨迹自适应修正能力（第 2.2 节）。

轨迹级注入与不确定性研究

• 分布式注入衰减：ObliInjection (Wang 等, 2025)、WASP (Evtimov 等, 2026) 与 WebTrap (Liu 等, 2026) 报告了分布式内容在长时程因顺序和中间规划偏差导致的攻击衰减；ObliInjection 表明污染片段的位置与顺序显著影响注入表现。

对比基线与基准

• 实验对比基线：直接注入基线 OPI (Liu 等, 2024) 与 AdaptiveAttack (Nasr 等, 2026)；工具端基线 ToolHijacker (Shi 等, 2025)；联合攻击基线 AdaptiveTools (Wang 等, 2026)；以及适配于长任务的无序注入基线 ObliInjection (Wang 等, 2025)（第 6.1 节）。

• 评测基准：长任务基准 LASE-Bench（本文自建）与短时程对比基准 SHADE-Arena（第 6.1 节）。

• 本文定位：作者将 ECLIPSE 定位为同时利用直接与间接攻击面、结合静态工作流编码与动态残差校正的框架，以解决现有攻击在长时程任务中隐蔽性与控制力不可兼得的问题（第 1、5.1 节）。

ECLIPSE 提出了双通道注入范式与双轨迹优化框架，通过沙盒中合成并验证隐蔽用户提示词，结合静态工具描述改写与运行时动态残差信号，实现长任务轨迹控制。

整体框架与工作流程

• 双通道注入范式：用户侧直接注入提供全局任务上下文，工具侧间接注入通过预部署描述与运行时工具结果提供局部引导，降低单一通道暴露的恶意意图（第 5.1 节）。
• 双轨迹优化框架：静态工作流编码（SWE）在部署前将轨迹编码进工具描述；动态轨迹校正（DTC）在运行时监控执行轨迹，并在偏离时向工具结果追加修正信号（第 5.1、5.2 节）。
• 执行流程六步闭环：1) 在沙盒 S 中由影子智能体 MS 生成初始轨迹；2) 迭代验证与精炼得到满足成功模式 fa 的验证链 C*；3) 生成单轮隐蔽提示词 pi 注入受害智能体；4) SWE 改写 C* 对应工具描述；5) DTC 逐轮比对并追加残差修正信号；6) 循环至 fa 达成或步数耗尽（第 5.2 节）。

隐蔽直接注入（SATS）

• 沙盒实例化与工具动态加载：构建受控沙盒 S 允许影子智能体 MS 在无实际副作用下仿真推演；使用语义编码器 Enc(·) 检索 top-K 候选工具集 Ua，保留干扰项与备选路径（第 5.3 节）。
• 候选链生成：基于初始规划轨迹与任务标注 {pa, fa}，生成器 GS 输出 B 条候选链，每条链最多 Lmax 步，强制各候选链具有不同的工具序列，并优先将早期步骤构造成良性先驱操作（benign precursors）（第 5.3 节）。
• 两阶段迭代链验证：首先测试执行有效性 Vexe(C)；通过后再检查逻辑连贯性 Vcoh(C) 与目标对齐性 Valign(C, fa)。候选链被接受的充要条件为： V(C, a) = V_exe(C) V_coh(C) V_align(C, f_a) = 1 若失败则由验证器返回结构化反馈 Fr，生成器在预算 Rmax 轮内进行精炼（第 5.3 节，算法 1）。
• 单轮合成提示词生成：依据最小必要需求原则，通过合成算子 Φ(pa, C*, ρ, κ) 将 C* 转化为自然口语化请求，可附带角色设定 ρ 和实用约束 κ（如截止期限、数据范围、格式限制等），完全隐藏工具名称、参数及攻击术语（第 5.3 节）。

工具端轨迹引导（SWE 与 DTC）

• 静态工作流编码（SWE）：在部署前将目标链 C* 上的工具描述改写为状态转移三元组 τj = (Prej, Invj, Postj)，前一步的后置条件推导下一步的前置条件（Postj |= Prej+1）；改写保留原有能力与 schema，仅使用合规与审核类词汇呈现工作流（第 5.4 节）。
• 动态轨迹校正（DTC）与状态判定：在调用后比对观测序列与 C*，计算进展索引 πt 并将运行时状态分类为：正常（Normal）、循环停滞（Loop / LOOP_ESCALATION）、偏离（Deviation / STANDARD_DEVIATION）与脱轨（Stall / CHAIN_STALL）（第 5.4 节）。
• 残差误差补偿（REC）：当状态非 Normal 时，REC 生成描述未满足工作流条件的残差信号 rt = Render(Postπt)，并指定下一个未执行的目标工具 ht，将信号追加至当前轮工具输出： õ_t = o_t ⊕ r_t 此过程冻结工具注册表，不改变工具底层实现或沙盒环境状态转移（第 5.4 节，算法 2）。

成功判定与终止条件

• 成功模式评估：LASE-Bench 为每个任务预先标注成功模式 fa，包含多个可在原始工具返回值中检测的可观测后置条件（如凭据已生成、探针返回非空结果、密文已暂存等）（附录 A.1、B.3）。
• 终止控制：DTC 监控器在每步调用后评估 fa 的所有子句，一旦完全满足即终止运行；若未达成，则持续运行直至达到轮数预算或最大步数上限（第 5.2 节、第 6.1 节）。

实验设置

• 被测模型：闭源模型包含 DeepSeek、GPT-4o、Claude 4.8 Opus、GPT-5.6 Luna、Claude Sonnet 5；开源模型包含 Kimi-k3-104b、QWEN-3.8-27b；原生智能体系统评测包含 OpenClaw 与 Hermes Agent（第 6.1 节）。
• 评测基准与规模：长时程基准 LASE-Bench（120 个恶意任务，198 个独特工具，平均 5.525 次调用/任务，中位数 6 次，96.7% 的任务需至少 5 次调用）；短时程对比基准 SHADE-Arena（120 个任务）（第 4、6.1 节）。
• 对比基线：直接注入基线 OPI、AdaptiveAttack；工具端基线 ToolHijacker；联合注入基线 AdaptiveTools；长时程无序注入基线 ObliInjection（第 6.1 节）。
• 指标定义：ASR（攻击成功率，达成目标攻击所有关键副作用的比例）、Defense rate（防御拦截率，被检测器拦截的比例）、Jaccard（执行工具集合与目标集合的交并比）、LCS（归一化最长公共子序列长度，衡量跨步执行顺序保真度）（第 6.1 节）。
• 工具环境与采样设置：统一 MCP 工具池包含 16 类服务器超 7,000 个工具函数；通过 all-MiniLM-L6-v2 检索 top 200 并暴露 top 50 给智能体；生成参数固定温度 0.0、top_p = 0.95、随机种子 100；单实例最多 20 轮交互，达到 30 次工具调用强制终止；外部安全过滤器采用基于 LLM 的监控器（第 6.1、6.2 节）。
• 样本量与重复次数：除特别说明外，各评测条件均使用 N = 120 个实例；LASE-Bench 构建阶段每个候选任务经 5 次重复运行筛选（要求至少 4 次成功且调用不少于 5 次）（第 6.1 节、附录 B.2）。

主结果

表格较宽，可左右滑动

(注：数据据 Table 2 与 Table 3，展示 ECLIPSE 在全部 7 款受害模型上的结果；论文未说明影子智能体 MS 所采用的具体模型版本。基线方法对比见下文。)

• 防御环境下显著超越基线：作者报告，在带外部安全过滤的 DeepSeek 设置下，ECLIPSE 达到 69.2% ASR，高出最强基线 ObliInjection 27.5 个百分点（Table 2）；在 GPT-4o 与 Claude 4.8 Opus 上，ECLIPSE 带防御 ASR 分别为 62.5% 与 62.4%，而基线最高仅分别为 59.2% 与 0.8%（Table 2）。
• 无防御环境下保持高成功率与轨迹保真度：在无防御设置下，ECLIPSE 在 DeepSeek、GPT-4o 与 Claude 4.8 Opus 上的 ASR 分别为 96.7%、95.0% 与 93.3%，同时维持了较高的 Jaccard 与 LCS 分数（Table 2）；作者认为这表明将攻击分散于提示词与工具元数据可在不同模型间保持可控性。
• 最新闭源与开源模型上的泛化：在 GPT-5.6 Luna 与 Claude Sonnet 5 上，ECLIPSE 带防御 ASR 分别为 52.5% 与 60.0%，分别高出对比基线 8.4 与 11.7 个百分点；在开源模型 Kimi-k3-104b 与 QWEN-3.8-27b 上带防御 ASR 分别为 37.2% 与 36.9%（Table 3）。

原生智能体系统案例研究

• 测试设置：在 OpenClaw（Gateway 编排架构）与 Hermes Agent（Nous Research 自我改进系统，含持久记忆与内置多轮循环）两个真实开源智能体中测试 ECLIPSE 及基线，均采用各系统原生编排接口（第 6.4 节）。
• 实验结果：在 OpenClaw 上，ECLIPSE 无防御和带防御 ASR 分别为 68.5% 和 61.7%，带防御时高于 ToolHijacker（59.3%）、ObliInjection（46.4%）与 Open-Prompt（28.1%），Jaccard/LCS 为 (0.676, 0.696)（Table 6）；在 Hermes 上，ECLIPSE 无防御与带防御 ASR 分别为 62.3% 与 55.8%，带防御时 ToolHijacker 从 60.0% 降至 23.3%，ObliInjection 从 55.8% 降至 21.7%（Table 7）。
• 作者解读：作者称实验表明 ECLIPSE 能迁移至基于网关的编排层与非 ReAct 原生循环架构，SWE 与 DTC 对特定包装器或轮次管理策略具有鲁棒性（第 6.4 节）。

潜在防御机制评测

• 测试设置：在 DeepSeek 上针对提示词与工具审查（DataSentinel、Tool-Guard）、轨迹监控（AgentDoG）及模型对齐（SecAlign）四种机制测试 ECLIPSE 的 ASR 与防御率（第 7 节）。
• 实验结果：DataSentinel 的 ASR 为 85.8%、防御率为 14.2%；Tool-Guard 的 ASR 为 52.5%、防御率为 31.7%；AgentDoG 的 ASR 为 43.3%、防御率为 56.7%；SecAlign 的 ASR 降至 0.8%，其防御率为 0.0%（Figure 6）。
• 作者解读：输入与工具边界审查仅提供局部防护；AgentDoG 虽拦截 56.7% 但因早期调用呈良性而漏判后期决定性步骤；SecAlign 的零防御率源于模型级拒绝未计入运行时拦截，且低 ASR 可能反映了长任务完成能力本身的退化（第 7 节）。

短时程基准对比（SHADE-Arena）

• 测试设置：在任务执行时程更短的 SHADE-Arena（120 个任务）及带防御 DeepSeek 设置下评估迁移性（第 6.2 节）。
• 实验结果：ECLIPSE 达到 58.1% ASR，略高于 AdaptiveAttack（57.7%）与 ToolHijacker（52.7%），Jaccard/LCS 分别为 (0.859, 0.740)，高于 AdaptiveAttack 的 (0.621, 0.593) 与 ToolHijacker 的 (0.750, 0.712)（Table 4）。
• 作者解读：作者称这表明即使在较少工具调用步数下，ECLIPSE 依然保持可控，且链级相似度优于仅偶发成功的基线（第 6.2 节）。

其他消融与分析

• 提示词消融（Table 5）：Baseline 的 ASR 为 19.2%、防御率 55.8%；加 Persona 后 ASR 为 17.5%、防御率 52.5%；仅 Constraints 时 ASR 为 24.2%、防御率 36.7%；Persona + constraints 时 ASR 为 27.5%、防御率 32.5%、Jaccard/LCS 为 (0.151, 0.161)。
• 工具端引导消融（Figure 4、5）：仅 Prompt 时 ASR 为 27.5%、防御率 32.5%；仅 DTC 时 ASR 为 37.5%、防御率 55.0%、Jaccard/LCS 为 (0.834, 0.723)；仅 SWE 时 ASR 为 66.7%、防御率 31.7%、Jaccard/LCS 为 (0.676, 0.645)；SWE+DTC 结合时 ASR 达 69.2%、防御率 30.8%、Jaccard/LCS 为 (0.692, 0.665)。

负面结果与例外

• 开源模型带防御表现偏低：在开源模型 Kimi-k3-104b 与 QWEN-3.8-27b 上，ECLIPSE 带防御 ASR 降至 37.2% 与 36.9%（无防御分别为 94.2% 与 87.3%），Jaccard/LCS 降至 (0.387, 0.415) 与 (0.362, 0.385)（Table 3）；作者解释称模型特定的规划与工具选择行为会影响轨迹相似度及防御敏感度（第 6.2 节）。
• 角色设定未显著提升控制力：在提示词消融中，单独添加用户角色 Persona 反使 ASR 从 19.2% 微降至 17.5%（Table 5）；作者指出角色设定主要改变请求上下文，未能实质改善轨迹控制（第 6.3 节）。

作者指出的局限与后续方向

• 论文未专门设立独立章节讨论局限：全文未包含单独的 Limitations 或 Future Work 章节（正文第 1–8 节及附录 A–B）。
• 现有防御未能联合跨源推理：作者在结论中指出，现有单点防御无法可靠识别连接提示词、工具元数据与执行轨迹的跨步依赖，强调需要能够联合多个信息源进行综合推理的新型防御机制（第 8 节）。
• 模型对齐可能抑制合法长任务能力：作者在讨论模型对齐防御 SecAlign 时指出，若模型无法区分非安全状态转移与复杂的授权操作，对齐可能会抑制合法的长时程任务完成行为（第 7 节）。
• 基准开源计划：作者计划开源 LASE-Bench 数据集以促进可复现研究与未来评测（第 1、4 节）。

实验覆盖范围

• 被测模型范围：实验覆盖 5 款闭源模型（DeepSeek、GPT-4o、Claude 4.8 Opus、GPT-5.6 Luna、Claude Sonnet 5）与 2 款开源模型（Kimi-k3-104b、QWEN-3.8-27b），以及 2 个原生智能体框架（OpenClaw、Hermes Agent）（第 6.1、6.4 节）。
• 任务与基准覆盖：评测覆盖自建长时程基准 LASE-Bench（120 个任务，覆盖供应链、数据窃取、提权等 7 大安全目标类别，96.7% 的任务需至少 5 次工具调用）与短时程基准 SHADE-Arena（120 个任务）（第 4、6.1 节）。
• 工具池与环境：实验工具池包含 16 类服务器、超 7,000 个工具函数，每次检索保留 top 200 并暴露 top 50 给智能体，所有环境交互均在独立的 MCP 仿真沙盒内运行，未在真实在线基础设施上产生实际破坏（第 6.1 节、附录 B.4）。
• 防御机制评测范围：评测覆盖 4 种代表性防御机制，包括输入/工具审查（DataSentinel、Tool-Guard）、轨迹监控（AgentDoG）与模型级对齐（SecAlign）（第 7 节）。
• 论文未报告的信息：论文未报告生成影子智能体 MS 所使用的具体基础模型版本，未报告攻击全流程的查询次数与计算耗时成本，亦未报告防御与人工标注之间的一致性统计（第 5.3、6.1 节）。

• 研究定位：针对基于大语言模型、需要多步工具调用的长任务智能体系统，研究兼顾高隐蔽性与执行可控性的新型提示词注入攻击机制与评测基准。
• 核心解决问题：化解现有直接注入因意图过于显式易被安全审查拦截、而分布式间接注入因长序列累积误差导致执行脱轨的固有矛盾。
• 方法关键设计：提出 ECLIPSE 框架，在离线沙盒中利用影子智能体合成并双阶段验证工具链，渲染为自然的单轮隐蔽用户请求；在工具侧通过静态工作流编码（SWE）改写描述建立状态依赖，并利用动态轨迹校正（DTC）在执行偏离时注入残差修正信号。
• 关键定量成果：在自建的 120 项长任务基准 LASE-Bench 上，ECLIPSE 对 DeepSeek 的无防御 ASR 达 96.7%、在外部安全过滤下达 69.2%（高出最强基线 27.5 个百分点，Table 2）；在 Claude 4.8 Opus 带防御下达 62.4%（最强基线仅 0.8%，Table 2）；在最新闭源模型 GPT-5.6 Luna 和 Claude Sonnet 5 带防御下分别达 52.5% 与 60.0%（Table 3）。
• 迁移性与防御表现：在原生智能体系统 OpenClaw 与 Hermes 上，带防御 ASR 分别达到 61.7% 与 55.8%（Table 6、7）；而在面对输入审查、工具边界隔离与轨迹监控防御时，仍能维持 43.3%–85.8% 的 ASR（Figure 6）。
• 作者结论与启示：作者认为单点或局部的输入与工具过滤难以防范此类将恶意意图跨输入端、工具元数据与多步执行轨迹解耦的攻击，未来的智能体安全防御必须具备跨越多个信息源联合推理的能力。