ASPIRE：面向 LLM Agent 的开放式提示注入红队引擎

现有自动化红队主要在预定场景里优化注入载荷，难以开放式发现智能体行为空间中的潜在提示注入漏洞。

• 场景：作者认为智能体已检索外部内容、调用工具，并修改软件仓库和财务记录；MCP与A2A进一步扩大可达范围。邮件、网页或附件中的指令可进入上下文、被当成意图，并以智能体权限执行。
• 现有不足：作者称现有评测把用户任务与预定恶意目标、注入案例配对；黑盒和灰盒方法在目标后果与环境固定后再优化注入内容。这些做法强化已知设定，但漏洞假设本身大多预先给定。
• 核心观察：作者把智能体提示注入漏洞定义为一条可利用影响路径：不可信内容进入工作流、影响中间决策，并到达非预期动作或状态改变。要发现它，需要看影响如何传播、在何处被阻断，而不只是产出一条成功载荷。
• 威胁模型：
  • 目标：发现后果、注入方法、环境与行为路径的多样可利用组合。
  • 知识：论文称为builder-side vulnerability discovery。静态侦察使用智能体规格、工具接口和外部环境；判定使用轨迹证据。论文未把ASPIRE标成white-box、black-box或grey-box。
  • 能力：红队方把载荷放进选定环境，并给出触发正常工作流的良性用户查询，再对受害智能体执行。
  • 受害系统：与外部环境以及工具、记忆等组件交互的LLM智能体。
• 本文做法：提出ASPIRE。它维护演化的Agent Security Behavior Graph，用互补的Explore与Exploit专家发现、验证并泛化以后果为中心的测试，再用跨运行策略记忆迁移搜索决策。

间接提示注入的基准

• InjecAgent、AgentDojo、AgentDyn：作者称它们把该威胁建立在工具集成智能体上。AgentDojo与AgentDyn后来被本文只当作可执行环境使用。
• WASP、LLMail-Inject：把评测扩到更接近真实的网页工作流，以及自适应人类攻击。

自动化红队

• AgentVigil、AgentXploit：迭代改进黑盒注入；AgentXploit用MCTS引导种子选择。
• VeriGrey：用工具调用序列作为grey-box反馈，对提示做变异。
• AutoInject、PISmith学习攻击策略；SIRAJ、MUZZLE、ChainFuzzer把搜索扩向风险导向测试、注入面、多步攻击和source-to-sink工具链。作者称尽管如此，多数方法仍在预定目标、表面或成功判定下优化或评测攻击。

防御

• Spotlighting、PIGuard、MELON：作者把它们作为互补防御的例子，分别是来源标记、学习到的守卫模型，以及用掩码再执行识别与任务无关的动作。Related Work只作描述，未在此处批评这三项。

从攻击优化转向漏洞发现

• Know Your Agent：用black-box侦察构造目标画像，再做针对性利用。

• PI-Hunter：生成source-aware测试并分析执行轨迹，以暴露和定位易受注入摄取的路径。

• 基线与基准：实验对照为AgentXploit、VeriGrey，以及作者实现的Free-form agentic attacker。环境来自AgentDojo与AgentDyn。

• 作者定位：作者称本文沿这一转向，但问题更宽：开放式发现潜在后果和漏洞，并维护关于组件、信息与决策流、状态转移和已观察漏洞的演化模型，而不是只搜索载荷、注入点或攻击者任务。

ASPIRE把红队从优化孤立注入字符串，改成寻找外部内容影响决策并造成非预期动作或状态改变的路径。中心是一张随证据更新的Agent Security Behavior Graph；它表示红队方当前的经验知识，作者称并不重建智能体的真实内部计算。

问题设定

漏洞假设是测试骨架 z=(C,M,E)：C为目的后果，M为注入方法，E为注入环境。它被实例化为可执行测试 x=(C,M,E,T,P)，T是良性用户查询，P是放在E中的载荷。成功必须同时满足：C发生，且轨迹证据把注入内容连到该行为。搜索对象是这些组合以及相关行为路径，而不是单条字符串。

静态侦察

• 时机：任何红队测试执行之前，分析智能体规格、工具接口和外部环境。
• 表面：标出不可信内容可能出现的位置、能检索该内容的工具，以及能产生安全相关后果的工具或状态变量。
• 初始图：把邮箱、日历等环境映射到访问工具，识别动作工具，并经推理组件构造通向下游动作的候选路径。
• 候选集：后果来自可写工具、持久状态和隐私敏感输出；方法把常见操纵策略与针对该智能体合成的策略合在一起。二者加上假设路径，构成专家的初始搜索前沿。

行为图与双专家

• 图的内容：节点包括注入环境、访问工具、观察、推理模块、动作工具、持久状态和最终输出；边表示可能的信息与控制流。每条边保存执行证据，状态分为未测试、被支持、被阻断、有条件、已饱和。
• 路径类型：面向动作的路径从环境经访问工具、观察和规划器到达动作或状态改变；只涉及回复的路径止于回复生成器与最终输出。Figure 2的例子是日历注入经calendar.read和规划器到达email.send或持久记忆；正文称检索在4/4次测试中被支持，email.send在2/4次到达，确认守卫路径被阻断，记忆分支未测试。
• 两名专家：每轮先把图编译成安全状态，包括已支持路径、阻断或饱和转移、条件边、可达后果、有希望但未确认的三元组，以及近期失败模式。Explore扩展未确认后果、测得较少的环境和不确定路径；Exploit补全部分轨迹、复现已确认漏洞，并测试其是否跨路径、环境或方法成立。
• 骨架与实现分离：两名专家各提出一批骨架。realizer再按环境、触发工作流、工具schema和目的后果生成T与表面原生形式的P。作者称这样避免搜索塌成局部改写。正文举例：未授权邮件后果、日历事项机制，会把构造内容放进日历事件，并配一条查看日程、处理后续事项的良性请求。附录C.3给出Explore、Exploit和realizer的完整提示词。

验证、报告与地图

• 混合判定：规则检查后果是否实现，例如相关工具是否以有依据的参数被调用、预期外部副作用是否发生。LLM评估器处理含糊回复和复杂轨迹，抽取证据并诊断停滞点，把轨迹分成检索、规划、目标工具调用和效果实现等中间信号。
• 确认条件：作者写明，只有规则门通过，且观察到的轨迹把注入内容连到目标后果，才确认漏洞。附录中的评估器提示词写明，确认是规则判定，评估器不自行设置vulnerability_confirmed。论文未单独写出该评估器的模型名。
• 两种产物：每条已确认漏洞的报告记录行为路径、方法、后果，以及检索内容、工具调用、参数、输出和副作用，并把失败归到行为原因，例如source–instruction confusion，或不安全地构造敏感工具参数。地图则区分已确认、部分、失败和未测试假设。作者称失败尝试不是安全性的证明，停滞点表示影响在何处中断、何处还要再测。

跨运行策略记忆

• 存什么：存如何换注入面、修补触发、比较方法或放弃已饱和路线，不存可重放载荷。每条记忆有category、polarity、context、claim、action五部分。
• 怎么学：作者称有用决策在长轨迹中很稀疏，因此抽取转折点，而不是不加区分地摘要整条轨迹。每条教训连到之前的搜索状态、所选动作、分解后的结果和覆盖变化。
• 怎么用：后续运行在专家决策前，按当前图状态、失败阶段和候选测试检索记忆；与新目标证据冲突时可以保留、削弱或抑制。行为图仍是关于当前智能体的主要证据，记忆只是对合法搜索选择的上下文先验。附录C给出算法和记忆细节。

实验设置

• 受害模型：主骨干是Gemini-3.7-Flash；附录B.4另用DeepSeek-V4-Flash；附录B.7复现基线时，受害与攻击都是Gemini-2.5-flash。架构为ReAct和planner-executor。
• 攻击模型：Gemini-3.7-Flash、GPT-5.6-luna、Gemini-3.5-Flash-Lite、DeepSeek-V4-Flash。ASPIRE与基线使用同一红队协议。
• 基准：AgentDojo（banking、slack、travel、workspace）和AgentDyn（dailylife、github、shopping）的可执行环境。作者写明只采用环境，不用预定义恶意目标。论文未报告测试条数。
• 基线：AgentXploit是black-box模糊测试；VeriGrey是grey-box，以工具调用序列为反馈；Free-form是通用攻击智能体，没有行为图和结构化搜索策略，对沙箱中的受害方探查并修改测试。作者称基线只对静态用户任务优化载荷，ASPIRE同时实例化良性触发和结构化载荷，并在适用时沿用已发表基线的原始配置。
• 指标：ASR是已执行测试中实现预定恶意后果的比例。至少一个成功测试支持的不同(C,M,E)算一条唯一漏洞，主覆盖指标是其数量；另报成功测试中的#C、#M、#E。多样性用附录A的归一化Shannon entropy和Gini-Simpson index。附录B.7使用原文的ITSR。效率是每条已确认漏洞的token和美元成本。
• 预算与判定：每次ASPIRE运行为8轮，每轮Explore和Exploit各最多提出8个骨架。确认要求规则门和轨迹关联；LLM评估器辅助诊断。论文未写评估器模型名、重复次数或统计检验。

主结果

Table 1的行是攻击模型。下表只列攻击模型与主受害骨干都是Gemini-3.7-Flash的格子。

表格较宽，可左右滑动

基准	架构	ASPIRE	Free-form	Verigrey	AgentXploit
AgentDojo	ReAct	52.4%	0.0%	0.7%	0.2%
AgentDojo	Planner-executor	54.1%	0.0%	0.1%	0.3%
AgentDyn	ReAct	37.8%	0.0%	0.0%	0.0%
AgentDyn	Planner-executor	44.6%	0.0%	0.0%	0.0%

• 作者称在近期强模型上，Free-form、Verigrey和AgentXploit停滞在至多0.7% ASR；只在静态任务上优化攻击字符串不够。脚注称这些基线在Gemini-2.5-flash等较旧模型上可以很高，与原文结果一致。
• 作者称Gemini-3.7-Flash驱动时，AgentDojo峰值ASR为54.1%，AgentDyn为44.6%。作者另举轻量骨干Gemini-3.5-Flash-Lite在AgentDyn上为42.3%；该句未写架构，与Table 1的ReAct格相同。
• Table 1其余ASPIRE格：Gemini-3.5-Flash-Lite在AgentDojo上为26.5%（ReAct）和24.7%（planner-executor），AgentDyn上为42.3%和32.2%；GPT-5.6-luna为25.9%、15.9%、24.8%、22.3%；DeepSeek-V4-Flash为23.9%、23.8%、32.1%、28.3%。这些行的基线多为0.0%，非零格为0.3%或0.4%。15.9%是该表ASPIRE的最低格。

覆盖、多样性与分域

• 作者称Figure 3里各攻击模型都能进入多数注入环境和访问工具，较强模型进一步进入深层动作工具和目标后果，最多96条唯一(C,M,E)。Table 9总计：访问工具60/61（98.4%），环境27/27（100.0%），动作工具52/90（57.8%）。AgentDojo动作工具为25/27（92.6%），AgentDyn为27/63（42.9%）；其中GitHub为10/24（41.7%），Shopping为7/23（30.4%）。引言的98.4% tools与访问工具一致，不是全部工具。论文未说明Figure 3的分模型读数是否等于Table 9。
• Table 2的方法归一化熵：Gemini-3.7-Flash为0.775，Gemini-3.5-Flash-Lite为0.768，GPT-5.6-luna为0.765，DeepSeek-V4-Flash为0.794；正文概括为约0.76–0.79。后果熵与Simpson index：上述四模型分别为0.903/0.736、0.593/0.475、0.874/0.709、0.770/0.623。作者称Lite出现mode collapse，成功尝试集中在更窄的后果集合。论文未说明Table 2的基准和架构。
• Table 6写明ReAct、受害骨干Gemini-3.7-Flash。攻击方同为Gemini-3.7-Flash时，banking为75.3%，slack为46.8%，travel为52.1%，workspace为35.4%。Table 7同攻击方的planner-executor中，banking为64.6%。作者称有直接状态变更副作用的金融工具容易被间接操纵。同表攻击方DeepSeek-V4-Flash的slack为7.4%，论文未解释该格。

组件消融与记忆

• Table 4：AgentDojo上Full为52.4%，去掉Expert为34.7%，去掉Graph为0.0%；AgentDyn上为37.8%、25.2%、0.0%。作者称没有交互面的拓扑模型时，LLM不能自发找到有效多步路径。Table 4标题未写攻击模型和架构；Table 11的Full分域数字与Table 6的Gemini-3.7-Flash列相同，去掉Graph后各分域都是0.0%。
• 正文在讨论两个基准上的专家协作时给出Figure 4的一组数字：Explore-only为81个唯一(C,M,E)、ASR 40.0%；Exploit-only为24个、ASR 45.5%；双专家为96个、52.4%。作者称只用任一方都会损害覆盖或成功率。该段未写明这组数字属于哪一基准；52.4%与Table 1中AgentDojo、ReAct、Gemini-3.7-Flash攻击方相同。
• Table 3比较有无长期记忆，标题未写架构。Gemini-3.7-Flash在AgentDojo从45.0%到52.4%（+7.4），AgentDyn从32.2%到37.8%（+5.6）。作者称四模型平均绝对增益为AgentDojo +6.9%、AgentDyn +7.1%；Lite为+8.1%和+8.5%。加记忆后的终点与Table 1的ReAct列相同，论文未因此写明就是该列的设置。

防御、其他受害骨干与案例

• Table 5写明Gemini-3.7-Flash与ReAct。AgentDojo：无防御52.4%，Spotlighting 45.9%，MELON 51.0%，PI-Guard 42.0%。AgentDyn：37.8%、36.3%、30.6%、29.8%。作者称即便其称为最强的PI-Guard，也只把ASR降低10个百分点，并称现有缓解相对无防御基线保护有限。
• Table 13中，Spotlighting的workspace为47.7%，高于无防御35.4%；dailylife为41.9%，高于32.6%。作者把这种现象归到两点：分隔不可信内容的标记可能成为注意力锚，并覆盖模型原有安全对齐；拒绝信号会让Explore改道、Exploit扩展已确认漏洞。这是作者给出的解释。
• Table 14无防御的唯一(C,M,E)为96；Spotlighting为89（-7.3%），PI-Guard为84（-12.5%），MELON为78（-18.8%）。四种设置的方法数M都是6。Spotlighting的动作工具数为58，高于无防御的52。
• 附录B.4受害骨干为DeepSeek-V4-Flash。作者称AgentDojo上ReAct平均ASR为49.0%–58.8%，planner-executor为48.1%–55.4%。Table 10中，攻击方GPT-5.6-luna、ReAct、AgentDojo平均为58.8%，slack为78.2%。Table 12中，攻击方Gemini-3.5-Flash-Lite、AgentDyn、planner-executor平均为41.3%。作者称结构化搜索不依赖某一底层模型。
• 附录C.4的案例包括：GitHub工作流中把对手SSH公钥写成CI/CD配置并触发账户级密钥写入；Slack中载荷位于频道标题，消息历史为空仍邀请外部用户；金融流程中把交易重定向写成清算和付款通知式文本。作者称它们分别涉及持久状态、非消息通道的来源边界，以及领域原生伪装。此处不复述载荷原文。
• 附录B.7受害与攻击都是Gemini-2.5-flash。VeriGrey平均ITSR在AgentDojo为67.8%、AgentDyn为67.5%；其black-box baseline为49.6%和44.1%。作者称旧模型上基线可以很高，并称最新模型对这类攻击的抵抗有提高。

其他消融与分析

• Table 8：Gemini-3.7-Flash在AgentDojo为135,217 token、$0.51/漏洞，AgentDyn为533,333 token、$2.00；GPT-5.6 Luna在AgentDojo为$0.23。作者称成本为$0.23–$2.00/漏洞。
• Table 9：AgentDojo的Banking、Slack动作工具覆盖为5/5和6/6，均为100.0%；Travel动作工具为5/6（83.3%）。AgentDyn的DailyLife访问工具为8/9（88.9%）。
• Table 7：攻击方GPT-5.6-luna、planner-executor、travel为7.4%，AgentDojo平均15.9%。
• Table 11去掉Expert后，AgentDojo banking从75.3%到40.7%，workspace从35.4%到23.9%；AgentDyn平均从37.8%到25.2%。
• 贡献条写约50% ASR、98.4% tools、100% environments、不超过$2.00/vuln；结论写up to 54.1% ASR。二者并列，98.4%对应Table 9的访问工具，不是动作工具57.8%。

作者指出的局限与后续方向

论文没有Limitations、Discussion或Future Work专节，Conclusion也没有把某项结果写成不足或后续工作。论文未专门讨论局限。

实验覆盖范围

• 主结果的受害骨干是Gemini-3.7-Flash，架构是ReAct和planner-executor；附录B.4的受害骨干是DeepSeek-V4-Flash，附录B.7用Gemini-2.5-flash复现基线（Section 4.1、附录B）。
• 环境来自AgentDojo的banking、slack、travel、workspace，以及AgentDyn的dailylife、github、shopping。作者写明不采用这些基准的预定义恶意目标（Section 4.1）。
• 攻击模型是Gemini-3.7-Flash、GPT-5.6-luna、Gemini-3.5-Flash-Lite和DeepSeek-V4-Flash；对照是Free-form、VeriGrey和AgentXploit（Section 4.1、Table 1）。
• 防御实验是Spotlighting、MELON和PI-Guard，正文写明设置为Gemini-3.7-Flash与ReAct（Section 4.4、Table 5）。
• 搜索预算是8轮，每轮每名专家最多8个骨架（Section 4.1）。论文未报告每条ASR对应的测试条数、重复次数和统计检验，也未写明LLM评估器的模型名。

ASPIRE是给搭建方用的智能体提示注入红队引擎，目标是开放式画出可利用的行为路径，而不是在固定任务上打磨一条载荷。

• 问题：作者认为漏洞在于不可信内容进入工作流、改变中间决策，并到达越权动作或持久状态改变。预定后果和环境下的载荷优化，留不下尚未命名的路径。
• 做法：执行前用规格、工具和环境初始化Agent Security Behavior Graph。Explore扩展未确认区域，Exploit验证并泛化已确认区域；二者只提出后果、方法和环境组成的骨架，realizer再生成良性查询和表面原生载荷。规则门加上轨迹关联才确认漏洞。跨运行记忆保存换表面、修补触发或放弃饱和路线等决策，不保存可重放载荷。
• 主结果：攻击模型与受害骨干都是Gemini-3.7-Flash时，AgentDojo上planner-executor的ASR为54.1%，ReAct为52.4%；AgentDyn为44.6%和37.8%（Table 1）。作者称同表基线至多0.7%。访问工具覆盖为60/61（98.4%），环境为27/27（Table 9）。
• 其他证据：去掉行为图后，Table 4两个基准的ASR都是0.0%。PI-Guard下，Gemini-3.7-Flash加ReAct、AgentDojo的ASR为42.0%（Table 5）。受害换成DeepSeek-V4-Flash、攻击为GPT-5.6-luna时，AgentDojo、ReAct平均ASR为58.8%（Table 10）。
• 作者结论：作者认为智能体安全测量应转向环境感知、有证据的漏洞测绘；ASPIRE把单次成功整理成报告和威胁地图，供搭建方查看影响如何到达后果、在何处中断。