研究揭示代码注释中的上下文注入攻击面：十款 Code LLM 中招率达 77.4%–92.3%

不可信上下文里的指令与开发者指令共用同一通道，Code LLM 可能据此写出含可利用弱点的代码。

• 场景：代码助手的上下文混有打开文件、导入模块、粘贴片段、检索示例和注释，不少来自论坛、依赖、共享仓库或其他模型。作者认为，出处若未被显式表示并执行，外部自然语言指令会与开发者指令处于同一输入通道。
• 已有缺口：不安全代码生成研究通常不设控制推理输入的对抗者；投毒与后门需要训练或微调权限；间接提示注入的载荷多为被禁止回答、错误答案或未授权工具动作，而不是源码中的持久弱点。
• 做法：作者将此威胁称为推理时上下文注入。Figure 1 用 DeepSeek-V4-Pro 作定性例：直接请求被拒绝，同一目标写成补全注释则被执行并产生 CWE-915；该例不计入测量。本文给出威胁模型、两条件评测和生成后筛查。
• 威胁模型：
  • 目标：诱导含所选 CWE 类可利用弱点的代码进入受害者项目；要的是源码里的持久弱点，不是一次性被禁止输出。
  • 知识：对模型为 black-box。作者称对手不必知道权重、解码参数，实验中甚至不必知道具体模型。向产品层不同的已部署助手迁移，不在实验范围内。
  • 能力：只控制不可信区域 U 的一部分，不控制模型、权重、训练数据或开发者区域 D。渠道包括发布可能被复制的片段、向库或模板贡献注释、向共享仓库提交，或经其他工具写入上下文。
  • 判定：受害者是善意使用助手的开发者。实验把助手抽象为以上下文为条件的 Code LLM，不评测系统提示词、上下文组装和建议过滤。成功指集成检测器判出至少一处 medium 及以上弱点，不要求命中指定 CWE，也不测端到端部署。设定为单轮，并假设开发者不做部署前安全审查。

作者按恶意输入从何处进入、载荷是什么来组织相关工作，并称与本文攻击面之间仍有空档。

• 无对抗者的不安全代码生成：Pearce 等（2022）、Khoury 等（2023）、Tihanyi 等（2024）在中性或安全相关提示下测量弱点频率。本文转述 Pearce 等：安全相关场景中大约 40% 的 GitHub Copilot 补全含弱点。Perry 等（2023）、Sandoval 等（2023）报告，有 AI 助手的开发者往往写出更不安全的代码，且常未察觉安全性下降。SecurityEval、SALLM、LLMSecEval、CodeLMSec 标准化该测量；He 与 Vechev（2023）展示安全加固训练可以降低该倾向。作者把这条文献当作无对抗者基线，并称其不区分谁控制输入。
• 不可信代码来源：Acar 等（2016）发现依赖 Stack Overflow 等非正式来源的开发者，代码安全性低于使用官方文档者；Fischer 等（2017）把此类复制片段追踪到生产 Android 应用。Ohm 等（2020）编目 npm、PyPI 与 RubyGems 上真实攻击中的 174 个恶意包；Zimmermann 等（2019）报告单个流行包可达超过 100,000 个依赖方。作者对比：这些制品通常被动包含不安全代码，扫描和审查可行；Code LLM 把同一渠道变成主动渠道，植入注释即可诱导助手生成弱点。
• 训练时投毒与后门：Schuster 等（2021）演示代码补全投毒；TrojanPuzzle（Aghakhani 等，2024）把载荷藏在 docstring 等脱离上下文处，以逃避静态数据清洗；CodeBreaker（Yan 等，2024）借助 LLM 构造能躲过检测的伪装脆弱载荷。作者指出这些攻击需要训练或微调流水线，经由学到的参数生效；本文对手不需要该权限，只影响后来纳入的推理时上下文。
• 间接提示注入、越狱与防御：Greshake 等（2023）提出间接提示注入，Liu 等（2024）将其形式化并做攻防基准；InjecAgent、AgentDojo、PoisonedRAG 扩展到工具与检索增强。作者称那些载荷通常是未授权动作或错误答案，防御有时可以门控工具或校验检索。Wei 等（2023）认为越狱成功来自竞争目标与不完全泛化；Zou 等（2023）展示可迁移对抗后缀。作者区分：越狱目标是明确被禁止的内容，而不安全补全像普通代码；并称在所评测模型上普通不安全指令即足够。指令层级（Wallace 等，2024）、StruQ、SecAlign 训练模型优先服从可信指令，spotlighting 在推理时标记不可信片段。作者转述 Zverev 等（2024）：当前模型并不能稳健维持指令与数据的区分。
• 基线：攻击对照是自建普通编码任务，不是上述基准上的方法复现。生成后筛查比较 Bandit、AST 污点分析和 Phi-3，标签来自检测器集成（Section 6）。

作者将本文定位为间接提示注入的代码生成实例，载荷是进入代码库的持久弱点；并称据其所知，这一表现以及基座与指令微调 Code LLM 上合规是否一致，尚未被系统量化。

作者把助手抽象成不区分出处的补全策略，用两条件评测测量注释里已有的不安全指令会把多少补全推向 medium 及以上弱点。所测行为称为推理时上下文注入；评测不估计端到端攻击成功率。

上下文、边界与成功准则

• 助手可含系统提示词、上下文组装或检索、编辑器集成和建议过滤。实验只评测底层 Code LLM，把助手抽象为以窗口为条件的策略，从 D 与 U 的并集采样。
• D 是开发者提示、指令和代码；U 是导入文件、粘贴片段、检索示例、依赖代码，以及其他工具或模型的输出。窗口不编码出处时，除非外部机制强加区分，两处指令的操作地位相同。
• 应保持的属性是出处感知的指令处理：D 中指令可以遵循，U 中内容应作为数据而非命令。作者将攻击称为对该属性的违反，并称为 confused-deputy：宽泛的可信请求携带不可信载荷。
• 成功指良性请求加上已植入指令后，集成检测器判出至少一处 medium 及以上弱点。准则不要求命中场景指定的 CWE，也不要求部署环境中可利用。作者的理由是：目标类重叠，一条补全常同时满足多个 CWE（Appendix A）；模型可能用未预期的 sink 实现不安全意图；对受害者而言，任何被引入的可利用弱点都算相关结果。

两条件任务构造

• 攻击项是部分完成的 Python Flask 应用。不安全目标写在函数体补全点的注释里，标记为 TODO、INSTRUCTION 或 TASK。十类为 SQL 注入、跨站脚本、命令注入、路径遍历、SSRF、XPath 注入、CORS 错误配置、开放重定向、不安全反序列化、敏感信息泄露（Appendix A，Table 4）。每类做成小型请求处理函数，用户可控输入到达安全敏感 sink。
• 每模型每条件 700 条场景，每条一条补全。良性条件是 700 个带良性指令的普通 Python 任务，同一补全模板、无恶意指令，用来估计正常编码时的弱点率。
• 模板把模型框定为补全助手，要求完成注释标出的部分并只返回最终代码。作者称固定模板、语言和表面形式，以限制提示格式混淆；但良性集不是各攻击脚手架的安全改写，对比同时反映指令和任务类型。只分离指令需要脚手架内配对，本文未采用。
• 不安全指令始终以注释留在上下文里，模型围绕它补全，因此测的是合规而非端到端成功。注释在文件中的位置另作检查（Appendix B）。

检测器与易感性指标

• 五部件为 Bandit、AST 污点分析、模式规则、密钥检测和 Phi-3 语义验证。发现取并集。每条发现有 CWE、来源检测器和 severity，取值 0 到 4，对应 safe、low、medium、high、critical。
• Bandit 自有三级直接对应；污点、模式和密钥检测按发布配置给规则固定级别；语义验证器被要求返回四个非零级别之一。没有部件输出 0，safe 表示无发现。样本级别 SS(x) 为发现级别的最大值，无发现则为 0。SS(x)≥2 计为含弱点。
• 合规指遵循上下文中的指令，不论谁放入。作者不直接观察合规，而用攻击条件的 vulnerable-output rate 作代理。MSS 为攻击率减良性率，RSR 为二者之比。作者称良性基线很低时，不大的绝对差也可得到大比值，故两个都报。条目不同，用非配对两比例检验，效应量为 Cohen's h，区间为 95% Wilson。
• 作者承认该代理不完美：可能遵循指令但没有可检测弱点，或忽略指令仍产生无关弱点。作者称审阅了每条补全以确认其完成所请求任务，并执行了一个子集以检查能运行；论文未给出该子集规模。检测器诊断把实验条件当参考标签，作者明确这不是真值。作者不单独依赖 LLM 验证器，并转述 Ullah 等（2024）：LLM 的漏洞判断在单独使用时并不可靠。

生成、等价性与筛查定义

• 有官方对话或指令模板则使用该模板。基座模型无对话模板，退回带 Task、Input、Completed 标题的普通补全提示。解码为贪心，do_sample=False，每场景一条，新 token 上限 500，跨模型与条件固定。拒绝若出现则保留，仅当生成代码含弱点才计入比率。不丢弃输出，分母固定 700。
• 均匀性用两次单侧检验。两组均值差的 90% 区间落入负 Δ 到正 Δ 时，在该边际下判等价。Δ 取 10 个百分点。作者称该边际相对所观察的 77% 到 92% 攻击区间、以及条件间 17 到 49 倍对比，在实践上较小。对比在十个模型级比率上计算，并在模型层聚类。
• 筛查报告 coverage 与未抓住比例。因筛查器也属于集成，同时相对全集成和去掉该筛查器的 leave-one-out 参考计分。论文只测输出是否通过筛查，不测之后是否被审查、提交或部署。

实验设置

• 模型：十个开源 Code LLM（Table 1）。基座为 StarCoderBase（7B）、DeepSeek-Coder-base（6.7B）、Qwen2.5-base（7B）、Granite-4.0-H-Micro-Base（3B）。指令微调为 StarCoder2-Instruct（3B）、DeepSeek-Coder-Instruct（6.7B）、Granite-3B-Code-Instruct（3B）、Granite-4.0-H-Micro（3B）、CodeLlama-13B（13B）、Qwen2.5-Instruct（7B）。DeepSeek、Qwen、Granite 4.0 为共享预训练谱系的兄弟对。语义验证与 LLM 筛查为 Phi-3。Figure 1 的 DeepSeek-V4-Pro 不计入测量。
• 数据：攻击条件 700 个互异 Flask 场景，覆盖十类弱点；良性条件 700 个普通 Python 任务。每模型每条件恰好一条补全，无过滤，分母 700。论文未报告每类弱点的场景条数。
• 解码与复现：官方模板或基座回退提示；贪心；新 token 上限 500。检查点标识与其余参数在 Appendix E。生成与计分在单张 NVIDIA A100 上经 Google Colab 完成，合计约 50 GPU 小时。
• 指标：VR、MSS（百分点）、RSR、Cohen's h，以及含弱点攻击输出中 HIGH 与 CRITICAL 的合计占比。组间比较用 TOST，Δ=10 个百分点。作者称在该样本量与效应量下，统计显著性不是主要问题。
• 判定：五部件集成，SS(x)≥2。筛查参考为全集成与 leave-one-out，均非人工裁定。作者称审阅了全部补全是否完成任务，并执行了一个子集；论文未报告子集规模，也未报告与人工的一致性。

主结果

表格较宽，可左右滑动

模型	类型	良性%	攻击%	MSS	H+C%
StarCoderBase	Base	3.6	77.4	73.8	89.1
CodeLlama-13B	Instruct	2.9	77.6	74.7	86.6
Granite-4.0-H-Micro	Instruct	1.7	84.1	82.4	89.8
Qwen2.5-Instruct	Instruct	3.6	84.7	81.1	86.2
DeepSeek-Coder-Instruct	Instruct	3.0	85.0	82.0	88.1
DeepSeek-Coder-base	Base	4.7	87.7	83.0	90.4
Qwen2.5-base	Base	4.6	88.4	83.8	89.8
Granite-4.0-H-Micro-Base	Base	4.4	92.3	87.9	91.0

上表据 Table 2，每条件 700 条，MSS 单位为百分点。省略 StarCoder2-Instruct（良性 5.1%，攻击 88.6%，MSS 83.5，H+C 90.5%）和 Granite-3B-Code-Instruct（3.7%，86.7%，83.0，90.1%）。

• 作者报告各模型两条件的 95% Wilson 区间彼此分开，Cohen's h 为 1.77–2.15。Section 5.2 将相对差概括为 17 到 49 倍；Table 2 的 RSR 为 17.2×–49.1×，由未取整比率计算。
• 作者提醒两条件的任务类型也不同，RSR 不应单独当成指令的因果效应（Section 7.3、Table 2 注）。
• 作者称 Figure 3 中良性率都低、攻击率落在同一高带，基座与指令微调组重叠，集合内最高率属于基座模型。图中百分数为取整标注，精确值以 Table 2 为准。

训练方式与规模

• 基座均值 86.5%，指令微调均值 84.5%。组差 +2.0 个百分点，90% 区间为 [−5.5, +9.5]，落入 Δ=10，不落入 Δ=5。作者据此在 Δ=10 下称两组等价。
• 三对兄弟模型中，微调都未提高所测比率。未取整差值（基座减微调）为 DeepSeek +2.7、Qwen +3.7、Granite 4.0 +8.1 个百分点。DeepSeek 与 Qwen 的区间落入 Δ=10；Granite 区间 [+5.3, +11.0] 略超出。摘要写微调后降幅至多 8.1%，Section 5.3 写的是百分点。
• 作者称在这十个模型里，比率与参数量、发布新旧、代码专用或通用、训练方式没有清楚关联。被省略的 3B StarCoder2-Instruct 攻击率为 88.6%，Granite-3B-Code-Instruct 为 86.7%。作者称未直接测量能力，参数量与专用化只是代理。Granite-4.0-H-Micro 与更早的 Granite-3B-Code-Instruct 接近，但专用化也不同，作者称该对比是指示性的，不是受控的代际对照。

严重级别与弱点类别

• Table 2：含弱点的攻击输出中，HIGH 与 CRITICAL 合计占 86.2%–91.0%。作者称每个模型都以 HIGH 最常见，且都出现 CRITICAL。作者称 Figure 4 中攻击条件从 Safe 转向 HIGH 和 CRITICAL，基座与指令微调的剖面相似；正文未列出各分段百分比。
• 作者称汇总后的弱点集中在注入和面向 web 的类别，与 Flask 中用户输入到达渲染、出站请求、路径或查询的设定一致。Figure 5 正文点名最频繁的是 CWE-89 和 CWE-79，其后为 CWE-114、CWE-117、CWE-20、CWE-502、CWE-113、CWE-77。正文未给出各柱的提及次数。

生成后筛查

• Table 3 跨十模型汇总，参考均非人工裁定。全集成参考下，Bandit 覆盖 21.4%、未抓住 78.6%；AST 污点分析覆盖 32.1%、未抓住 67.9%；Phi-3 覆盖 71.0%、未抓住 29.0%；三者并集覆盖 78.4%、未抓住 21.6%。leave-one-out 下对应未抓住比例为 79.3%、68.6%、32.1%、25.5%。两种参考相差 0.7–3.1 个百分点，作者称不改变结论。
• 作者称没有单一筛查能阻止该攻击。最强单项检测器仍留下大约三分之一未被发现；可部署的静态筛查留下大约三分之二或更多。并集仍未接近遏制。作者认为筛查只在生成后拦截它认得的内容，因而继承静态分析对功能上仍说得通的代码的召回限制。
• 作者据此认为更直接的防御须在生成前或生成中起作用，例如指令层级、StruQ、SecAlign 或 spotlighting。本文未报告这些方法在该设置下的实测结果。

其他消融与分析

• 去掉模式检测器后，八个模型攻击率约 62%–79%，StarCoderBase 与 CodeLlama-13B 约 46%–54%；良性约 2%–5%（Section 5.6）。作者称主结果不依赖针对目标弱点类的签名。
• 注释位置（Table 5，每位置 n=30，贪心）：DeepSeek-Coder-Instruct 顶/中/底为 83.3% [66.4, 92.7]、86.7% [70.3, 94.7]、80.0% [62.7, 90.5]；Qwen2.5-Instruct 为 76.7% [59.1, 88.2]、70.0% [52.1, 83.3]、70.0% [52.1, 83.3]。
• 位置比较：DeepSeek 的 Cochran’s Q=0.75，p=0.69；Qwen 的 Q=1.60，p=0.45；配对 McNemar 均 p≥0.44；各格拒绝率为 0%。作者称注释一旦在上下文中，位置不改变该行为。
• Figure 6 与 Appendix C 以实验条件为参考标签。作者称集成的 precision 高于 recall；该比较是检测器与条件的一致性，不是检测器准确率。正文未列出各模型的 precision、recall、F1。Figure 6(a) 省略密钥检测与语义验证，因为它们不报告逐文件计数。

作者指出的局限与后续方向

• 未测量开发者提示与攻击制品完全分离时的端到端成功率。两条件也未单独分离指令：良性语料是普通任务而非攻击脚手架的安全改写，17–49 倍比值混合了指令与任务类型。脚手架内配对，以及端到端研究所需的非安全敏感良性脚手架，留待后续（Section 7.3）。
• 威胁模型针对助手，实验评测的是底层 Code LLM。已部署助手还有系统提示词、上下文组装或检索、编辑器集成，以及部分产品中的建议过滤。作者称模型级合规要推出助手级攻击，还依赖产品层继承模型行为这一前提（Section 7.3）。
• 模型为开源、3B–13B，不包括闭源和前沿系统，也未包括作者所称接受更多安全投入的系统。作者称结论对该集合成立，之外是假设而非已展示；扩展到少量 API 服务模型是最有用的稳健性扩展。Conclusion 将完全分离的端到端研究，以及对重度安全后训练或闭源模型的更广评测，列为后续（Section 7.3、Conclusion）。
• 等价性检验只有四个基座和六个指令微调簇，组差区间宽：Δ=10 下等价，更严的 Δ=5 下不等价。Wilson 区间描述该场景集内的抽样变异，不是向新任务、框架或语言的泛化（Section 7.3）。
• 全部比率依赖不完美的集成检测器。指标计任何 medium 及以上弱点，而不是植入指令点名的精确 CWE，因此没有单独报告目标 CWE 诱导率（Section 7.3）。
• 攻击条目把不安全目标写明，未测量意图可以多间接仍诱导同一弱点。场景只用 Python 与 Flask。其他语言、框架和助手设置是否同样合规，作者称仍未解决。哪一训练阶段产生该行为，作者称本次检查点对比不能确定（Section 7.3、Section 7.1）。

实验覆盖范围

• 生成模型为 Table 1 的十个开源检查点：四基座、六指令微调、三对兄弟模型，参数 3B–13B；语义验证和 LLM 筛查使用 Phi-3。Figure 1 的 DeepSeek-V4-Pro 不在测量集内。
• 每模型每条件 700 条：十类 web 弱点的 Flask 处理函数，对照普通 Python 任务。解码为贪心，新 token 上限 500，每场景一条，拒绝保留计分。
• 生成后筛查为 Bandit、AST 污点分析、Phi-3 及其并集。参考是检测器定义的全集成与 leave-one-out（Table 3），不是人工裁定。
• 注释位置检查覆盖两个指令微调模型、三个位置、每位置 n=30（Table 5）。检测器与实验条件的一致性见 Appendix C。
• 论文未报告：各类弱点的场景条数、所执行代码子集的规模、检测器与人工判定的一致性、主实验中的拒绝条数，以及用于撰写攻击注释的模型。

作者把 Code LLM 助手的安全写成出处边界问题：上下文中的不安全指令会被遵循，而不看出处。

• 问题：对手不必接触权重、训练数据或开发者提示，只需把指令放进稍后可能进入上下文的不可信内容。开发者发出普通补全请求时，模型可能把可利用弱点写进源码。
• 方法：攻击条件把不安全目标写进 Flask 处理函数的注释；良性条件是无恶意指令的普通 Python 任务。十个 3B 到 13B 的开源模型各生成 700 条贪心补全，五部件集成以 medium 及以上计分，并用等价性检验比较基座与指令微调。
• 主结果：Table 2 中攻击条件 VR 为 77.4%–92.3%，良性为 1.7%–5.1%，Cohen's h 为 1.77–2.15。含弱点的攻击输出里，HIGH 与 CRITICAL 合计占 86.2%–91.0%。
• 模型间：基座均值 86.5%，指令微调均值 84.5%，组差 +2.0 个百分点，在 Δ=10 下被判等价，在 Δ=5 下则不是。三对兄弟模型里，微调都没有提高所测比率；Granite 4.0 的差为 8.1 个百分点，其区间略超出 Δ=10。作者称参数量、代码专用化和发布新旧与该比率没有清楚关联。
• 筛查与结论：Table 3 中，全集成参考下 Phi-3 覆盖 71.0%、未抓住 29.0%；三筛查并集未抓住 21.6%。作者的结论是，在该集合里，基于拒绝或合规的分数找不出更安全的模型；生成后筛查能减轻但不能遏制风险，持久缓解需要生成前的出处感知处理。作者同时把范围限定在所测开源模型的单轮补全。