大规模实证研究显示间接提示注入在网页中广泛存在且主要面向机器而非人类

该论文基于12亿URL和2480万个主机的分析，首次揭示了间接提示注入（Indirect Prompt Injection）在真实互联网环境中的普遍性，共识别出1.53万个验证实例。研究发现这些攻击并非孤立事件，而是由少量重复模板驱动，其目标涵盖破坏性指令、声誉操纵、内容保护及AI机器人检测，主要攻击对象是爬虫、搜索管道、客服代理和招聘工作流等自动化系统。

关键事实显示约70%的注入指令位于未渲染的HTML部分（如头部、注释、元数据），许多可见案例通过渲染技术隐藏。在针对13个模型和四种网页表示形式的5200次受控实验中，结果证实虽然结构化表示能保留结构线索从而降低合规率，但小模型在纯文本输入下的合规率仍高达8%，表明风险虽有限却不可忽视。

推断认为提示词干扰已成为Web生态系统的既定组成部分，反映了LLM驱动的自动化与所消费网站之间的持续张力。事实层面确认了攻击的高频存在与特定隐蔽手段；推断层面指出当前防御机制对非渲染内容的覆盖不足；猜测层面需关注随着Agent架构普及，此类针对机器的指令是否会演变为更复杂的供应链攻击向量。