arXiv cs.CR· Zhiyue Xu, Xukai Wang, Zhiyuan Huang, Mingjie Zhan, Jian Zhao, Xu-Yao Zhang·· 4 小时前精选AI 评分78
CarryoverBench 测试显示 LLM Agent 的持久化状态可导致提示注入跨会话复现
After the Attacker Leaves: Benchmarking Carryover Attacks on LLM Agents
AI 导读
该论文提出 CarryoverBench 基准，评估现代 LLM Agent 在长期记忆文件和定时任务唤醒机制下，一次性间接提示注入（IPI）是否会在攻击者离开后跨会话重新触发。研究覆盖 12 个个人助理场景和 101 个攻击任务，分为即时、自主心跳和潜伏内存复苏三类触发通道。
实验结果显示，在五个前沿模型中，植入的攻击载荷在五轮测试中未出现可测量的衰减；一旦成功植入，触发阶段往往无法提供额外保护。将潜伏通道移植到第二个运行时 Hermes 虽能减弱但未消除该效应，表明仅靠提示层干预不足以防御此类攻击。
事实层面，攻击载荷确实跨会话复现且无衰减；推断层面，现有基于会话的防御机制存在结构性盲区；猜测层面，未来可能需要运行时层控制作为补充。这要求安全设计从单次交互转向全生命周期状态管理。
推荐理由
揭示持久化状态下的提示注入可跨会话复现，校正对 Agent 短期防御有效性的判断。
来源：arXiv cs.CR · arxiv.org