INFUSE 基准揭示长周期智能体在真实交互面下间接提示注入的高成功率

arXiv cs.CR 发布 INFUSE 基准，旨在评估基于 LLM 的智能体在执行长周期端到端工作流时面临的间接提示注入（IPI）风险。该研究针对现有评估多聚焦孤立恶意字符串或单步工具调用的局限，构建了包含 40 个真实任务和 56 种攻击场景的完整评测体系，覆盖 Shell 命令执行、代码修改及远程服务交互等实际威胁面。测试涵盖 GPT、Claude、Gemini、Llama、Gemma 和 Qwen 家族的 19 个模型，共产生 41,824 条对抗轨迹。结果显示，在基于 LLM 的评估中平均攻击成功率为 19.6%，启发式验证为 15.4%，各模型攻击成功率（ASR-L）区间为 3.2% 至 41.9%。

关键证据显示，现有防御模型提供的保护有限，而通过提示词层面的指令硬化（instructional hardening），可将平均攻击成功率从 58.2% 降至 14.3%，但这同时也暴露了显著且依赖模型的“安全 - 效用”权衡。这一发现表明，仅在初始提示词或单一工具调用环节进行防护不足以应对长周期任务中的复杂攻击路径，攻击者利用的是任务执行过程中嵌入外部内容的交互面。

事实层面，INFUSE 基准已开源代码，并明确了 5 类威胁范畴；推断层面，当前主流大模型在长周期自主任务中的安全性存在系统性缺口，单纯依赖通用防御模型可能失效；猜测层面，未来智能体架构可能需要将动态上下文过滤机制内嵌于推理循环中，而非作为独立的后处理层。材料未提及具体商业落地时间表或特定客户的采用情况。