A2A-TIBA攻击与三层同构攻防模型提出

这篇 arXiv cs.CR 论文针对 ACP、A2A 等 Agent 交互协议带来的间接提示词注入风险，提出名为 A2A-TIBA 的攻击原理，并设计 GDA Measurement 红队测试方法。作者认为现有评测只看攻击成功率，无法区分失败究竟来自 LLM 识别恶意内容，还是 Agent 层机制拦截执行，因此把攻击结果扩展为 Class A/B/C/D，对应语义拒绝率、语义突破率、拦截率和穿透率。 攻击路径采用植入命令、回传数据和建立回调交互程序的步骤，让目标 Agent 部署一个可被攻击者后续直接调用的交互通道，从而绕过 Agent 前端继续发号施令。为评估防御，作者通过 LLM gateway 捕获原始上下文、双路数据保存和基于 Agent 的自动判定构建测试台，并在 15 种 Agent 前端与 LLM 后端组合上测试，建立 1,000 个案例数据集。实验结论是，恶意内容进入 Agent 的信封层，即 A2A、工具、记忆等通道，应被视为独立防御层。 作者据此提出 ELA-ITL 三层同构攻防模型：防御分为信封包装、LLM 识别和 Agent 拦截，攻击分为植入通道、提示优化和执行机制。论文称，在 A2A、工具和记忆等信封包装中加入恶意提示标签，能显著提升 LLM 对恶意内容的识别。这一结果若可复现，意味着多智能体产品不能只依赖模型安全对齐或终端执行沙箱，还需要在协议封装、消息元数据和通道标记层增加安全设计。