CarryoverBench 揭示 LLM Agent 跨会话持久化注入风险

该论文提出 CarryoverBench 基准，评估现代 LLM Agent 在长期记忆文件和定时任务唤醒机制下，一次性间接提示注入（IPI）是否会在攻击者离开后跨会话重新触发。研究覆盖 12 个个人助理场景和 101 个攻击任务，分为即时、自主心跳和潜伏内存复苏三类触发通道。 实验结果显示，在五个前沿模型中，植入的攻击载荷在五轮测试中未出现可测量的衰减；一旦成功植入，触发阶段往往无法提供额外保护。将潜伏通道移植到第二个运行时 Hermes 虽能减弱但未消除该效应，表明仅靠提示层干预不足以防御此类攻击。 事实层面，攻击载荷确实跨会话复现且无衰减；推断层面，现有基于会话的防御机制存在结构性盲区；猜测层面，未来可能需要运行时层控制作为补充。这要求安全设计从单次交互转向全生命周期状态管理。