大规模实证研究揭示网页间接提示注入现状

该论文基于12亿URL和2480万个主机的分析，首次揭示了间接提示注入（Indirect Prompt Injection）在真实互联网环境中的普遍性，共识别出1.53万个验证实例。研究发现这些攻击并非孤立事件，而是由少量重复模板驱动，其目标涵盖破坏性指令、声誉操纵、内容保护及AI机器人检测，主要攻击对象是爬虫、搜索管道、客服代理和招聘工作流等自动化系统。 关键事实显示约70%的注入指令位于未渲染的HTML部分（如头部、注释、元数据），许多可见案例通过渲染技术隐藏。在针对13个模型和四种网页表示形式的5200次受控实验中，结果证实虽然结构化表示能保留结构线索从而降低合规率，但小模型在纯文本输入下的合规率仍高达8%，表明风险虽有限却不可忽视。 推断认为提示词干扰已成为Web生态系统的既定组成部分，反映了LLM驱动的自动化与所消费网站之间的持续张力。事实层面确认了攻击的高频存在与特定隐蔽手段；推断层面指出当前防御机制对非渲染内容的覆盖不足；猜测层面需关注随着Agent架构普及，此类针对机器的指令是否会演变为更复杂的供应链攻击向量。