间接提示注入，不只是漏洞：它正在变成一场测试时搜索

导语

当智能体能够读取网页、文档、邮件或其他外部内容，并进一步调用工具完成任务时，提示注入的风险就不再局限于一段“恶意文本”是否足够巧妙。真正决定攻击能否成功的，往往还包括智能体所处的环境、用户交给它的任务，以及攻击者能够尝试多少种路径。

arXiv 论文《Rethinking Indirect Prompt Injection as a Test-Time Search Problem》提出了一个值得关注的视角：把间接提示注入视为攻击者在测试时对系统攻击面进行搜索的问题，而不是一个与预算无关、只由受害模型决定的静态属性。

核心要点

• 攻击面由任务场景共同塑造。 论文认为，环境、用户任务和攻击者希望完成的注入任务，会共同决定哪些位置、工具和交互路径可能成为突破口。因此，同一个智能体在不同任务中，面对的实际风险并不相同。
• 攻击者需要先认识环境。 研究者设计了一个具备专门搜索框架的智能体攻击者。它会进行环境侦察，分析可用的攻击策略，并根据受害智能体的反馈调整后续尝试。这比一次性生成一条注入指令更接近现实中的自适应攻击过程。
• 更多测试时计算带来更强的发现能力。 在多种任务上，研究观察到，增加攻击者的测试时计算，通常能够提升脆弱点发现和攻击利用的效果。换言之，防御评估不能只记录“成功”或“失败”，还应说明攻击者花了多少搜索资源。
• 策略管理影响扩展性。 消融结果显示，显式管理攻击策略有助于避免重复探索，并让更大的计算预算继续带来收益。如果攻击者只是无序地反复尝试，额外预算可能被浪费；有组织的搜索则更可能覆盖不同攻击方向。

意义与影响

这项工作的关键贡献，并不是提出某一种新的注入话术，而是改变了安全评估的基本单位。过去，研究者容易把攻击成功率看成受害智能体的固定属性，仿佛某个系统天然“容易”或“难以”被攻破。但在工具调用型智能体中，攻击者是否能够持续侦察、规划、试错和利用反馈，同样会影响结果。

这意味着未来的评测报告至少应同时描述受害系统、攻击任务、环境条件，以及攻击者的搜索程序和测试时计算预算。只有在这些条件相对明确时，不同防御方案之间的比较才更有解释力。

从防守角度看，研究也提示开发者不能只依赖一次性的基准测试。面对能够自适应搜索的攻击者，系统需要持续检查外部内容与指令的边界，限制不必要的工具权限，并观察智能体是否在反馈驱动下逐步扩大操作范围。论文摘要并未给出一套完整防御方案，但它明确指出：对于使用工具的智能体，攻击面的动态搜索本身就是需要正视的安全风险。

总体而言，这项研究将间接提示注入从“寻找一句有效恶意提示”推进到“如何系统地搜索可利用路径”。这不仅影响攻击测试的设计，也提醒我们重新思考智能体安全中的计算预算、评测可重复性与风险边界。

arXiv