跳转至

文章背景与核心概要

随着大语言模型和 AI 智能体（Agents）越来越多地被集成到复杂的工具和外部环境中，间接提示词注入（Indirect Prompt Injection）成为了一个日益严峻的安全威胁。本文提出了一种全新的视角，将间接提示词注入建模为在特定任务攻击面上的“测试时搜索问题”（test-time search problem）。

作者开发了一个具备专用搜索框架的智能体攻击者架构，能够执行环境侦察、针对攻击策略的结构化推理，以及利用受害者智能体反馈进行的自适应评估。研究的关键发现表明：增加攻击者在测试时的计算资源（Compute Scaling）能够直接提升异构任务中的漏洞发现率和攻击成功率；同时，显式的策略管理对于避免冗余搜索循环至关重要。这些发现对 AI 安全评估具有深远的影响，表明我们不能将攻击成功率视为受害者模型的静态固有属性，而必须将攻击者的搜索过程和可用计算预算纳入考量。

Rethinking Indirect Prompt Injection as a Test-Time Search Problem

arXiv ID: arXiv:2609.04495 [cs.AI]
Authors: Duong M. Nguyen, Joon Sik Kim, Blazej Manczak, Vaikkunth Mugunthan
Submitted: September 3, 2026
Subjects: Artificial Intelligence (cs.AI); Computation and Language (cs.CL); Cryptography and Security (cs.CR)

📋 Summary

This paper introduces a novel perspective on indirect prompt injection by formulating it as a test-time search problem over a task-dependent attack surface. The authors propose an agentic attacker framework equipped with a dedicated search harness to perform: * Environment reconnaissance * Structured reasoning over attack strategies * Adaptive evaluation leveraging victim-agent feedback

Key Findings:

  • Compute Scaling: Increasing the attacker's test-time compute directly improves vulnerability discovery and exploitation success across heterogeneous tasks.
  • Strategy Management: Ablation studies demonstrate that explicit strategy management is crucial for avoiding redundant search loops and sustaining performance gains at higher compute budgets.
  • Security Implications: The findings argue that agentic security evaluations must account for both the attacker's search procedure and available compute budget, rather than treating attack success as a static property inherent to the victim model. Ultimately, adaptive search over dynamic system surfaces represents a critical, underexplored security risk for tool-using AI agents.

本文提出了一种关于间接提示词注入的新颖视角，将其构建为跨任务依赖攻击面的测试时搜索问题（test-time search problem）。作者提出了一种具备专用搜索 harness（框架/工具）的智能体攻击者架构，用于执行： * 环境侦察（Environment reconnaissance） * 对攻击策略的结构化推理（Structured reasoning over attack strategies） * 利用受害者智能体反馈的自适应评估（Adaptive evaluation leveraging victim-agent feedback）

核心发现：

  • 计算规模化（Compute Scaling）： 增加攻击者在测试时的计算量，能够直接在各种异构任务中提高漏洞发现率和攻击成功率。
  • 策略管理（Strategy Management）： 消融实验表明，显式的策略 management 对于避免冗余搜索循环以及在更高计算预算下维持性能增益至关重要。
  • 安全启示（Security Implications）： 这些发现表明，智能体安全评估必须将攻击者的搜索过程和可用的计算预算纳入考量，而不是将攻击成功率视为受害者模型固有的静态属性。归根结底，对动态系统表面进行自适应搜索，对于使用工具的 AI 智能体而言是一个至关重要且尚未充分探索的安全风险。

License: Creative Commons Attribution-NonCommercial-ShareAlike 4.0 International
(License icon preserved from source: license icon)

许可协议：知识共享 署名-非商业性使用-相同方式共享 4.0 国际
（保留自源文件的许可证图标：license icon）