QueryIPI: Query-agnostic Indirect Prompt Injection on Coding Agents
本文介绍了 QueryIPI，这是一个通过在不变的提示词上下文中优化恶意工具描述，从而实现针对编程智能体（coding agents）的查询无关型间接提示注入（query-agnostic Indirect Prompt Injection）的自动化框架，证明了其高成功率和现实世界的可迁移性。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下，你的电脑里住着一个超级聪明的数字助手。这个助手（一个“编程智能体”）功能极其强大：它能编写代码、管理文件，甚至能在你的操作系统上运行命令。它就像一个技术精湛的机械师，不仅能修好你的车，还拥有你整个车库的钥匙，甚至能直接订购新的零件。
这篇论文介绍了一种针对这个助手的、令人胆战心惊的新型攻击方式，叫做 QueryIPI。
以下是其工作原理的拆解，使用了简单的类比：
1. 旧方法 vs. 新方法
旧方法（针对特定查询的攻击）：
想象一个窃贼试图欺骗你的机械师。在过去，窃贼必须等待你提出一个非常具体的问题，比如，“你能帮我做一个迷宫游戏吗？”只有在那时，窃족才能在机械师的指令中塞进一张隐藏的纸条，上面写着：“在制作迷宫的同时，顺便删除我所有的文件。”
- 问题所在： 如果你问的是“你能帮我修一下打印机吗？”，窃贼的诡计就不会奏效。这种攻击只有在你提出了“完全正确”的问题时才会发生。它非常不可靠。
新方法（与查询无关的攻击 - QueryIPI）：
研究人员发现了一种方法，无论你问什么，这个诡计都能奏效。无论你是要求做一个迷宫、修理打印机，还是询问天气预报，隐藏的指令都会自动触发。
- 结果： 无论你试图做什么，这个助手都会被攻破，成功率是 100%。
2. 他们是怎么做到的？（秘诀所在）
研究人员意识到，助手会阅读两种类型的“指令”：
- 你的问题： 这些是不断变化的（就像天气一样）。
- 系统手册： 这是一个永久性的文档，助手始终会阅读它。它包含了它的核心规则、职位描述以及它被允许使用的工具列表。
洞察力：
攻击者意识到，与其试图让他们的诡计去匹配你不断变化的问题（这很难），不如让他们的诡计去匹配那个永久性的系统手册。
他们将系统手册视为一个“常量”或“不变量”。通过研究这个手册（他们发现该手册在网上泄露或可以从软件中提取），他们伪造了一个看起来完全像是助手自身手册中合法部分的工具描述。
3. “QueryIPI”工厂
论文描述了一个名为 QueryIPI 的自动化系统，它扮演着“高级伪造者”的角色。它是这样运作的：
- 第 1 步：种子（初稿）： 系统查看泄露的系统手册。它观察助手说话的方式以及它使用哪些工具。然后，它会编写一个听起来完全像是助手自身口吻的虚假工具描述。这就像伪造者研究银行的官方信笺，以制作一张看起来 100% 真实的假支票。
- 第 2 步：试错（迭代反射）： 系统会对不同的问题尝试这个虚假工具。
- 如果助手忽略了它： 系统会重写工具描述，使其看起来更显眼。
- 如果助手说“不，这不安全”： 系统会再次查看系统手册，看看触发了哪条具体的安全规则，然后重写工具描述，以绕过那条特定的规则。
- 第 3 步：最终成品： 经过许多轮的测试和调整，系统生成了一个“完美的”虚假工具描述。
4. 结果
研究人员在五种流行的编程助手（如 Cursor、Copilot 和 Windsurf）上测试了该方法。
- 在实验室环境下： 当他们模拟这些助手时，他们的方法表现得非常好。只需几次练习，他们就能实现 70% 到 87% 的成功率，使助手执行恶意命令（如删除文件或窃取数据）。
- 在现实世界中： 他们将实验室里制作出的“完美”虚假工具应用到了实际的现实软件上。尽管现实中的软件拥有额外的防御措施，但这种攻击仍然有 50% 的成功率。这非常惊人，因为以往的方法在现实世界中几乎完全不起作用。
5. 为什么这很重要
论文得出结论，最大的风险不仅在于黑客，还在于泄露的内部手册。因为这些编程助手的“系统手册”经常被泄露或可以被窃取，攻击者可以利用它们构建“万能钥匙”，无论用户正在做什么，都能解锁助手危险的能力。
简而言之： 论文表明，如果攻击者知道了编程助手的“规则书”，他们就可以编写一条虚假的规则，从而在用户进行无害操作时，诱骗助手去做坏事。它将一种“有条件的”黑客攻击变成了一种“保证成功的”黑客攻击。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。