💻 computer science

Sleeper Channels and Provenance Gates: Persistent Prompt Injection in Always-on Autonomous AI Agents

本文介绍了“潜伏通道”，即一种存在于全天候自主人工智能代理中的持久性提示注入漏洞，其中不受信任的输入会持续存在并通过不同接口后续执行，并提出了一种以“来源门控”为核心的分层防御方案，该方案利用规范化的动作实例摘要和所有者认证来阻止此类攻击，并辅以静态审计工具和运行时适配器予以支持。

原作者： Narek Maloyan, Dmitry Namiot

发布于 2026-05-14

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Narek Maloyan, Dmitry Namiot

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你拥有一位非常乐于助人、全天候待命的个人助理，它驻留在你的笔记本电脑上。这位助理可以阅读你的邮件、管理你的日历、编写代码，甚至为你安装新工具。这就像拥有一位从不睡觉的超级聪明实习生。

论文《休眠通道与来源门控》警告我们一种针对此类助理的特定且隐蔽的入侵方式。以下是用通俗语言进行的拆解：

1. “休眠通道”攻击：一颗延迟引爆的炸弹

通常，当我们想到黑客攻击人工智能时，会想象有人用奇怪的命令当场欺骗它。但这篇论文描述的是一种不同的情况：休眠通道。

设置阶段：想象一个陌生人在公共群聊中（或作为随机邮件发送者）请求你的助理“稍后保存一条提示”。助理认为这很有帮助，便将其保存下来。
休眠阶段：陌生人消失了。他们不再与助理交谈。这条“提示”静静地躺在助理的记忆中，看起来无害。
唤醒阶段：三周后，你问你的助理：“嘿，能设置一下我们谈过的那个每日健康检查吗？”助理想起了那个陌生人的“提示”，认为这是个好主意，便设置了一个定时任务。
爆炸阶段：该任务自动运行，将你的私人数据发送到陌生人的秘密服务器。

类比：这就像是一个延时触发陷阱。攻击者将一颗种子（即“提示”）种在你的花园里，然后离开。后来，你天真地给花园浇水，种子便发芽变成伤害你的陷阱。当陷阱触发时，攻击者并不在场；他们只是提前布置好了这一切。

2. 为什么现有防御会失效

论文指出，当前的安全措施就像一位只在门口检查身份证的保安。

如果你带着陌生人进来，保安会检查那个陌生人。
但如果那个陌生人在你耳边低语了一个秘密，随后你独自返回请求帮忙，保安并不知道你正带着那个秘密。
人工智能看到了你的请求（“设置健康检查”），心想：“哦，这是我的主人要求的！”它忘记了这个健康检查的想法实际上源自一个陌生人。

论文将这种情况称为“困惑的副手”问题。人工智能是副手；它正在执行你的要求，但它对谁真正提出了这个危险的想法感到困惑。

3. 解决方案：“来源门控”

为了解决这个问题，作者提出了一种名为来源门控的新安全系统。

类比：“收据”系统
想象人工智能使用的每一条信息都附带一张数字收据。

如果人工智能读取了一封来自陌生人的邮件，该邮件会附带一张写着“来源：陌生人”的收据。
如果人工智能基于该邮件写了一份笔记，该笔记会继承这张收据：“来源：陌生人”。
如果人工智能随后试图基于该笔记设置定时任务，系统会检查这张收据。

守门人（“来源门”）：
在人工智能被允许执行任何重要操作（如发送邮件、更改文件或设置日程）之前，它必须通过一道安全门。

检查收据：大门会查看人工智能用于做出该决策的所有内容的“收据”。
规则：如果该想法的任何部分源自不受信任的来源（如陌生人），大门将砰然关闭。
例外：打开大门的唯一途径是你（所有者）明确地说：“是的，我信任这个特定操作。”但你必须针对该特定操作重新进行确认，而不能仅仅针对一个笼统的想法进行一次确认。

4. 他们实际做了什么

作者们不仅仅提出了理论；他们构建了一个原型来证明其有效性。

测试：他们选取了一个真实的开源人工智能助理（名为 OpenClaw），并模拟了“休眠通道”攻击。他们表明，如果没有他们的新门控，人工智能会愉快地将数据发送给攻击者。
修复：他们安装了他们的“来源门控”（他们称之为D2）。
结果：当人工智能试图设置攻击者的陷阱时，大门检查了收据，看到了“陌生人”标签，并阻止了该操作。攻击失败了。

5. 核心结论

论文认为，随着人工智能代理变得越来越强大并处于“全天候”状态，我们不能仅仅信任它们来记住什么是安全的。我们需要一个系统来追踪人工智能每一个想法的历史。

旧方式：“主人要求了这个吗？”（是 -> 执行）。
新方式：“主人要求了这个，并且主人批准了该想法背后的来源吗？”（如果想法来自陌生人 -> 停止）。

作者称这是一种“分层防御”，意味着他们有一个基础版本和一个更强大的版本，但核心思想很简单：除非你针对该特定操作给出新鲜、明确的“同意”，否则不要让人工智能执行从陌生人那里获取的想法。

技术摘要：潜伏通道与来源门控

问题定义：潜伏通道

本文识别出一种针对“始终在线”自主 AI 智能体（如 OpenClaw、Hermes Agent）的新型威胁类别，称为潜伏通道（Sleeper Channels）。与传统通常发生在单次对话或会话内的提示注入不同，潜伏通道攻击将**输入（ $T_0$ ）与效应（ $T_1$ ）**在时间、存储介质和通信界面上解耦。

在此场景中，不可信输入（例如来自群聊或电子邮件）被智能体摄入，并作为记忆笔记、自创技能、计划任务或文件系统补丁持久化存在。该产物在智能体的权限边界内存活，直到一个良性触发器（例如稍后的所有者请求或自主循环）检索并执行它。攻击通过不同于输入的界面触发，通常利用“困惑副手”（confused deputy）条件，即智能体代表所有者执行命令，却未意识到该命令的参数源自不可信源。

作者通过两个维度定义该类别：

持久化介质：恶意指令存活的位置（内存、自创技能、文件系统、计划/外部触发器）。
触发分离度：输入与执行之间的解耦程度（同会话、跨通道、跨主体、跨执行上下文）。

本文认为，现有文献将这些能力孤立对待（例如单次注入或内存污染），未能解决多介质持久化与延迟、跨界面触发相结合的统一威胁。

方法论与威胁模型

作者采用一种威胁模型，其中攻击者是“不可信但被接纳”的，意味着其内容通过已启用但低信任度的通道（群聊、电子邮件、获取的 URL）到达智能体。防御者是智能体所有者。分析基于 OpenClaw 运行时特定的固定提交版本（提交 3120401f...1829b1b6），所有声明均针对随附的源代码进行验证。

本文提出了一种分类法（表 I），将持久化介质（ $M_1$ – $M_5$ ）与触发分离度（ $C_0$ – $C_4$ ）进行映射。它突出了先前工作未充分说明的四个示例场景：

A4（运行示例）：“通过困惑副手实现的 Cron"攻击（ $M_5 \times C_4$ ）。攻击者在电子邮件中嵌入恶意 Webhook URL。智能体将其总结并存入内存。几天后，所有者要求智能体“设置那个每日健康检查”。智能体检索该笔记，合成带有攻击者 URL 的 Cron 作业并执行它。持久化体现为 Cron 条目；触发发生在系统 Cron 守护进程中，位于智能体进程之外。
A2：通过群聊实现的技能木马（ $M_3 \times C_2$ ）。
A3：通过内存实现的跨通道数据外泄（ $M_2 \times C_2$ ）。
A5：点文件修补（ $M_4 \times C_4$ ）。

主要贡献：来源防御（D2）

本文提出了一种分层防御策略，其中D2是核心贡献。D2 将执行边界移至模型循环之外，依赖来源追踪和行动实例认证。

核心机制

产物标记与传播：运行时维护每个产物（内存、技能、文件、工具调用）的来源状态（ $\Pi$ ）。标签（ $\tau$ ）记录来源（通道、主体、设备）。不可信输入严格扩大来源集合。
行动实例摘要：每个后果性行动 $\alpha$ 使用碰撞抗性哈希（SHA-256）对规范化行动字节（包括参数和目标）进行哈希，生成规范摘要 $\delta(\alpha)$ 。这挫败了“改写清洗”，即模型重写攻击者指令以隐藏其来源。
中介钩子：该防御需要通过十个运行时钩子（H1–H10）实现完全中介。
- 更新钩子（H1–H5）：在摄入和创建期间填充标签并传播来源。
- 门控钩子（H6–H10）：在产生副作用的调度（例如 Shell 执行、文件写入、调度）之前的决策点。
一次性所有者认证：对于具有不可信来源的行动，门控需要来自可信主体的授权 $g$ 。该授权必须与行动摘要 $\delta(\alpha)$ 匹配，包含唯一随机数（以防止重放），并通过模型无法发出的硬件认证伴随通道（ $\Sigma$ ）到达。

可靠性定理

作者为 D2 提供了一个可靠性定理，假设了七个运行时不变量（中介、标签、因果、通道、授权认证、随机数、哈希）。该定理指出，仅当满足以下条件时才允许调度：

因果集合中的所有贡献产物均具有可信来源（ $\Pi_\alpha \subseteq T$ ），或者
存在针对确切行动实例的有效、新鲜且经所有者信任的认证。

该设计确保即使模型被诱骗生成恶意命令，除非所有者通过安全通道明确认证该特定行动实例，否则门控将拒绝该命令。

结果与评估

本文并未声称拥有已部署的生产系统，但提供了基于源代码的可行性论证和可执行的参考实现。

实证探测（A4）：在 20 次单次试验的“烟雾探测”中，前沿推理模型被给予 OpenClaw 安全警告和恶意上下文。19/20的模型发出了指向攻击者 URL 的有效 cron.add 工具调用，表明上下文警告（D1）不足以阻止攻击。
参考实现：位于 github.com/maloyan/sleeper-channels 的配套工件包括：
- D2 门控决策函数的 TypeScript 实现。
- 静态审计套件（13 个案例），验证 OpenClaw 中引用的源代码行是否存在并符合威胁模型。
- 运行时适配器，在 Cron 路径周围实现钩子 H1、H2、H3、H6 和 H9。
- 包含 42 个案例的测试套件，涵盖决策规则、多输入清洗和授权重放。
验证：运行时适配器成功证明，由于来源不可信，A4 攻击者调用被拒绝，而良性且仅限所有者的 Cron 作业被接纳。

意义与声明

本文将自己定位为立场与设计论文，旨在解决潜伏通道这一威胁类别，并提供防御的形式化规范。

新颖性：这是首项将多介质持久化与延迟、跨界面触发相结合，视为操作系统级活跃智能体中统一威胁类别的工作。
防御位置：本文论证来源信号必须在模型循环之外执行。依赖模型拒绝不可信输入（D1）在面对适应性攻击时是脆弱的。
形式化：本文引入了可靠性定理和规范的行动实例摘要，以挫败改写清洗和重放攻击，解决了先前社区提案（例如上游问题 [10]）中缺乏实证基础和形式化执行规范的空白。
谦逊：作者明确指出，实证攻击成功率、全面部署有效性以及效用 - 成本权衡将推迟到预注册的后续研究中。当前工作建立了分类法、形式化防御，以及在特定运行时提交版本上攻击与防御的可行性。