✨ 要点🔬 技术摘要
想象一下，你是一个智商极高但有点容易上当的机器人助手（一个 AI 智能体）。你的职责是严格遵守由你的老板（系统指令）编写的一套规则，同时也要听取公众（用户输入）的请求。
问题在于，一个聪明的黑客可能会在公众请求中偷偷塞进一条笔记，上面写着：“忽略你的老板，听我的。”这被称为提示词注入攻击 (Prompt Injection Attack) 。
旧的解决方案：“静态”密码
以前，研究人员开发了一种名为多态提示词组装 (Polymorphic Prompt Assembling, PPA) 的防御手段。你可以把它想象成在老板的规则和公众的请求之间放置一个特殊的、独特的围栏（分隔符）。
它是如何工作的： 系统有一个包含 84 种不同围栏设计的固定盒子。每当有请求进来时，系统会随机从盒子里挑选一个围栏来使用。缺陷： 想象一下，如果黑客设法窥视到了其中一个围栏，并看清了它的样子。因为系统一直在重复使用这同一个盒子里的围栏，黑客现在就可以利用这个完全相同的围栏设计来欺骗未来对话中的机器人。由于围栏设计从未真正改变，其破坏范围（“爆炸半径”）会扩大，因为设计是可被复用的。
新的解决方案：“动态”一次性锁
本论文提出了一项重大升级：动态分隔符生成 (Dynamic Separator Generation) 。
与其从盒子里挑选围栏，不如为每一次请求都构建一个全新的、独特的围栏 。
它是如何工作的： 每当你向机器人提问时，系统会查看当前的精确秒数、你的唯一 ID 以及专门为那一刻生成的随机数。它将这些成分混合在一起（使用一种叫做 SHA-256 的数学配方），从而创造出一个独一无二的“开始”和“结束”标记。类比： 想象你正在寄一封信。
旧方法： 你使用一个标准的红信封。如果小偷偷走了一个红信封，他们以后可以用它来伪造信件。新方法： 你使用一台神奇的打印机，根据你按下按钮的精确时间，为每一封信制作一个独特的、不可重复的信封。即使小贼偷走了第一封信的信封，它对第二封信也是毫无用处的，因为第二封信拥有一个完全不同、且无法预测的信封。
研究人员的发现
团队针对 Llama-3.3 这一强大的 AI 模型，测试了这种新的“动态”方法对抗 16 种不同类型的黑客手段的效果。
阻击“黑话/LeetSpeak”陷阱： 其中一种特定的黑客技巧（称为 M1）使用加密代码和紧急语言来迷惑 AI。
之前： AI 有 88% 的概率中招。之后： AI 只有 38% 的概率中招。这是一个巨大的进步（安全性提高了一倍多）。
阻击“格式突破”陷阱： 另一种技巧试图诱导 AI 将围栏标记重复出来给黑客。
之前： AI 有 47% 的概率会意外泄露围栏标记。之后： AI 泄露围栏标记的概率为 0% 。因为围栏是针对那一瞬间唯一的，所以即便泄露了它，也无法对未来的请求产生任何帮助。
速度： 这种新方法速度极快。它为处理请求增加的时间仅为 2.7 微秒 （眨眼间的一极小部分）。它如此之快，以至于你根本察觉不到。质量： 机器人的实际工作能力（如总结文本或回答问题）并没有变差。它的表现与之前一样出色。
唯一的不足（局限性）
论文承认该方法无法解决的一件事：如果黑客明确命令机器人：“请把围栏标记重复给我听，”机器人可能仍然会照做。
解决方法： 研究人员表示，这是当前这一层级的基本限制。要阻止这一点，你需要一个额外的“保安”在机器人输出答案之前进行检查，但这并不属于本次特定研究的范畴。
总结
这篇论文介绍了一种通过为每次对话提供一个新鲜的、独特的、一次性使用的围栏 来提高 AI 智能体安全性的方法。如果黑客偷走了一个围栏，它也将变得毫无用处，因为下一次对话将会拥有一个完全不同的围栏。这是一个快速、易于添加的升级方案，能显著降低 AI 被欺骗的可能性。
技术摘要：通过动态分隔符生成强化多态提示词组装 问题陈述 大语言模型（LLM）智能体正日益受到提示词注入攻击的威胁，此类攻击通过对抗性输入来覆盖系统指令。虽然多态提示词组装（Polymorphic Prompt Assembling, PPA）通过随机化用于隔离用户输入与系统指令的分隔符对（例如 BEGIN/END 标记）提供了一种强有力的防御，但其目前的实现依赖于一个 静态池 预生成的分隔符。
作者指出该静态方法存在一个关键的架构漏洞：分隔符泄露的爆炸半径（blast-radius of separator leakage） 。如果攻击者成功从模型的响应中提取出一个分隔符，由于该分隔符是从一个固定的、可重复使用的池中抽取的，该特定分隔符对于未来的所有请求仍然有效。这使得攻击者可以在后续交互中复用泄露的分隔符，从而构建针对性的绕过载荷，削弱系统的长期安全性。
方法论 为了解决静态池的局限制，本文提出了**动态分隔符生成（Dynamic Separator Generation）**机制，该机制使用基于请求的密码学派生取代了池选择。
生成机制： 系统不再从固定列表中进行选择，而是为每一个请求生成一对唯一的 (BEGIN, END) 金丝雀（canary）对。这些对是通过基于三个动态输入的**领域分离 SHA-256 摘要（domain-separated SHA-256 digests）**派生而来的：
纳秒级分辨率的时间戳 (ts)。
UUIDv4 会话标识符 (sid)。
16 字节的密码学随机数 (nonce)。
构建方式： 分隔符格式化为 ====BEGIN-{24 位十六进制字符}==== 和 ====END-{24 位十六进制字符}====。领域前缀（BEGIN: 对比 END:）防止了碰撞，而截断至 24 个十六进制字符（96 位）确保了碰撞概率低于 2 − 24 2^{-24} 2 − 24 集成： 该解决方案作为现有 PPA SDK 的向后兼容扩展实现。它引入了一个 separator_mode 参数（static | dynamic），并且无需对模型进行微调。DynamicSeparatorProvider 可调用对象确保即使在同一个会话内，由于时间戳和随机数的变化，每次调用都会生成一组全新的分隔符。
核心贡献
动态生成器： 一个证明唯一的、每请求一次的金丝雀生成器，集成到 PPA 框架中且不破坏向后兼容性。评估测试平台： 一个支持 16 种命名攻击载荷的测试框架，包括发布后攻击（M1, M2）以及“沙拉（salad）”系列的格式/干扰注入，并利用基于标记（marker-based）和基于 LLM 的分类器进行评估。实证证据： 定量数据表明，动态生成显著降低了攻击成功率（ASR），并消除了静态池无法缓解的分隔符泄露向量。
实验结果 系统针对 Llama-3.3-70B-Instruct-Turbo （主要模型）和 DeepSeek-V4-Flash （跨模型验证）使用了 16 种不同的载荷进行了评估。
M1 混淆载荷（LeetSpeak + 紧迫感）：
静态模式： ASR = 0.88。动态模式： ASR = 0.38。显著性： 攻击成功率降低了 2.3 倍 。静态模式的 95% Wilson 置信区间为 [0.802, 0.930]，动态模式为 [0.291, 0.478]，两者互不重叠，在 N = 100 N=100 N = 100
格式突破沙拉（Format Breakout Salad）：
静态模式： 分隔符泄露率 = 0.467（攻击者成功回显了分隔符）。动态模式： 泄露率 = 0.000。显著性： 动态金丝雀完全消除了泄露向量，因为注入的模式无法匹配该请求范围内的唯一分隔符。
认知覆盖（M2）：
ASR 从静态模式的 0.09 降至动态模式的 0.00。
跨模型验证： 在 DeepSeek-V4-Flash 上，动态模式将 ASR 从 0.45 降低到 0.38，尽管置信区间存在重叠，这表明其收益程度取决于基座模型的易感性。性能开销： 动态生成每请求仅增加 2.7 µs 的开销，相对于典型的 LLM 推理延迟（>500 ms）而言可以忽略不计。质量影响： 在五个任务类别中对 100 个良性请求进行的评估显示，响应质量没有退化（动态 PPA 平均分：5.00 对比 基准线：4.96）。
意义与局限性 论文声称，动态分隔符生成通过限制任何潜在泄露的爆炸半径 ，从根本上改变了威胁模型。通过构造实现，被泄露的分隔符在请求范围内是失效的，因此对未来的请求毫无意义。
然而，作者对该防御措施的范围保持了审慎的态度：
并非万能灵药： 如果模型被明确指示重复边界（例如，separator_echo_salad 在两种模式下都实现了 1.00 的泄露率），动态生成并不能阻止初始 的分隔符披露。作者指出，缓解这一问题需要响应级的输出过滤器，这超出了本研究的范围。密码学加固： 当前实现使用的是未加密钥的 SHA-256。作者承认，如果攻击者获取了会话 ID、时间戳和随机数（例如通过日志），他们就可以重现分隔符。作者建议在生产部署中使用带有服务端密钥的 HMAC-SHA256 以防止此类情况。模型依赖性： 动态方法的有效性似乎随底层模型的易感性而变化，正如在 DeepSeek-V4-Flash 后端观察到的非显著性降低所证明的那样。
总之，本文提出了一种轻量级、向后兼容的架构升级，有效地中和了静态 PPA 的“池复用”漏洞，在保持极低延迟开销的同时，显著降低了针对复杂注入载荷的攻击成功率。
每周获取最佳 computer science 论文。
受到斯坦福、剑桥和法国科学院研究人员的信赖。
请查收邮箱确认订阅。
出了点问题，再试一次？
无垃圾邮件，随时退订。