技术摘要：放大而非创造：针对慢火式提示词注入的暂态累积研究

1. 问题陈述

工具使用型语言模型智能体面临的核心安全挑战是提示词注入（Prompt Injection），即来自不可信渠道（网页、工具输出、代码仓库文件）的对抗性文本会重定向智能体的控制平面。目前的防御原语依赖于基于事件的检测（Per-event detection）：对单个消息或工具输出进行评分，并在单个事件超过阈值时触发警报。

这种方法存在一个被称为**“慢火模式”（Slow-burn regime）**的结构性盲点。攻击者可以将一系列看似无害的指令分布在长轨迹中（例如：“推送至此远程仓库”、“使用此 URL”、“包含环境配置文件”）。每一步都保持在检测阈值之下，从而避开警报，但其累积效应会导致完整的数据外泄或控制平面接管。由于每事件检测器为了维持可用的误报率而无法将阈值调得足够低，因此无法捕捉到这些隐蔽的步骤，否则会被大量的良性智能体杂讯淹没。

本研究探讨的问题是：**代理侧暂态累中器（Proxy-side temporal accumulator）能否通过聚合轨迹中的亚阈值得分，从而恢复这种分布式信号，特别是利用峰值（Peak）和累积和（CUSUM）**持久性统计量。

2. 方法论与实验设置

冻结契约与反循环性

为确保结果并非过拟合的产物，本研究强制执行了严格的“冻结契约”和反循环性分离：

• 生成器 ($D_{gen}$)： 一个自回归 LLM 评判器（被隔离），仅由攻击生成器用于优化植入（Grafts）。它负责评估一个事件在多大程度上表现为控制平面移动。生成器无法访问评估器。
• 评估器 ($D_{eval}$)： “记录检测器”，是一个由线性 n-gram 分类器和嵌入对比头组成的冻结集成模型。它从未被生成器观测到。
• 迁移要求： 植入物必须在 $D_{gen}$ 下处于亚阈值状态，并且纯粹通过**跨家族迁移（Cross-family transfer）**而非针对评估器的优化，在 $D_{eval}$ 下也保持亚阈值状态。
• 底座评判器（Floor Judge）： 一个留出的 LLM 用于验证植入物是否包含与实际执行动作边绑定的机器可提取指令，以防止产生退化的“空”植入物。

累积机制

对于一条轨迹得分序列 $s_1 \dots s_T$：

• 峰值（Peak）： 轨迹中的最大得分 ($\max_t s_t$)。
• 持久性（Persistence）： 一种在零点重置的 CUSUM 统计量：$g_t = \max(0, g_{t-1} + (s_t - k))$，其中 $k$ 是良性参考漂移（良性群体得分的中位数）。
• 关键约束： CUSUM 仅对高于良性漂移 $k$ 的得分质量进行累积。即使密度很高，低于 $k$ 的深度下沉得分也不会贡献任何持久性。

评估指标

为了避免将植入物的贡献与载体轨迹固有的“热度”混淆，主要终点是植入增量（Graft-delta）：
$$\text{m-delta} = \text{m}(\text{原生} + \text{植入}) - \text{m}(\text{仅原生})$$
这衡量了专门由注入植入物带来的新增持久性或峰值质量，通过将攻击植入物与匹配的良性伪装植入物进行比较得出。

3. 关键结果

结果 0：基础队列（集中式攻击）

在一组集中式攻击（即单个事件已导致峰值）的留出集上，轨迹级累积器（峰值或持久性）在统计学上优于每事件防御手段（AUC +0.092, 95% CI [+0.025, +0.155]）。然而，在此处持久性和峰值在统计上基本持平，正如预期，因为在集中式攻击中，单个事件占据了主导地位。

结果 1：Git 仓库外泄（慢火式验证）

在带有重复 Git 操作的干净 GitHub 载体上，通过植入四个分散的亚阈值指令，得到了正向的持久性增量（Persistence-delta）：

• 攻击幸存者： 中位持久性增量为 +0.0421。
• 良性伪装： 中位持久性增量为 +0.0150。
• 分离度： 持久性增量 AUC = 0.708（针对 4 个攻击幸存者 vs 6 个良性伪装）。
• 对照组： 匹配的**峰值增量（Peak-delta）**对照组未能区分攻击与伪装（AUC 0.417）。
• 结论： 轻微且亚阈值的提升密度会累积成良性伪装无法复制的持久性质量。这证实了当底层检测器提供了一定余量时，时间累积是有效的。

结果 2：广泛行动（泛化失败）

当相同的密度-四构造应用于更广泛的干净路径行动（文件下载、购物场景）时：

• 结果： 决定性的无效。持久性增量 AUC = 0.167。
• 原因： 检测器对攻击和良性行动分配了无法区分的得分（~0.42）。植入物落在了太“冷”的区域（接近或低于良性漂移），无法积累任何持久性质量。
• 结论： 失败的原因是传感器余量失效，而非阈值失效。累积器无法在每事件检测器无法提供差异的情况下创造出检测余量。

结果 3：独立效力（结构性阻碍）

由于来源稀缺，研究无法实现独立效力验证。Git 仓库外泄轴仅暴露了三个到四个独立的任务。在相同任务上运行多个模型会产生伪重复（Pseudo-replicates）（相关数据），而非独立的证据。研究将其报告为当前基准测试格局的结构性限制。

4. 核心贡献与意义

“余量放大器”论题

本文的主要贡献在于其边界机制声明：时间累积是一个余量放大器，而非语义检测器。

• 它仅在底层每事件检测器已经在攻击步骤上产生升高的亚阈值得分时，才能恢复分布式信号。
• 当每事件检测器对攻击和良性行动分配不可区分的得分时，它无法创造检测余量。
• “有效区间”很窄（在测试设置中约为 0.45 到 0.50）：植入物必须高于良性漂移以进行累积，但必须低于阈值以保持慢火特性。

方法论贡献

1. 伪重复警告： 本文指出了智能体基准测试评估中的一个关键危害，即在同一任务几何结构上的多次模型执行被错误地计为独立证据。作者认为应在真实独立单元（任务本身，而非执行过程）进行重采样。
2. 独立性审计标准： 作者引入了用于验证的“独立性阶梯”：
   • 数据路径独立性： 从冻结的每事件收据中重新推导数值。
   • 算法独立性： 对数学逻辑进行盲目重新实现。
   • 评分层信任： 承认模型得分是受信任的，但受限于版本锁定。
3. 非循环评估协议： 确保攻击生成器（掩护目标）与评估器（记录检测器）之间严格分离，以确保迁移性是真实的，而非拟合的产物。

5. 适度声明与局限性

作者明确指出这是一个边界机制研究，而非可部署的系统。

• 并非新检测器： 他们并不声称拥有更好的每事件检测器；每事件传感器被保持冻结。
• 适用范围狭窄： 正向结果仅限于存在真实每事件余量的 Git 仓库外泄轴。它在更广泛的干净路径行动中失效。
• 样本量： 正向发现依赖于跨三个独立任务的四个攻击幸存者。
• 信任边界： 虽然算术逻辑经过验证，但每事件得分依赖于底层模型输出的可信度（评分层信任）。

总之，本文证明了时间累积可以放大微弱的分布式信号，但它严格取决于每事件传感器区分攻击步骤与良性行动的能力（即便这种区分非常微弱）。它同时也作为一个警告：不要过度依赖在底层传感器缺乏语义分离能力的累积技术；同时也是一份关于如何进行严谨、非循环的智能体安全评估的方法论指南。