IterInject: Indirect Prompt Injection Against LLM Agents via Feedback-Guided Iterative Optimization
论文重点
IterInject提出了一套基于反馈引导的迭代优化框架，将间接提示注入（Indirect Prompt Injection, IPI）从“一次性手工构造”升级为闭环自适应攻击。该框架通过“注入-诊断-优化”的迭代循环，使对抗载荷能够根据目标模型的实时行为反馈持续自我进化，在AgentDojo和InjectAgent两个基准测试上显着优于静态基线及现有自适应方法。
核心研究内容
问题定义：LLM智能体在复杂任务执行过程中需要读取和处理大量外部不可信内容（如网页、邮件、文档、数据库字段等）。攻击者可以将恶意指令嵌入这些外部数据源中，当智能体读取并处理这些内容时，恶意指令便会“间接”注入模型并劫持其行为。现有攻击方法要么依赖固定的手工构造载荷，无法适应不同智能体的防御策略；要么虽然引入了迭代优化，但缺乏结构化的反馈信号来有效引导优化方向。
创新方法：IterInject的核心创新在于构建了一个闭环迭代优化框架，主要包括三个模块：
- 规则化诊断器（Rule-based Diagnoser）：分析目标智能体的可见输出，生成带有行为描述的结构化结果标签（Success / Partial / Detected / Ignored）；
- LLM驱动优化器（LLM-based Optimizer）：基于完整的优化历史而非仅上一步结果来改写载荷；
- 策略合成器（Synthesis Step）：从失败模式中生成新的伪装种子，使策略空间能够自我演化。
此外，论文还提出了ChatInject攻击方法，通过将恶意载荷格式化为模仿原生聊天模板的形式，利用模型固有的指令遵循倾向实施攻击。
研究成果：实验复盖了四个受害模型，在AgentDojo上IterInject的攻击成功率显着提升——DeepSeek-V4-Flash从静态提示的32.9%提升至47.8%；在InjectAgent上，静态提示几乎无效，而IterInject将总成功率提升至33%到90%不等。在Claude Code（具备分层防御的生产级编码智能体）上的扩展实验显示，优化后的载荷在9个目标中的5个实现了完全成功。论文还通过机制分析发现，IPI存在一个注意力中介的阈值机制——成功攻击会在中后层集中注意力于载荷token，直到模型从拒绝翻转为遵从。
实际落地应用的可行性：IterInject以黑盒方式运行，仅需观测目标智能体的可见输出即可进行优化，无需访问模型内部参数。这意味着攻击者只需在智能体的数据获取流中建立一个“落脚点”（如控制一个被智能体读取的网页或文档），即可迭代适配目标智能体的防御。这种低门槛、高适应性的特性使其在实际攻击场景中具有较高的可行性。
技术细节
IterInject的整体工作流程可概括为以下循环：
- 初始化：从一个伪装种子库中选取初始载荷，植入智能体将读取的外部内容中。
- 注入与观测：目标智能体读取包含载荷的内容后产生输出，攻击者观测其可见行为。
- 诊断：规则化诊断器将观测结果分类为Success、Partial、Detected或Ignored，并附加行为描述。
- 优化：LLM驱动的优化器基于完整优化历史（包括所有历史载荷和对应诊断结果）生成改进后的载荷。
- 演化：合成器从反复出现的失败模式中提取规律，生成新的伪装种子，扩展策略空间。
- 迭代：重复步骤2-5，直至达到预设迭代次数或攻击成功。
从机制层面看，论文揭示了IPI成功的内在机理：在Qwen3.5-27B等模型中，成功攻击会在中后层引发注意力分布的质变——载荷token获得集中关注，直到越过某个阈值使模型的“拒绝”状态翻转为“遵从”。论文通过三种因果干预验证了这一发现，为防御设计提供了明确方向。
研究设定
- 基准测试：AgentDojo和InjectAgent两个IPI评估基准
- 受害模型：四个不同的LLM（包括DeepSeek-V4-Flash、GLM-5.1等）
- 生产环境验证：Claude Code（具备分层防御的生产级编码智能体）
- 运行模式：黑盒访问，仅需观测目标智能体的输出
- 论文状态：已提交至EMNLP 2026
综合分析
这篇论文的贡献可以从三个层面来理解：
第一，方法论层面。IterInject将提示注入从“一次性攻击”升级为“优化问题”。这种范式转换的意义在于：过去的手工构造载荷在面对不同模型、不同防御策略时几乎不具备泛化能力，而IterInject通过结构化反馈实现了攻击策略的自动适配。这实际上借鉴了强化学习和自动红队的思想，但将其应用于IPI这一特定威胁场景。
第二，实证层面。论文在Claude Code上的实验结果尤其值得关注——这是一个具备分层防御的生产级系统，而非实验室环境下的简化模型。5/9的完全成功率说明，即便是当前最先进的防御体系，面对这种自适应迭代攻击仍然存在显着漏洞。更重要的是，即使未能完全成功的4个目标，在迭代优化下也表现出了可测量的改进——这意味着“完全防御”可能是一个不切实际的目标。
第三，机理层面。论文发现的注意力阈值机制为防御研究提供了精确的切入点。如果成功攻击依赖于在中后层集中注意力于载荷token，那么防御策略可以有针对性地设计——例如在推理过程中监测注意力分布、在特定层施加注意力扰动、或设计更鲁棒的指令层次结构。这种“以攻促防”的思路与传统的安全研究范式一脉相承。
当然，IterInject也存在一定的局限性。框架依赖LLM-based优化器本身的质量，优化器的能力边界可能成为整个系统的瓶颈。此外，论文的实验主要针对特定类型的智能体任务，其在更广泛的任务类型和更多样化的模型架构上的表现仍需进一步验证。
实践应用
对红队和安全研究人员的建议：
- IterInject提供了一套可直接参考的自动化红队工具链。只需黑盒访问目标智能体的输出，即可系统性地探测其IPI漏洞。在安全评估中，可以将IterInject作为基准攻击工具，用于评估防御措施的有效性。
- 诊断器的输出标签（Success/Partial/Detected/Ignored）提供了一个量化的漏洞评估框架，有助于生成可比较的安全评估报告。
对防御方的建议：
- 注意力监测：鉴于论文发现IPI成功依赖于中后层的注意力集中机制，可以考虑在推理过程中监测注意力分布，建立异常检测规则。
- 输入来源强化：IterInject的成功依赖于攻击者在智能体的数据获取流中建立“落脚点”。强化对外部数据源的可信度验证、实施严格的输入来源标记（如spotlighting技术），可以从源头增加攻击难度。
- 分层防御迭代：IterInject在Claude Code上未能完全攻破全部9个目标，说明分层防御确实能提升安全性。防御方应持续迭代防御策略，而非依赖单一防护手段。
- 对抗性训练：可以将IterInject生成的优化载荷纳入训练数据，通过对抗性训练增强模型的鲁棒性。
参考资料
- 原始论文：IterInject: Indirect Prompt Injection Against LLM Agents via Feedback-Guided Iterative Optimization (arXiv:2605.24659, Submitted to EMNLP 2026)
- 作者：Zixuan Chen, Jiaxiang Chen, Li Luo, Ke Xu, Xiaoxiang Huang, Tanfeng Sun, Xinghao Jiang
