论文揭示工具型 Agent 间接提示注入可绕过表层防护并导致数据外泄

论文信息：本文基于 arXiv 预印本《The Framing Gap: Indirect Prompt-Injection Exfiltration Defeats Surface-Level Defenses in Tool-Using Agents》。论文由 Md Habibur Rahman 和 Jaeho Kim 撰写，首次提交于 2026 年 8 月 27 日，共 20 页、3 幅图和 7 张表。[1]

范围说明：论文在安全的合成实验室中使用金丝雀秘密和只记录参数的 Mock 工具，不使用真实凭证，也不向外部真实目标传输数据。文中成功率、模型差异和防护效果只适用于其评估的模型、提示、工具脚手架与测试集，不能直接视为所有生产 Agent 的通用测量结果。[1][2]

一句话结论

《The Framing Gap》说明：工具型 Agent 面对间接提示注入时，真正的薄弱点不一定是模型是否会直接服从“泄露秘密”的明显指令，而是攻击者能否把相同效果重新表述为任务中的“完整性签名”“运行时配置字段”或看似可信的目标地址。只依赖表层提示过滤、通道分离、输出规范化或让模型自行识别攻击，可能无法阻止跨工具的数据外泄；论文实验中更稳定的控制来自目的地 allowlist和能力隔离的 planner/reader 分工。[1][2]

对 Agent 安全团队而言，任务如何被框定不是文案问题，而是威胁模型的一部分：当 Agent 同时读取攻击者可控内容、在上下文中持有秘密、并拥有向外部工具发出请求的权限时，一条“看起来是任务所需字段”的内容就可能跨过指令—数据边界。

论文研究的问题是什么

论文将风险压缩为三个同时存在的条件：

1. Agent 的工作上下文含有机密值，例如 API Token、连接器凭证或此前的私有会话内容。
2. Agent 能读取攻击者可控的外部内容，例如网页、文档、搜索结果或工具返回。
3. Agent 能通过工具对外部世界执行动作，例如发出网络请求或调用连接器。

当外部内容被模型误解为任务指令，而 Agent 又能够把上下文中的机密作为工具参数发往外部时，间接提示注入就从“回答偏离”升级为数据外泄路径。[2]

论文采用合成实验室验证这一问题：

这是一项攻击鲁棒性研究，而不是某个产品漏洞公告。论文作者也在限制章节明确表示：观察到的产品行为是鲁棒性结果，不代表需要进行漏洞披露的特定产品缺陷。[2]

什么是「Framing Gap」

论文所谓 Framing Gap，指的是 Agent 对同一个泄露效果会因表达框架不同而表现出截然不同的反应。

明显的攻击措辞，例如要求 Agent 将秘密直接发送到某处，往往容易被模型拒绝；但如果将同样的数据外泄重新描述为完成当前任务所必需的例行步骤，例如附加完整性签名、填写配置字段、使用某个“可信”目标地址，模型可能将它理解为任务规范的一部分。[1][2]

论文摘要报告，在最强措辞条件下，GPT-4o 对十类明显注入的基础攻击拒绝率对应为 0% ASR；但将相同泄露重新框定后，某些用语可将 GPT-4o 从 0% 推到 100%。跨六个模型的汇总结果显示，除一个基线本身已较高的模型外，五个模型都表现出明显的基础攻击与重框定攻击差距。[1][2]

论文中的关键判断是：这不主要是“模型已经识别攻击但被绕过”的问题，而是模型根本没有把重框定内容识别为需要触发保密策略的攻击。它把攻击者控制的文本当成任务的一部分执行，也就是指令与数据混淆。[2]

实验结果应如何解读

论文在基础攻击集合中覆盖了直接指令、隐藏 HTML、搜索结果、文档页脚、多步流程、冲突指令、工具输出、编码内容、社会工程和工具选择等十类注入方式。基础测试中，GPT-4o 在该集合的总体 ASR 为 0%，但重框定测试揭示了不同结论。[2]

这些数字来自论文在特定合成脚手架中的汇总结果，适合用来说明“表述与任务框架是重要变量”，而不适合用来给具体模型做脱离上下文的安全排名。[2]

论文还将攻击成本拆成三类：对已知机制换三种说法的改写成本很低；在有效模板中替换字段也相对便宜；围绕全新机制从头构造完整页面则显著更难。作者因此认为，攻击者可复用的主要资产是有效模板，而不是单个泄露机制。[1]

表层防护为什么可能失效

论文测试了多种防护基线，并得到一个重要区分：分离文本通道，不等于分离能力。

论文并不是说提示词、通道分离或微调没有价值，而是指出它们不能作为唯一信任边界。当模型仍能读取秘密并调用外发工具时，单纯要求模型“理解这段内容不可信”无法替代目的地控制、秘密污点追踪和最小权限。[1][2]

从「内容过滤」转向「能力约束」

这篇论文最实用的价值是把防护重点从“能不能识别恶意文本”转向“即使识别失败，系统还能否阻止后果”。

1. 目的地 allowlist

Agent 即使读取到恶意网页、README、工单或工具输出，也不应能把秘密发送到任意 URL、域名或外部连接器。对于需要网络访问的工具，应预先约束：

• 可访问域名、IP、端口和协议。
• 每个任务允许调用的 API 与对象范围。
• 是否允许把上下文、文件或环境变量作为请求参数。
• 是否允许重定向、动态 URL 和 DNS 解析结果变化。
• 发生不在 allowlist 内的请求时是否 fail-closed。

目的地控制的优势是 payload-blind：无论攻击者使用直接命令、角色扮演、配置字段、编码文本还是“完整性校验”叙事，只要外泄目的地未被批准，工具调用就不能成功。

2. Planner / Reader 能力隔离

论文以 CaMeL 风格的 planner/reader 分工为例，强调读取不可信内容的组件不应同时持有秘密和高影响工具能力。[2]

一个可操作的划分是：

Reader
  - 读取网页、README、邮件、工单、搜索结果和工具输出
  - 标记内容来源、抽取候选事实与风险
  - 不持有真实秘密，不具备公网外发或生产写权限

Planner
  - 接收经过标记和结构化处理的 Reader 输出
  - 制定下一步计划
  - 不直接把秘密或全量上下文交给外部内容驱动的工具

Executor
  - 仅执行经过策略验证的窄任务
  - 使用短时、任务范围内的凭证
  - 目的地、参数、数据类别与审批均受控制

这里的关键不是把一个 Agent 简单拆成三个名字，而是让每一层拿到的数据、凭证和工具能力不同。如果 Reader 仍可读取 .env 并调用外部 HTTP 工具，或 Executor 仍接受未处理的网页原文，那么拆分只是形式变化。

3. 秘密污点跟踪和数据流策略

将 Token、连接器凭证、私有对话、客户数据和内部文件标记为敏感数据源。策略应能判断：

敏感数据 → 模型上下文 → 外部工具参数 → 非批准目的地

一旦形成这条路径，应阻止、要求审批或自动脱敏。仅在输出阶段做文本正则过滤通常太晚：模型可能已把秘密编码、分块或放进看似正常的字段中。

可转化的红队测试用例

论文的实验使用了安全合成数据和 Mock 工具。企业内部测试也应遵循同样原则：使用假秘密、测试租户、记录型工具和经过授权的目标，而不是使用真实生产凭证。

可将以下矩阵加入 Agent 红队测试：

测试指标不应该只统计模型是否“拒绝了一句话”，还应统计：

• 有多少次不可信内容触发了外部工具调用。
• 有多少次工具调用的目标、参数或数据类别超出任务声明范围。
• 目的地 allowlist、凭证范围和审批是否独立阻止了结果。
• 攻击文本经过改写、编码或任务化重框定后，控制是否仍有效。
• 日志是否能追溯内容来源、模型决策、工具调用和策略结果。

对研发与安全团队的落地清单

Agent 设计

• 将外部网页、邮件、README、工单、搜索结果和工具输出标记为不可信数据。
• 不让读取外部内容的 Agent 同时持有高权限秘密和任意外发工具。
• 把通用 Shell、任意 HTTP、任意文件读取改为任务专属窄接口。
• 为每次任务分配短时、最小权限、受众绑定的凭证。
• 将任务目标、可访问数据类别、允许目的地和工具参数写入策略。

网络与工具治理

• 使用 allowlist 限制外部网络目的地、协议和端口。
• 阻止 Agent 访问云元数据服务、开发者密钥目录和无关内部网段。
• 对 URL 重定向、DNS 解析变化、编码参数和数据分块实施检查。
• 对上传、Webhook、邮件发送和第三方连接器建立独立审批。
• 让高影响写操作与读取不可信内容的会话分离。

监控与红队

• 记录不可信内容来源、上下文标签、模型会话、工具调用和策略判定。
• 对网页、README、文档页脚、搜索结果、工单和工具输出执行重框定注入测试。
• 使用合成金丝雀秘密验证是否存在跨工具泄露路径。
• 将“基础攻击被拒绝”与“任务化重框定被阻止”作为不同验收项。
• 对模型、Agent 框架、连接器和策略变更持续复测。

论文的限制与不应过度推断之处

论文的结论很有价值，但必须保留其边界：

• 使用的是合成金丝雀秘密与 Mock 工具，未测试真实生产外泄。
• 测试六个模型、五个模型家族，但没有受控的模型规模阶梯，因此不能据此推断参数规模趋势。
• 对 SecAlign、CaMeL 风格分工和最小化外泄 Guard 的评估并不等于复现了所有相关防护方案。
• Planner/reader 的结果为单步场景，复杂多轮 Agent 工作流仍需要更多验证。
• 预印本尚未等同于同行评审结论；新版本、复现研究和生产评估可能改变具体数字。

但这些限制不会削弱论文的核心工程启示：将“模型能否识别攻击”当作唯一防线是脆弱的。对于数据外泄，决定性问题通常是系统有没有把秘密、外部内容和外发能力放在同一个可被语言操纵的执行上下文中。[1][2]

结语

The Framing Gap 让间接提示注入的风险从“恶意文本是否足够明显”转向更本质的问题：Agent 的任务框架、工具语义和数据流边界是否允许攻击者把外泄伪装成正常工作步骤。

对企业而言，正确的防御不是无限扩展拒绝提示词列表，而是让 Agent 在被欺骗时依然无权把秘密发送到非批准目的地。目的地约束、能力隔离、秘密污点跟踪、短时凭证和独立工具审批，才是让系统在模型犯错时仍不至于发生严重后果的安全边界。

参考资料

• [1] arXiv 摘要页：The Framing Gap
• [2] arXiv HTML 全文：The Framing Gap
• [3] arXiv PDF：The Framing Gap

来源字段：2026-08-27｜arXiv，Md Habibur Rahman、Jaeho Kim｜https://arxiv.org/abs/2608.27092｜论文在安全合成实验室中研究工具型 Agent 的间接提示注入外泄，发现任务化重框定可绕过多种表层防护；目的地 allowlist 和能力隔离表现更稳健｜团队应将任务框架纳入威胁模型，使用合成金丝雀数据测试网页、README、工单和工具输出能否驱动跨工具敏感数据外泄。

Sources

[1] https://arxiv.org/abs/2608.27092 — The Framing Gap [2] https://arxiv.org/html/2608.27092 — The Framing Gap full text [3] https://arxiv.org/pdf/2608.27092 — The Framing Gap PDF