伪装差距：为什么领域特定注入攻击可以绕过 LLM 防护栏

随着大语言模型 (LLM) 智能体越来越多地集成到专业工作流中，业界一直严重依赖“注入检测器”——即旨在识别并拦截提示词注入攻击的安全分类器。然而，最近一篇题为 "Blind Spots in the Guard: How Domain-Camouflaged Injection Attacks Evade Detection in Multi-Agent LLM Systems" 的论文揭示了这些防御机制中的系统性失效。

核心问题在于，大多数检测器是在静态的、基于模板的有效载荷上训练的，这些有效载荷会明确发出覆盖指令的信号（例如，“忽略之前的所有指令”）。当攻击者转而使用“领域伪装”——模仿目标文档的特定词汇和权威结构时——检测器几乎会变得盲目。

伪装检测差距 (CDG)

研究人员将这种漏洞正式定义为 Camouflage Detection Gap (CDG)。这是标准、静态注入有效载荷与伪装成合法领域特定内容的有效载荷之间检测率的差异。

在涵盖三个不同领域的 45 项任务中的结果显示，其效能出现了惊人的下降：

• Llama 3.1 8B: 当从静态有效载荷转向伪装有效载荷时，检测率从 93.8% 骤降至 9.7%。
• Gemini 2.0 Flash: 检测率从 100% 下降到 55.6%。
• Llama Guard 3: 这种生产级安全分类器的表现最差，检测到 零个 伪装有效载荷 (IDR = 0.000)。

这些发现表明，安全分类器不仅仅是漏掉了一些边缘案例；当恶意意图被包裹在专业或领域特定语言中时，它们从根本上无法识别。

多智能体放大效应

该研究中一个更令人担忧的发现是，这些攻击在多智能体架构中的表现。研究发现，在较小的模型中，多智能体辩论架构实际上可以将静态注入攻击放大高达 9.9 倍。

虽然更强大的模型表现出了一定程度的集体抵抗力，但较小模型中的漏洞表明，多智能体系统的架构设计——即智能体之间传递信息并“辩论”发现结果——可能会在无意中为恶意有效载荷提供更多在系统中扎根并传播的机会。

架构漏洞 vs. 偶然缺陷

研究人员尝试通过针对性的检测器增强来修复这些差距。结果喜忧参半：Gemini 提升了 78.7%，但 Llama 仅提升了 10.2%。这种差异表明，对于较弱的模型，该漏洞是 架构性的而非偶然的。换句话说，仅仅向检测器添加更多训练数据可能不足以保护这些模型免受复杂的、具备领域意识的攻击。

批判性视角与行业影响

这项研究引发了安全从业人员的广泛讨论。一个反复出现的主题是，依赖“检测器”来保护 LLM 的固有谬误。

正如社区成员 @simonw 所指出的：

"LLM 系统可以使用的 token 组合是无限的。认为某种‘检测器’可以捕捉到所有攻击的想法，在我看来本质上是荒谬的。"

这种情绪凸显了 LLM 安全中的一个根本矛盾：试图将传统的、基于模式的检测（类似于杀毒软件）应用于输入空间几乎无限的生成式系统。

此外，一些批评者指出，测试是在较小的或“flash”模型（Llama 3.1 8B 和 Gemini Flash 2.0）上进行的。虽然这证实了目前驱动许多边缘部署和高性价比智能体工作流的模型存在漏洞，但这也提出了一个问题：前沿模型是否具备更天生的伪装抵抗力，或者它们只是尚未针对这些特定的领域模仿有效载荷进行过测试。

结论

“伪装检测差距”证明了，如果攻击者花时间使他们的有效载荷与目标的领域对齐，当前的 LLM 防护栏很容易被绕过。对于部署多智能体系统的组织而言，教训是显而易见的：将安全分类器作为唯一的防线是一项高风险策略。安全性必须超越简单的检测，转向架构鲁棒性和严格的输入验证。