偽裝差距：為何領域特定注入攻擊能繞過 LLM 防護欄

隨著大型語言模型 (LLM) 代理日益融入專業工作流程，業界高度依賴「注入檢測器」——即旨在識別並阻擋提示注入攻擊的安全分類器。然而，最近一篇題為 "Blind Spots in the Guard: How Domain-Camouflaged Injection Attacks Evade Detection in Multi-Agent LLM Systems" 的論文揭示了這些防禦機制中的系統性失效。

核心問題在於，大多數檢測器是針對靜態、基於模板的有效載荷 (payloads) 進行訓練的，這些有效載荷會明確發出覆蓋指令（例如，「忽略所有先前的指令」）。當攻擊者改用「領域偽裝」——模仿目標文件的特定詞彙和權威結構時——檢測器幾乎會變得盲目。

偽裝檢測差距 (CDG)

研究人員將這種漏洞正式定義為 Camouflage Detection Gap (CDG)。這是指標準、靜態注入有效載荷與偽裝成合法領域特定內容的有效載荷之間，在檢測率上的差異。

涵蓋三個不同領域的 45 項任務結果顯示，其效能出現了驚人的下降：

• Llama 3.1 8B: 當從靜態轉向偽裝有效載荷時，檢測率從 93.8% 驟降至 9.7%。
• Gemini 2.0 Flash: 檢測率從 100% 降至 55.6%。
• Llama Guard 3: 這款生產級安全分類器表現最差，檢測到 零 個偽裝有效載荷 (IDR = 0.000)。

這些發現表明，安全分類器不僅是錯失了一些邊緣案例；當惡意意圖被包裹在專業或領域特定的語言中時，它們從根本上無法識別。

多代理架構放大效應

研究中最令人擔憂的發現之一是，這些攻擊在多代理架構中的行為。研究發現，在較小的模型中，多代理辯論架構實際上可以將靜態注入攻擊放大高達 9.9 倍。

雖然較強的模型表現出一定程度的集體抵抗力，但較小模型的漏洞表明，多代理系統的架構設計——即代理之間傳遞資訊並「辯論」發現——可能會在無意中為惡意有效載荷提供更多機會，使其在系統中紮根並傳播。

架構漏洞 vs. 偶發缺陷

研究人員嘗試透過針對性的檢測器增強來修復這些差距。結果褒貶不一：Gemini 看到 78.7% 的提升，但 Llama 僅看到 10.2% 的提升。這種差異表明，對於較弱的模型，該漏洞是 架構性的而非偶發的。換句話說，僅僅向檢測器添加更多訓練數據，可能不足以保護這些模型免受複雜且具備領域感知能力的攻擊。

批判性觀點與產業影響

這項研究在安全從業者中引起了廣泛討論。一個反覆出現的主題是，依賴「檢測器」來保護 LLM 的固有謬誤。

正如社群成員 @simonw 所指出的：

"There are unlimited combinations of tokens that can be used to attack an LLM system. The idea that some kind of 'detector' can catch them all just feels inherently absurd to me."

這種情緒凸顯了 LLM 安全中的一個根本矛盾：試圖將傳統的、基於模式的檢測（類似於防毒軟體）應用於輸入空間幾乎無限的生成式系統。

此外，一些批評者指出，測試是在較小或「閃電」模型 (Llama 3.1 8B 和 Gemini Flash 2.0) 上進行的。雖然這證實了目前驅動許多邊緣部署和高成本效益代理工作流程的模型存在漏洞，但也引發了疑問：前沿模型是否具備更天生的偽裝抵抗力，或者它們只是尚未接受針對這些特定領域模仿有效載荷的測試。

結論

「偽裝檢測差距」證明了當攻擊者花時間使他們的有效載荷與目標領域對齊時，目前的 LLM 防護欄很容易被繞過。對於部署多代理系統的組織而言，教訓很明顯：將安全分類器作為唯一的防禦線是一項高風險策略。安全性必須超越簡單的檢測，轉向架構穩健性與嚴格的輸入驗證。