脑提示注入：当神经信号成为智能体的授权通道

这是什么？

2026 年 6 月 8 日，Jianwei Tai 在 arXiv 发表了 Brain-Prompt Injection: A Route-Safety Audit for BCI-LLM Agents（2606.09315，cs.CR）。论文研究的是一种正在研究演示中出现的管道：脑机接口（BCI）解码神经活动——此处为 EEG 运动想象信号——并把解码出的命令送入一个具备工具调用能力的 LLM 智能体，由后者路由一个动作。在这种设计中，解码后的脑信号成为一条授权通道：正是它告诉智能体要触发哪个工具。

Tai 的贡献是为由此产生的攻击面命名并加以审计，论文称之为 brain-prompt injection（脑提示注入）。该工作立场是防御性的。它并非针对已部署产品的漏洞利用——BCI 到智能体的技术栈尚处研究阶段——而是对一个问题的形式化研究：在有人声称此类管道能安全地路由动作之前，审计日志必须捕获什么。

工作原理

论文指出，攻击者有三种方式可以在明显的监控器毫无察觉的情况下改变智能体所路由的动作：信号侧扰动（在 EEG 一侧做手脚）、仅上下文注入（操纵智能体所读取的文本/上下文，而不触碰神经信号），以及让信号路径与文本路径相互对抗的自适应双解码器攻击。统一的观察是：EEG 侧监控器与文本侧监控器可以同时显示「干净」，而被路由的动作却已被翻转——任一视图单独来看，都看不到这种联合操纵。

核心论点是：路由安全取决于审计日志能观察到什么，而非取决于解码器的准确率或仅仅信号/文本的一致性。Tai 将其形式化为一份 Route-Safety Audit Contract（路由安全审计契约）——一个最小日志模式、一套分母层级与一份端点规范——并证明了两个结果：一个审计模式分离定理，以及对论文标记为 C3 的路由类别的「受攻击依赖」分解。其数学结论令人不安：通道间的干净一致与普通的边际鲁棒性，并不能识别真正控制 C3 路由的那个联合项。换言之，两条通道彼此一致，并不能证明该路由是安全的。

实证实例运行在公开的 EEGMMI 运动想象数据集上（原生左/右命令控制，5,400 个事件），并以无害的工具桩代替真实动作。所报告的路由结果很直白：仅靠溯源即可阻断较简单的 C2 路由（翻转率 0.000）；一致性加溯源仍会放过 C3 翻转（1.000）；而只有确认加溯源才能将其关闭（0.000）。一个校准层——对一条非预言机的 EEG 确认通道做分割保形（split-conformal）校准——在一份明确的威胁原型矩阵下报告了误接受前沿：在采集隔离条件下，α=.005 时干净效用 0.150 处 FAR 0.000，α=.10 时干净效用 0.452 处 FAR 0.119。关键的告诫是：如果确认通道本身可被攻击者控制，该界限会崩塌到约 1——防御随之蒸发。基于 60 名受试者的受试者聚类自助法，以及两种解码器架构（TinyEEGNet、EEGNetV4），都支持了这些区间。

为何重要

具体的技术栈——EEG 到智能体——今天仍属小众，但其教训可推广到任何传感器到智能体的授权设计，即信任某种解码输入（语音、视线、手势、生物特征或神经信号）来选择动作的场景。论文的框架可直接套用：如果你根据某个解码信号来授权工具调用，那么独立地监控信号与监控文本都可能通过，而被路由的动作却是错的。安全是联合审计的属性，是溯源加上一个独立确认步骤的属性——而非任一通道准确率的属性。

论文也给所有构建「意图驱动」智能体的人留下了一个清醒的提醒。它明确指出：中介与确认能降低风险，但并非意图证书；它们并不能证明被路由的动作符合用户的真实意图。而整套防御都建立在一条攻击者无法触及的确认通道之上——一旦该假设失效，误接受界限便冲向 ~1。

防御

论文的结构可读作一份针对传感器到智能体管道的检查清单：

1. 审计联合路由，而非各个通道。 干净的 EEG 监控器与干净的文本监控器并不能证明路由安全。把路由作为单一对象来记录与评估，并采用论文规定的分母层级，使联合依赖项真正可观察。
2. 让溯源成为承重项。 仅靠溯源就直接阻断了最简单的（C2）路由类别。记录每个授权信号的来源，并把它与其所证成的动作绑定。
3. 加入一个独立确认步骤——并保护它。 关闭困难（C3）翻转的，是确认加溯源。但其价值完全取决于确认通道不受攻击者控制；一旦攻击者能影响它，保证就崩塌到 ~1。隔离采集，并把确认路径视为价值最高的攻击目标。
4. 显式校准误接受率。 使用一份声明过的威胁原型矩阵与一种校准方法（此处为 split-conformal），从而能在效用/误接受前沿上明确命名你的工作点，而不是假定「解码器准确」就等于「路由安全」。
5. 不要把中介当作意图来兜售。 确认与中介能降低风险；它们并不证明被路由的动作就是人类所想要的。无论如何，都要在智能体之下保留最小权限的工具范围与可逆动作。

状态

项目	参考	日期	备注
论文发表	arXiv 2606.09315 (cs.CR)	2026-06-08	单一作者，Jianwei Tai
攻击面	”Brain-prompt injection”	—	信号侧、仅上下文、自适应双解码器
数据集	EEGMMI 运动想象	—	左/右控制，5,400 个事件，无害工具桩
关键结果	一致性 ≠ 安全	—	溯源阻断 C2（0.000）；一致性+溯源仍翻转 C3（1.000）；确认+溯源将其关闭（0.000）
硬性极限	可被攻击者控制的确认通道	—	误接受界限崩塌到 ≈1

标题并不是「黑客能读你的心」。它更狭义也更有用：一旦解码信号授权了智能体的动作，安全就存在于联合审计日志中，溯源发挥着实际作用，独立的确认通道是支点——而这一切都不能证明意图。