RAISED：用自蒸馏加固智能体抵御提示注入

这是什么？

2026年10月5日，由 Mohamed Dhouib 牵头的团队（作者包括 Elie Bursztein）发表了 RAISED: Self-Distillation for Robustness to Prompt Injection in LLM Agents（arXiv:2610.06401，cs.CR）。该论文针对间接提示注入：使用工具的智能体读取不可信的外部内容（网页、文档或工具返回结果），并被其中隐藏的指令操纵。

这是一项防御研究，而非新的攻击方法。论文的出发点是：训练阶段的防御确实能降低攻击成功率，但往往损害通用能力，原因可能是即便在良性输入下，模型的输出分布也发生了偏移。

技术原理

据摘要，作者指出了现有防御模型的一个具体缺陷：在良性工具使用任务中，它们有时会跳过完成授权任务所必需的步骤，尤其是当该步骤由工具输出所提示时。模型对工具输出过度不信任，以至于忽略了合法的指引。

RAISED（Robust Attack Invariance through Self-Distillation）分三步应对：

1. 模型自行生成工具使用场景，重点覆盖那些必须依据工具输出中的合法指引才能完成任务的情形。
2. 教师模型给出其在干净上下文中会表现出的行为。
3. 学生模型被训练去匹配教师在干净上下文中的行为，且同时作用于同一轨迹的干净版本与注入版本。

目标是“攻击不变性”：注入的文本不应改变智能体的行为。作者报告称，针对工具响应中的注入，攻击成功率大幅下降，同时在智能体类和通用基准上的实用性得以保持。摘要未给出具体数字，具体数据应以完整论文为准，不宜臆测。

作为背景，2026年8月21日的相关论文 SecOPD（Peng、Lian、Wagner、Chen）同样采用蒸馏：由初始模型依据干净输入对每个 token 打分，提供 token 级反馈。其报告称，经防御的 Qwen3.6-27B 在自适应注入下攻击成功率为 9.0%，而 Meta-SecAlign 为 94.0%；在未见过的智能体工具调用领域为 4.7%，对比 5.5%。两者方法不同，但都以干净输入下的行为作为训练目标。

为什么重要

提示注入仍是智能体领域尚未解决的核心问题，防御者面临权衡：抵抗力越强，智能体往往越不好用。因跳过合法步骤而失效的防御在运维上代价高昂，因为它表现为任务完成不可靠，而不是安全告警。因此必须同时评估攻击成功率与良性任务完成情况；只测其一会掩盖另一项的代价。

这是一篇预印本，尚无独立复现；基于训练的防御只处理模型行为，不涉及其周边系统。

防御措施

• 将训练阶段的鲁棒性视为其中一层。 无论使用何种模型，都应保持工具的最小权限、敏感操作的人工审批以及对不可信内容的隔离。
• 在衡量安全性的同时衡量实用性。 评估经防御的模型时，运行多步骤良性工具任务（其中工具输出合理地指示下一步），并统计被跳过的步骤。
• 使用自己的工具输出进行测试。 基准测试结果未必适用于您的智能体实际的数据格式。
• 评估中使用自适应攻击，而不只是静态的注入字符串。
• 记录并监控工具调用，以便发现偏离授权任务的行为。

现状

项目	详情
论文	arXiv:2610.06401，v1，提交于 2026-10-05
同行评审	未说明（预印本）
量化结果	摘要中未给出
相关工作	SecOPD，arXiv:2608.21500，2026-08-21
漏洞 / CVE	不适用（防御研究）