窗口在推理之中：智能体何时决定遵循注入指令

这是什么？

针对提示注入的运行时监控器和单次运行基准通常假设：智能体是否遵循被注入的指令，在其读取不可信内容的那一刻就已确定。2026 年 10 月 16 日，Haoxuan Jia 等人发表了《The Window Is in the Reasoning》（arXiv:2610.24048），直接检验了这一假设。这是一项关于防御性监控的测量研究，并未提出新的攻击方法。

工作原理

作者采用分支回放（branching rollouts）：先把智能体的一次运行重放到其读取注入内容的位置，再对其后的过程重复采样多次。通过比较各分支，把结果方差拆分为”读取时已固定”的部分和”之后才决定”的部分。实验在四个 AgentDojo 套件上进行（AgentDojo 于 2024 年 6 月发布，是包含 97 个任务和 629 个安全测试用例的公开基准）。

报告的结果：

• 未启用思考的 Qwen3 智能体，约 0.91 的结果方差在读取时已固定；启用思考后这一比例降至约 0.62，在三种攻击模板和两种成功判定下保持一致。
• 影响因模型而异：思考降低了 Qwen3 的攻击成功率，却提高了另外两个模型的攻击成功率。
• 从推理前缀重新采样表明，遵循注入的决定是在推理过程中逐步形成的。
• 基于较廉价模型的零样本思维链监控器，会漏掉前缀已经决定的大量内容；更强的监控器，以及评估模拟后续动作的”前瞻”监控器，则表现接近得多。
• 对启用思考的智能体，单次运行的标签与重跑结果不一致的比例高达 35%。

为什么重要

仅在不可信内容进入上下文时做一次检查，可能错过尚未作出的决定，而廉价监控器也可能看不到这一决定正在形成。每个任务只运行一次的基准，也可能高估或低估智能体的真实稳健性。2026 年 10 月 2 日的另一篇论文（arXiv:2610.03448）给出了相关提醒：检测器的排名在不同基准之间迁移性很差，在 BIPIA 上表现最好的检测器，在 1% 误报率下只检出了约 2% 的 AgentDojo 注入。

防御措施

• 不要依赖读取时的一次性检查。随推理和拟执行动作的展开持续监控，并对每个重要的工具调用设置关卡。
• 使用能力不低于智能体的监控器，或评估模拟后续动作的前瞻监控器，而不是廉价的零样本监控器。
• 对工具实施最小权限，并对敏感操作要求批准，使得即便较晚才决定遵循注入，也不会造成严重危害。
• 评估时对每个任务重复运行并报告方差，而不是只看单次运行的通过/失败。
• 在自己智能体的工具输出上测试检测器，并在低误报率下报告检出率，这也是第二篇论文的建议。
• 将所有检索到的或工具返回的内容视为不可信，并记录决策以便审计。

Status

项目	详情
来源类型	学术测量研究（arXiv，cs.CL / cs.AI / cs.CR）
发布时间	2026 年 10 月 16 日（arXiv:2610.24048 v1）
相关工作	2026 年 10 月 2 日（arXiv:2610.03448）；AgentDojo，2024 年 6 月 19 日
涉及模型	Qwen3（启用与未启用思考）；所查阅摘要中未点名另外两个模型
漏洞 / CVE	无；属于评估研究，而非产品缺陷