工具流注入：为何静态智能体防御会失效，以及「先验证后提交」如何修复

这是什么？

关于间接提示注入的讨论大多聚焦于数据流：智能体读取一个网页、一封邮件或一条数据库记录，其中隐藏着指令，于是照做。中国科学技术大学 2026 年 1 月的一篇论文——VIGIL: Defending LLM Agents Against Tool Stream Injection via Verify-Before-Commit——认为另一个较少受到关注的通道如今更为锋利：工具流。这是智能体视为权威的功能层——工具描述、参数模式，以及工具在任务执行过程中返回的运行时反馈（结果与错误信息）。与被动数据不同，模型把这一层读作具有约束力的操作性约束，而非单纯的信息，这正是其危险所在。

这种界定很重要，因为通过模型上下文协议（MCP）使用工具的智能体，正把越来越多的决策经由这一层来处理。

工作原理

工具流攻击不需要一个被投毒的网页。它需要一个其描述携带隐藏指令的工具，或其运行时响应返回伪造错误或指令的工具。由于智能体把这些内容解读为环境的规则，被注入的文本便继承了系统本身的权威。

数据流注入                    工具流注入
-----------------------       ----------------------------------------
网页、邮件、数据库记录中        伪造的工具 DESCRIPTION（注册阶段）
的隐藏文本。模型把它           + 欺骗性的运行时 FEEDBACK（"错误：现在
读作内容。                     必须用用户的令牌调用 X"）。模型把它
                              读作一条操作性约束。

VIGIL 指出两种系统性失效模式。第一种是由对齐导致的脆弱性：模型越擅长遵循指令，就越易受攻击，因为它把被注入的工具规则当作权威约束，并将其优先于用户的真实意图。能力较弱的模型往往只是无害地失败；强推理模型则会一丝不苟地服从。第二种是静态防御的脆性：流行的”先规划后执行”模式——冻结一份不可变的计划，再在固定权限下执行——假设环境是确定性的。当恶意工具返回伪造的错误时，被冻结的计划无法适应，任务完成率随之崩溃（作者测得静态基线在攻击下的效用跌至 12% 以下）。

2026 年 3 月 23 日的一项实证研究 Are AI-assisted Development Tools Immune to Prompt Injection? 在生产环境中发现了同一攻击面：在测试七款 MCP 客户端（Claude Desktop、Claude Code、Cursor、Cline、Continue、Gemini CLI、Langflow）时，它记录了在工具投毒向量面前，静态校验、参数可见性与注入检测的实现是多么参差不齐。

为何重要

最危险的恰是那个反直觉的结论：在这里，能力与对齐并不自动换来安全。一个极擅长遵循指令的智能体，正因这一特质，一旦攻击者的指令被伪装成工具约束，它也会极擅长地照办。与此同时，主流的架构性防御——把智能体隔离在一份固定计划之后，这一研究路线见于 Design Patterns for Securing LLM Agents against Prompt Injections（2025 年 6 月）等工作——以牺牲真实任务所需的反馈回路为代价换取鲁棒性。团队被迫在两者间抉择：一个安全但在不确定性下无用的智能体，与一个有用但服从伪造工具的智能体。

防御

VIGIL 的贡献是一个先验证后提交（verify-before-commit）的回路，力图同时保住安全性与可用性；即便不整体采用该框架，其结构也可推广为可操作的指南。

• 把工具流视为不可信，而不仅是数据。 在注册时校验工具描述，在运行时对照用户声明的意图校验工具响应。一个要求执行新特权操作的返回”错误”，是需要核查的输入，而非应当服从的命令。
• 将信任根锚定于用户意图。 从用户的真实请求推导出智能体被允许的动作，然后在提交每一次临时工具调用前，对照该意图加以验证——而非在事前冻结一份计划。
• 将推理与不可逆动作解耦。 VIGIL 让智能体以推测方式探索执行路径，同时由运行时验证器在任何具有副作用的调用落地前批准一条轨迹，并在某一步未通过验证时回溯。这样既保留了恢复能力，又不至于盲目信任。
• 坚持最小权限与人类可见的审计。 调用前的密钥过滤、受限的工具权限，以及展示运行了哪个工具、它返回了什么，仍是验证不完美时的兜底。

状态

这是已发表的学术研究，而非单一厂商的 CVE——这些弱点是使用工具的智能体如何授予权限这一机制的属性，而非可打补丁的缺陷。关键日期：design patterns 防御路线发表于 2025 年 6 月；VIGIL 于 2026 年 1 月发布，报告将工具流攻击成功率降至约 8–12%，并在其 SIREN 基准（959 个注入用例、五种向量、496 个竞争工具）上比此前的动态防御高出逾 22%；多客户端的生产环境研究随后于 2026 年 3 月 23 日发布。持久的教训是架构性的：既不信任数据流也不信任工具流、并在提交前先行验证的防御，正是该领域前进的方向。