PromptArmor 研究：开放权重模型遭间接提示词注入攻击的易感率高 88%

我们评估了开放权重模型和专有模型以测试其易感性；我们发现，开放权重模型对真实世界间接提示注入网络攻击链的易感性高出 88%。

在本次评估中，我们测试了企业环境中使用最多的提供商的最新旗舰模型和最新高性价比变体。

开放权重模型对间接提示注入网络攻击链的易感性高出 88%。以下是一些在开放权重模型与专有模型之间易感性存在显著差异的攻击示例。

我们衡量什么

我们的研究团队识别真实世界智能体系统（例如 Claude、ChatGPT、Atlassian Rovo 等）中的漏洞，并开发具有网络攻击影响（例如数据外泄或远程代码执行）的端到端间接提示注入攻击链。我们发表的研究已被多个行业框架和出版物引用（例如 OWASP Top 10 for LLMs 和 MITRE ATLAS、OpenAI 关于智能体中的数据外泄和智能体对抗鲁棒性的研究）。

我们想回答：开放权重模型对真实世界间接提示注入网络攻击的易感性如何？

现有的网络/对齐基准未覆盖这些攻击链和方法论：

• 它们未覆盖用于在真实世界中利用智能体系统的网络攻击链。

• 它们未覆盖当今智能体所面对的真实世界用例的复杂性和领域（例如法律、医疗、金融等），例如常驻智能体和长时程任务。

• 它们的载荷设计技术和方法论对当前一代模型无效且已过时，导致模型易感性被低估。

这一空白促使我们开发自己的评估基准，以更准确地衡量模型对真实世界智能体系统所面临的间接提示注入网络攻击的易感性。

我们的方法论

真实的智能体系统很复杂；各系统在威胁模型和攻击面上各不相同，评估环境需要反映这一点。例如，你不能依赖模型拒绝来衡量攻击成功：在真实世界攻击中，模型并不理解它们正在采取的行动。这导致模型会错误表述自己是否中招（参见 Sonnet 5 谎称自己没有运行恶意软件），甚至会中招于它们已经识别出的攻击；示例如下：

以下是我们评估的一些现实世界中间接提示注入网络攻击类型的示例： 

系统操纵

在智能体系统中，当智能体被不可信数据源操纵，使用其工具采取对用户产生网络攻击后果的行动（例如将敏感电子邮件转发给攻击者或运行未经授权的工作流）时，就发生了系统操纵。 

例如，在我们在 Elastic 的 Agentic Security Operations Center 中发现的一条攻击链中，智能体的任务是分拣网络钓鱼电子邮件报告，但其中一条警报的内容操纵智能体执行攻击者的工作流。这些工作流会采取恶意行动，包括禁用警报路由规则、铸造并外泄 API 密钥，以及编辑租户中的数据。

数据外泄

在智能体系统中，当智能体被不可信数据源操纵，产生导致用户工作区数据被外泄给攻击者的输出时，就发生了数据外泄。

我们的团队在 Atlassian Rovo 中发现了一条数据外泄型间接提示注入网络攻击链。在这起攻击中，Rovo 被要求按照用户在网上找到的一份指南来整理 Jira 工单。该指南隐藏了一条指令，操纵该智能体将所有 Jira 工单附加到某个攻击者 URL 的末尾，并通过其网站检索工具请求它构建的这个 URL。随后，攻击者记录下他们收到的所有请求，包括附加在所请求 URL 上的受害者数据。

钓鱼攻击

当不受信任的数据源操纵模型生成输出，从而对用户或正在处理智能体所创建内容的人员实施钓鱼攻击时，就构成了智能体系统中的钓鱼攻击。

一些示例包括：模型生成恶意链接、指示通过电话或电子邮件联系不受信任的第三方，甚至模型执行代码以创建虚假的登录界面。

我们的团队在 ChatGPT for Google Sheets 中发现了一条钓鱼攻击链。在这起攻击中，一个导入的表格操纵 ChatGPT 运行由攻击者控制的脚本，从而弹出一个钓鱼登录窗口。

这些示例仅展示了我们在 AI 系统基准测试中衡量的一小部分攻击类型和攻击链变体。

评估模型的易感性，不仅需要能够反映真实世界任务、工具和能力的逼真环境，还需要随着攻击者不断演进其手法，持续针对最新的攻击技术进行测试。

进一步发现：旗舰模型与高性价比模型

模型提供商通常会提供旗舰模型系列和高性价比系列。OpenAI 和 Anthropic 在其旗舰模型之后发布了各自的高性价比模型，但这些较新的模型对间接提示注入网络攻击的易感性要高得多。相比之下，对于 Qwen 和 DeepSeek，较新的高性价比模型比先于它们发布的旗舰模型对攻击的抵御能力更强。

我们还观察到，专有提供商的高性价比模型与旗舰模型之间的易感性差距，远大于开放权重提供商。

对于专有提供商，高性价比模型的易感性比旗舰模型高 169%；而对于开放权重提供商，高性价比模型的易感性比其旗舰模型低 5%。

本分析中测试的模型包括：

• 旗舰模型：DeepSeek V4-Pro、Kimi K3、GLM-5.3、Qwen3.8-2.4T、Claude Fable 5.1、GPT-6 Astra、Gemini 3.1 Pro

• 高性价比模型：DeepSeek V4.1-Flash、Kimi K2.6、GLM-5.3-Flash、Qwen3.8-Flash-Next、Claude Haiku 5.5、GPT-6 Luna、Gemini 3.8 Flash

注：Moonshot 不提供高性价比产品线，因此我们替换为上一代旗舰。此外，我们没有测试开放权重提供商所提供的闭源模型。

基准测试

您是否有兴趣衡量模型在真实环境中通过间接提示注入遭受网络攻击的易感性？如果您希望评估您正在使用或开发的模型，请通过下方联系我们。