2026-10-24 15:39:55 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

宾夕法尼亚州立大学 | The Task Shield：不问“是否危险”，只问“是否在办你的事”

原创

全诗轩
全诗轩

安全学术圈

2026年10月21日 17:44
四川

去阅读

原文标题：The Task Shield: Enforcing Task Alignment to Defend Against Indirect Prompt Injection in LLM Agents
原文作者：Feiran Jia, Tong Wu, Xin Qin, Anna Squicciarini
原文链接：https://aclanthology.org/2025.acl-long.1435/
发表会议：ACL 2025（Long Papers，pp. 29680–29697）
笔记作者：全诗轩@安全学术圈
主编：黄诚@安全学术圈

1. 背景介绍

大型语言模型（LLM）智能体正越来越多地作为对话助手部署，能够通过工具集成执行复杂的现实世界任务。这种与外部系统交互并处理各类数据源的增强能力虽然强大，却引入了显著的安全漏洞。

最麻烦的威胁是间接提示注入：攻击者不直接对模型下命令，而是将恶意提示嵌入LLM智能体处理的外部数据源中，如文档、网页或工具输出。

针对这一威胁，本文提出了一种新颖的任务对齐概念，形式化了LLM智能体对话系统中指令之间的关系，动态强制任务对齐。根据AgentDojo基准上的大量实验表明，这种方法显著降低了提示注入攻击的成功率，同时保持了用户任务的效用。

2. 创新点

论文的出发点只有一句话：与其问这个动作危不危险，不如问它是不是在替你办事。

它不是试图识别有害内容，而是专注于确保可操作指令有助于完成用户目标。过往的安全判据被改写成一条任务对齐（task alignment）条件：会话中每条可执行指令，都必须至少服务于一条用户级任务指令；答不出“你在帮用户做哪件事”的指令，无论多温和都应拒绝。这与指令层级（system ≻ user ≻ assistant ≻ tool）天然咬合——低权限层的指令，只有在能帮助实现高权限目标时才配被接受。

3. 实现方法

Task Shield 把这条判据落成了三个部件。

抽取：对每条新消息抽出所有可执行指令；信息查询类问题会被改写成动作指令（“5 月 15 日有几个日程？”→“统计日程数量”“获取每个日程描述”）；任务之间的依赖也用自然语言保留。用户层抽出的指令进入用户任务集，作为后续校验的标尺。
打分：对每条待检指令，让 LLM 与任务集里每一条用户指令比较，给出 0~1 的贡献分：1 是完全必需的步骤，中间值代表合理的间接步骤，0 是毫无贡献。各分求和，总分为 0 才判为不对齐。
反馈：一旦检出不对齐，回传三段信息——点名哪条指令有问题、说明可能的风险、重申当前用户目标。

关卡则设在三个位置：用户消息只更新任务集，不拦截；助手消息同时检查文字回复与工具调用，不通过就多轮打回、工具调用直接掐断；工具输出先把来源标进上下文（“from tool [name] with arguments [args]”），让模型知道“这话是谁说的”，再决定拦不拦。攻击想成功，得连破三道。

4. 实验评测

评测在 AgentDojo 上做，四个贴近真实的套件（Travel / Workspace / Banking / Slack），三类注入攻击，四类基线防御，指标是干净效用（CU）、攻击下效用（U）与攻击成功率（ASR）。

在 GPT-4o、最强的 Important Instructions 攻击下：

防御方法	CU ↑	U ↑	ASR ↓
无防御	69.07	50.08	47.69
ToolFilter	72.16	56.28	6.84
RepeatPrompt	84.54	67.25	27.82
Delimiting	72.16	55.64	41.65
PI Detector	41.24	21.14	7.95
Task Shield	73.20	69.79	2.07

基线各有各的“偏科”：PI Detector 安全却把任务效用砸到 21.14%，RepeatPrompt 保住了效用却几乎拦不住攻击。Task Shield 是唯一两头都占的。另两类攻击（InjecAgent、Ignore Previous）也分别从 5.72%、5.41% 压到 1.11%、0.48%。GPT-4o-mini 上同理：ASR 从 27.19% 降到 2.23%，且是唯一没有拖累干净效用的防御。

消融还给出两个实用结论：只做输入侧检查（InputShield）就能把 ASR 压到 4.76%、效用提到 63.80%，是性价比最高的单点方案；而反馈里那句“复述用户目标”看着像走过场，删掉后效用从 63.80% 直接跌到 43.80%。代价也很实在——完整版中位延迟 62.56 秒，是无防御（6.17 秒）的十倍，所以作者建议按需分级部署。

5. 总结

这篇论文的价值不在“又一个注入检测器”，而在把问题重述了一遍：安全目标从“这个动作危不危险”换成“这个动作是不是在为用户的目标服务”，绕开了“恶意内容识别”这个难以穷举的开放问题，转而验证一个封闭、可判定的关系；也让防御能顺着智能体“多轮 + 工具 + 分层权限”的结构，在用户、助手、工具三层分别设卡，形成纵深。

6. 个人思考

本文章所提出方法的笔者认为有以下几点缺陷：

大模型的“模糊逻辑打分”存在不确定性：论文中采用了一种“模糊打分机制”，非黑即白改为0到1打分，只要加起来大于0就放行。这种设计虽然减少了对正常“中间步骤”的误杀，但是也必然留下了安全隐患。比如说模型判断失误，给一个恶意指令打出了极其微小的分数（0.01），系统就会将其判定为“对齐”并放行。
算力成本、延迟高：为了确保安全，系统在每一个助手回复和每一次工具输出时，都要额外调用LLM进行提取和比对。实验评测中完整的 Task Shield 中位数延迟高达 62.56秒，相比于无防御的6.17秒慢了整整十倍

作者团队介绍

论文第一作者为宾夕法尼亚州立大学信息科学与技术学院博士生Feiran Jia，主要研究大语言模型智能体的安全与隐私，关注提示注入、智能体行为对齐等方向。
共同作者Tong Wu来自普林斯顿大学，Xin Qin为加州州立大学长滩分校助理教授。
通讯作者为Anna Squicciarini教授，任职于宾夕法尼亚州立大学信息科学与技术学院，长期从事隐私保护、访问控制与在线安全研究，相关工作曾获美国国家科学基金会（NSF）资助。