注入位置很重要：智能体对环境中不同区域的信任程度并不相同

What is this?

2026年10月28日，包括Chengquan Guo、Bo Li和Jianfeng Gao在内的团队发表了《Where You Inject Matters: The Trust Region Effect in LLM Agents》（arXiv:2610.38867，cs.AI，交叉列入cs.CR和cs.LG）。多数间接提示注入研究关注恶意文本说了什么。这篇论文固定文本内容，只改变它在智能体环境中出现的位置。结果显示，易感程度随位置显著变化。作者将其称为信任区域效应：智能体对环境的不同部分隐含地给予不同程度的信任。

编码场景的核心结果：对于GPT-5.4，放在文档类文件（README或TODO）中的不安全指令，被执行的平均频率约为放在代码或数据文件中同一指令的2.6倍。这是一项针对防御盲区的测量研究，而非漏洞利用。

How it works

作者构建了三个智能体测试平台：编码（基于Terminal-Bench-2）、工具使用（基于AgentDojo）和日常工作流（基于DecodingTrust-Agent）。合计包含30个良性任务、24种注入风险和36个环境表面。每次注入都在粗粒度层面（哪个表面：文件类型、电子邮件、Slack消息、评论）和细粒度层面（内容的开头、中间或结尾）上放置。成功与否由基于脚本的确定性验证器判定，而非LLM，并且指标只统计智能体实际读取过的注入。

论文报告的规律（数字按论文原文，论文测试了多家厂商的模型）：

• 表面很重要。 在GPT-5.4的编码测试中，一种侦察类风险从README注入的成功率为86%，从TODO文件为61%，而从代码文件为19%，从数据文件为30%。在工作流测试中，一种钓鱼类风险通过GitHub内容达到23%，Slack为17%，Confluence为9%，Jira为0%。
• 位置影响较小，但很一致。 在三个领域中，放在文档末尾的内容都最有效。
• 模型之间差异很大。 编码领域的总体条件成功率，从部分前沿模型接近零，到Gemini-3.1-Pro的67.0%，GPT-5.4为12.2%。
• 攻击者可以学习位置。 联合优化内容与位置的小型训练攻击者达到59.1%的成功率，仅优化内容为37.0%，并能迁移到另一个受害模型，而模板基线为0%。

此处不复现任何攻击载荷。结论是结构性的：智能体的信任并不均匀，而且可以被学习。

Why it matters

项目通常把文档视为无害。论文表明，对智能体而言，文档文件恰恰是影响力最大的输入之一，这与几天前发布的实践研究相呼应。2026年10月22日，Forever Security描述了网页如何悄悄把AGENTS.md或CLAUDE.md写入用户的下载文件夹；之后在该文件夹中启动的编码智能体会把它当作可信的项目指令。作者称，这依赖于智能体对工作目录的信任，而非产品缺陷。另见AGENTS.md供应链注入和指令层级。

局限同样重要。论文描述的是行为而非内部机制；只覆盖三个测试平台和间接注入；其攻击者仅针对一个受害模型训练。这些百分比反映相对风险，而不是生产环境中的实际比率。

Defenses

论文没有提出具体防御；它主张防御应在限制不可信内容影响力时考虑注入位置。由此得出的实用措施：

1. 把文档视为不可信输入。 来自你未编写的仓库或文件夹的README、TODO、CONTRIBUTING和智能体指令文件，不应拥有运营者级别的权限。
2. 不要在网页可写的文件夹中运行智能体， 例如下载文件夹；在智能体加载之前，检查并非你所写的指令文件。
3. 保护智能体配置。 对MCP服务器条目、API基础URL和代理设置的意外变更发出告警，并要求对智能体自身配置的修改进行批准。
4. 按表面加权信任。 在框架允许时，按来源标记出处，并限制低完整性表面的文本可触发的操作。
5. 测试时变换位置。 对自己的智能体做红队测试时，不仅要变换措辞，还要变换注入的位置；单一位置可能低估风险。
6. 保持审批和沙箱开启， 并对工具和凭据应用最小权限。

Status

项目	参考	日期	备注
信任区域论文	arXiv:2610.38867	2026-10-28	三个测试平台，多家厂商模型
下载文件夹指令文件研究	Forever Security	2026-10-22	测试了Codex和Claude Code；作者未报告厂商声明
同时列出两者的汇总	Adversa AI	2026-11-02	二手汇总
补丁状态	n/a	n/a	行为层面的发现；没有单一补丁