# Beyond Single‑Model Injection 论文笔记
> 论文信息：arXiv:2609.22949，发表于 ICML 2026 AIWILD Workshop
> 标题翻译：超越单模型注入：面向多智能体系统提示词注入的威胁模型与防御架构

## 一、文章主要内容
现有提示词注入研究大多聚焦单大模型聊天机器人场景。本文针对**多智能体（Multi‑Agent）系统**的提示注入安全开展研究。

多智能体系统会放大提示注入威胁，源于三点独有机制：
1. 智能体间消息传递，形成边界防御看不见的注入通道；
2. 工具共享访问，实现跨智能体边界的权限提升；
3. 信任传播，被攻陷的智能体能够向上影响编排器（orchestrator）。

作者构建威胁模型，划分**4大类共14条攻击向量**：用户输入直接注入（3条）、工具输出间接注入（4条）、消息传递实现智能体间注入（4条）、操纵编排器形成级联注入（3条）。

在一套包含6个智能体、贴近生产环境的系统上完整测试全部14种攻击向量。实验发现：即便配置系统提示词级防护护栏，仍有**67%智能体至少遭受一次越权攻击**；工具输出带来的间接注入攻击成功率可达43%；整体基线攻击成功率31.2%。

论文提出四项架构层面防御方案，组合后将整体注入攻击成功率从 **31.2%下降至4.2%**：
1. 带来源溯源的消息签名：智能体间注入下降91%；
2. 智能体边界输入输出清洗：间接注入下降78%；
3. 按角色划分权限的工具访问机制：彻底消除权限提升风险；
4. 智能体通信模式异常检测：捕获84%级联注入尝试。

同时论文也指出局限性：仅针对文本型多智能体，未覆盖