伪造危险评论可借代理避险机制操控其选择，且绕过注入检测。
资讯摘要
一篇论文提出“自愿奴役”攻击：攻击者不注入指令，而是把伪造的危险写成普通评论，让AI代理出于避险自行排除合法选项、选中攻击者目标。作者报告该手法在六款模型、十个消费服务领域测试中操控率约60.4%，与指令注入的66.0%接近，且现有注入检测器判其为良性，在过滤器后有效性高1.7至4.4倍。在代理指令中加入佐证要求，可消除约95%的暴露。
要点速读
- 论文称伪造危险以普通评论形式出现，代理凭自身推理排除合法选项，无需可被检测的命令语法
- 作者报告操控率60.4%，指令注入为66.0%；部署中的注入检测器将其判为良性，过滤后有效性高1.7至4.4倍
- 测试覆盖六款模型、十个消费服务领域和三类攻击，并称可迁移至生产浏览器代理与检索管线；加入佐证要求可消除约95%暴露
中文摘要由 AI 根据公开来源生成，可能存在理解偏差；具体能力、数字、开放时间等信息请以原文为准。
采集于 2026/11/5 08:00:38（北京时间）。 arXiv 日期为本次公告时间，论文初次投稿日期请查看原文版本记录。