2026 年 5 月 21 日，一篇提交到 arXiv 的論文（編號 2605.22001）給所有依賴提示注入偵測器的團隊潑了一盆冷水：只要把惡意指令「偽裝」成目標文件自身的領域語彙與權威結構，偵測率就會從 93.8% 潰跌到 9.7%。論文標題直白——《Blind Spots in the Guard: How Domain-Camouflaged Injection Attacks Evade Detection in Multi-Agent LLM Systems》，作者 Aaditya Pai，已提交至 EMNLP 2026 ARR 審稿週期。
對照當前 agent 系統大量讀取網頁、文件與工具輸出的現況，這篇論文指向的不是一個小漏洞，而是「以偵測器擋注入」這條路線的結構性盲區。
研究設定：45 項任務、兩種偵測骨幹
論文的實驗覆蓋 45 項任務，分屬三個領域、每個領域 15 項：金融（股票分析、風險評估、財報解讀）、法律（合約審閱、合規評估、風險標記），以及一般問答（事實檢索、摘要、分類）。防守端是兩種以 LLM 為骨幹的少樣本靜態偵測器（分別基於 Llama 3.1 8B 與 Gemini 2.0 Flash），再加上 Meta 的生產級安全分類器 Llama Guard 3 作為基準。
攻擊端是作者提出的「領域偽裝注入」（domain-camouflaged injection）：payload 不再寫成「忽略先前的指示」這種一眼可辨的覆寫句，而是模仿文件自身的文體、術語與層級結構——偽裝成合約條款、風險揭露或財報註記，讓偵測器誤以為它本來就是文件的一部分。傳統偵測器的訓練範例，恰恰都是那種顯眼的模板化 payload。
偵測率從 93.8% 潰跌到 9.7%
結果是斷崖式下滑。Llama 3.1 8B 偵測器面對傳統模板注入的偵測率為 93.8%，面對偽裝注入只剩 9.7%；Gemini 2.0 Flash 從 100% 跌到 55.6%。作者把這個差距形式化為「Camouflage Detection Gap（偽裝偵測差距，CDG）」，並以卡方檢定驗證其顯著性：Llama 為 38.03、Gemini 為 17.05，兩者皆 p < 0.001，而且整套實驗中沒有任何一組「反向不一致配對」——偽裝只會讓偵測變差，不會變好。
Llama Guard 3 全數失守
更值得注意的是生產級工具的表現：Llama Guard 3 對所有偽裝 payload 的偵測率為 0.000。這代表盲區不是「少樣本偵測器範例給太少」的小毛病，而是從研究原型到產品級分類器的普遍弱點。任何把 Llama Guard 這類分類器當成注入防線的架構，都應該把這個數字視為直接的警示。
多代理辯論反而放大攻擊
論文同時測試了多代理辯論（multi-agent debate）架構，結果同樣反直覺：在較小的模型上，靜態注入攻擊的威力被放大到 9.9 倍。多個代理互相傳閱受污染的內容，等於給攻擊更多落地與互相強化的機會；較強的模型則能集體抵抗。在 2026 年的 agent 系統越疊越多的潮流下，這個結果提醒 builders：堆疊代理不是免費的安全增益，處理不可信內容的代理若本身不夠強，規模反而放大風險。
補範例救不了：架構性漏洞
作者也測了最便宜的修法——在少樣本提示中為每個領域加入一條偽裝範例（增強型偵測器）。結果只有部分見效：Llama 提升 10.2%，Gemini 提升 78.7%。論文的結論是：較弱模型上的漏洞是架構性的，不是偶然漏了幾個範例；補丁可以縮小缺口，補不掉缺口本身。
Hacker News 上的討論（38 點、4 則留言）提出了兩個公允的批評：實驗用的是較小、較舊的模型（Llama 3.1 8B 與 Gemini 2.0 Flash），未涵蓋前沿模型；Simon Willison 則在討論中指出，期待任何偵測器窮盡所有 token 組合「本質上很荒謬」——防線不能只靠偵測，還需要權限隔離與不可信內容的嚴格邊界。作者的框架、任務集與 payload 產生器已公開釋出，供社群復現與擴充測試。
參考來源
- Blind Spots in the Guard: How Domain-Camouflaged Injection Attacks Evade Detection in Multi-Agent LLM Systems — arXiv
- Domain-Camouflaged Injection Attacks Evade Detection in Multi-Agent LLM Systems — Hacker News
本文由 AI 協助自上述來源整理，經人工審核後發布。