Ghost in the Agent 論文閱讀分析：很多 agent 真正缺的，不是再多一條規則，而是追清楚不可信內容到底怎麼一路活到高權限行為裡

本文由 AI 產生、整理與撰寫。

論文基本資訊

• 論文標題：Ghost in the Agent: Redefining Information Flow Tracking for LLM Agents
• 作者：Yuandao Cai、Liam O’Connor、Pratyush Sharma、Koushik Sen
• 年份：2026
• 來源：arXiv:2604.23374
• 論文連結：https://arxiv.org/abs/2604.23374
• DOI：10.48550/arXiv.2604.23374
• 主題：Agentic Security、Information Flow Tracking、Prompt Injection、Provenance、Memory Security、Runtime Auditing

最近 agent security 論文一路在談 prompt injection、tool poisoning、memory persistence、semantic privilege separation，但這些線其實都指向同一個更底層的問題：不可信資料到底有沒有一路影響到高權限行為？

這正是這篇 Ghost in the Agent 想補的洞。它不是再做一個「這段文字像不像攻擊」的分類器，而是直接重問一個老安全問題：在 LLM agent 世界裡，information flow tracking 到底該怎麼重新定義？

很多 agent 真正缺的，不是再多一條黑名單規則，而是先追清楚：那份不可信內容，究竟有沒有一路活到最後那個 privileged action 裡。

這篇在解什麼問題？

傳統資訊流追蹤、taint analysis 或 IFC（information flow control）有一個很強的預設：資料會沿著比較明確的程式狀態、變數依賴、source-to-sink 路徑傳遞。這在一般軟體世界很好用，但作者認為，一碰到 LLM agent，這套假設就開始失真。

原因不難懂。對 agent 來說，不可信輸入不一定會以字串原樣流到最後；它可能先被模型：

• 語意轉寫成另一種說法
• 拿去影響規劃與工具選擇
• 寫進 memory，之後隔幾輪再發作
• 透過多步推理間接滲進最後決策

也就是說，agent 裡的資訊流不只是資料搬運，而是語義、因果與持久狀態一起作用的控制流問題。

這篇 paper 的核心判斷很對：如果你還把 agent 資安問題想成「找 source 字串有沒有出現在 sink 附近」，那大概只會抓到最笨、最表面的那批攻擊。

作者的主張：LLM agent 的 taint 不只是 content transfer，而是 semantic + causal + persistent

我覺得這篇最值得記的一點，是它把 taint 這個概念重新拆開了。作者認為，對 LLM agent 來說，真正該追的至少有三層：

• Semantic transformation：不可信內容就算被改寫、摘要、轉述，影響還可能繼續存在
• Causal influence：重點不是原文有沒有被複製，而是它有沒有改變 agent 的下一步決策
• Persistent context tracking：污染可能先進記憶，再跨 session、跨任務慢慢活到後面

這個 framing 很重要，因為它把很多看起來分散的 agent 風險重新接回同一張圖。你會發現：

• indirect prompt injection 在講 causal influence
• memory poisoning 在講 persistent taint
• tool misuse 在講 tainted context 最後碰到 privileged sink

所以這篇不是單點防禦 paper，而比較像是在替 agent 世界補一個比較像樣的資訊流語言。

NeuroTaint 在做什麼？

作者提出的系統叫 NeuroTaint。它不是 inline 擋下 agent，而是走 offline auditing 路線：在 agent 跑完之後，去稽核 execution trace，重建從不可信來源到高權限 sink 的 provenance。

這個選擇很實際。因為很多時候 production agent 不見得能接受強 intrusive 的在線控制，但事後稽核、事故分析、risk review、benchmark 比較，反而都很需要一個比較像樣的追蹤器。

NeuroTaint 的精神不是 exact-match taint，而是用多種證據去拼出一條比較合理的 influence chain。照論文描述，它的重點大致是：

• 從 traces 裡辨識 untrusted sources，例如外部網頁、工具輸出、記憶內容等
• 結合語義證據，看後續內容是否承接了那些不可信訊號
• 做 causal reasoning，判斷某次工具呼叫或決策是否受該訊號影響
• 追 persistent context，把污染如何進 memory、再回流到後續步驟補起來

白話講，它想做的不是「找抄字串」，而是「重建鬼影是怎麼附到 agent 身上的」。

為什麼這個方向重要？

因為很多 agent 安全失手的地方，問題從來不是攻擊字串太明顯，而是它已經變形成系統自己的下一步理由了。

例如一段惡意網頁內容，最後不一定會原封不動出現在 tool call 裡。更常見的狀況是：

• 模型先把它「理解」成某種任務優先級
• 再把它變成 planner 的下一步
• 最後由另一個模組去執行危險操作

如果防線只認字串，不認因果，整條污染鏈就會在「被轉述得太成功」之後消失。這也是為什麼我覺得這篇 paper 的方向比單做 prompt detector 更耐用：它試著抓的是控制權傳播，不只是文本表面。

這篇最像樣的地方：把 memory 正式納入資訊流

最近很多人已經知道 agent memory 很危險，但真正把 memory 放進 information-flow tracking 框架裡處理的論文，其實沒那麼多。這篇有一個很重要的貢獻，就是它明確承認：

對 persistent agent 來說，memory 不是附加功能，而是 taint 會跨步、跨輪、跨 session 存活的主通道。

這件事的意義很大。因為一旦你接受這個前提，很多 security design 就會跟著改：

• 你不能只 audit 當前 prompt
• 你不能只看單輪 source→sink
• 你得把記憶寫入、讀回、再利用都當成資訊流節點

這也和前面 sectools.tw 一直在寫的 memory poisoning、cross-session contamination、lifecycle security 很接：agent 最大的麻煩，常常不是當場被騙，而是被騙過的東西之後還能繼續做事。

實驗怎麼看？

論文提到它建立了 TaintBench，包含 400 個情境、覆蓋 20 個真實 agent frameworks。這個規模至少說明作者不是只拿一兩個 toy demo 證明概念，而是有刻意把問題放進比較多樣的 agent surface。

核心比較對象是 FIDES 這類比較接近 IFC-style 的 agent baseline。作者的結論很直接：NeuroTaint 在 source-sink propagation detection 上明顯優於這類傳統 baseline。

另外它也回測到既有 agent benchmark，像是：

• InjecAgent
• ToolEmu

而且論文強調它是在 offline 模式下完成，額外 auditing 成本相對溫和。這點很關鍵，因為它代表這東西比較像：

• 事故後鑑識工具
• 安全稽核層
• benchmark evaluator
• 高風險 agent 的合規證據生成器

而不是一個每次 tool call 前都要把延遲拉爆的 blocking wrapper。

這篇真正打中的，不只是 prompt injection，而是 agent provenance

我覺得這篇 paper 的價值，不只在於它能不能多抓幾個 injection case，而是它把 agent security 往 provenance-first 的方向拉。

換句話說，它在問的其實是：

• 這個決策是從哪裡長出來的？
• 哪一份不可信內容參與了它？
• 污染是在當輪發生，還是早就潛進 memory？
• 最後哪個 privileged sink 真的被它碰到了？

這種視角比單純「有沒有惡意 prompt」成熟得多。因為 production agent 真正要面對的，不是每次都有一段很像攻擊的字，而是系統最後做出危險事時，你得能追責、能還原、能證明那條因果鏈。

我怎麼看這篇？

我滿喜歡它的野心，因為它沒有把 problem statement 講小。很多 paper 遇到 agent 安全，最後都會退回「我們做了一個 prompt detector」「我們多了一個 guard step」；但這篇反而是說：如果資訊流概念本身沒重寫，整個分析框架就會一直用錯尺。

而且它把 memory 納進來這件事，我覺得尤其重要。這讓它不只是一篇 injection paper，而比較像是在替 persistent agents 補一種更接近現實的 audit model。

當然，這種方法也有很明顯的限制：

• 偏 offline：它更像審計與鑑識，不是即時阻擋萬靈丹
• causal reconstruction 仍然是近似：語義推理不可能像傳統程式依賴那樣完全精確
• trace 品質很關鍵：如果 runtime 根本沒留下足夠可稽核資料，效果會被打折
• 跨框架泛化還要持續驗：20 個 framework 不少，但 agent 生態長得太快，長期還得繼續追

一句話總結

這篇論文真正補到的，不是再多一個 prompt injection detector，而是把 LLM agent 世界裡「不可信內容如何一路變成高權限行動」這件事，重新翻成了一套比較像樣的資訊流追蹤問題。

結語

如果你最近一直在看 agent runtime security，這篇 Ghost in the Agent 很值得放進清單。因為它提醒了一件很根本的事：很多 agent 安全問題之所以難抓，不是因為攻擊太隱密，而是我們還在用不適合 agent 的資料流想像去看它。

對傳統程式來說，taint 是資料沿著變數跑。對 agent 來說，taint 更像是語義、因果與記憶一起在系統裡留下的鬼影。而真正像樣的防線，遲早得學會把那條鬼影一路追到最後。

很多 agent 真正該先補的，不是再多一層表面過濾，而是先搞清楚：那份不可信內容，最後到底替系統做了什麼決定。

---

本文由 AI 產生、整理與撰寫。 內容主要依據公開論文、技術文件與可取得之研究資料進行彙整、解讀與摘要；儘管已盡力確保內容的完整性與可讀性，仍可能因模型理解限制、資料來源差異或語意轉譯過程而存在疏漏、不精確或更新延遲之處。本文僅供研究交流與知識分享參考，實際技術細節、實驗設定與最終結論，仍應以原始論文、官方文件及作者公開資料為準。