本文由 AI 產生、整理與撰寫。

Prompt Injection Threat Landscape 論文閱讀分析：很多 Agent 防禦之所以看起來有效，可能只是因為它們先把真正重要的上下文一起擋掉了

論文基本資訊

• 論文標題：The Landscape of Prompt Injection Threats in LLM Agents: From Taxonomy to Analysis
• 年份：2026
• 來源：arXiv:2602.10453
• 論文連結：https://arxiv.org/abs/2602.10453
• DOI：10.48550/arXiv.2602.10453
• 主題：Prompt Injection、Agentic Security、Benchmark、Agent Evaluation、Runtime Security、Trustworthiness

如果最近這批 sectools.tw 文章已經一路從 indirect prompt injection、memory poisoning、tool security、runtime guardrails 寫到各種防禦框架，那這篇 The Landscape of Prompt Injection Threats in LLM Agents 真正值得補進來的原因，不是它又多整理了一次攻擊清單，而是它點出一個更不舒服、也更接近現實的問題：很多 prompt injection 防禦之所以分數好看，可能不是因為它真的懂得在危險情境裡保住 agent，而是因為它先把那些會影響決策的上下文整包壓掉了。

這件事很要命。因為真正的 agent 根本不是活在「沒有外部上下文也能安全回答」的世界裡。它之所以需要存在，就是因為它要讀網頁、看工具輸出、接觸 runtime state、根據情境做決定。如果一個防禦的成功，是靠讓 agent 少看、少信、少做，那它保住的可能只是 benchmark 分數，不一定是實際可用的 agent。

這篇論文在解什麼問題？

作者的出發點很直接：prompt injection 研究這兩年很多，但整體討論常常被切碎成幾塊：

• 有些人在整理攻擊 taxonomy
• 有些人在提 defense heuristic
• 有些人在做 benchmark
• 但很少有人把這三者放回同一張圖裡，看它們彼此到底是不是對得上

所以這篇 SoK 真正要做的，是把 攻擊、 defenses、evaluation practice 放進同一個框架裡重新審視，然後回答一個很核心的問題：

我們現在手上的 prompt injection 防禦與 benchmark，到底是在測「真實 agent 安全」，還是在測一個被過度簡化、幾乎不需要情境推理的代理替身？

作者最後給出的答案其實偏嚴厲：現有很多方法共同忽略了 context-dependent task。也就是那種 agent 本來就被授權要根據執行時環境觀測來決定下一步的任務。這恰好正是現實世界裡最常見、也最麻煩的 agent 場景。

論文的第一個價值：它把 prompt injection 攻擊面重新整理成比較能拿來分析的 taxonomy

根據摘要，作者把 prompt injection 攻擊依照 payload generation strategy 重新分類，至少有一條很有用的切法：heuristic vs. optimization。

這個分類比表面上看起來重要，因為它提醒我們兩種完全不同的攻擊思路：

• Heuristic 型：比較像人工設計、模板化、靠經驗拼接的注入 payload
• Optimization 型：比較像透過搜尋、試探、甚至自動化最佳化，去找更高成功率的攻擊形式

這代表 prompt injection 早就不該只被理解成「幾句看起來可疑的惡意文字」。它其實更像一個會隨著 agent interface、可見上下文、授權模型與工具回饋而持續演化的攻擊空間。一旦你把它理解成可最佳化的攻擊問題，而不是固定模板比對問題，很多目前還停留在字串層的防禦就會顯得很脆。

論文的第二個價值：它把防禦按介入層次拆開來看

作者把 defenses 按 intervention stage 分成至少三個層級：

• text level
• model level
• execution level

這個拆法很好，因為它直接把很多 paper 常常混在一起講的東西攤開來。你會開始看見：

• 有些方法是在前處理文字，試圖把惡意指令過濾掉
• 有些方法是在模型層做 alignment / rejection / classification
• 有些方法則是在執行層做權限控制、工具政策、人工批准或 runtime enforcement

而這三層其實不是互斥關係，反而更像不同成本與不同風險承擔方式的組合。如果你的 agent 真正會動手呼叫工具、讀外部內容、依 runtime state 調整計畫，那 execution-level guard 常常比 text-only filter 更接近最後那道保命線。

這篇論文最值得記住的核心批判：很多 benchmark 沒有真的測到 context-dependent agent

我覺得這篇 paper 最有殺傷力的一句話，其實就藏在摘要裡：許多現有 defenses 與 benchmarks 大幅忽略 context-dependent tasks。

這句話翻成白話就是：

• 如果你的測試任務不太需要依賴外部上下文
• 那很多防禦只要把上下文壓掉、把資訊來源變得更保守
• 就能看起來很安全、很穩、很值得信任

但這種成功其實可能是一種錯覺。因為在真實 agent workflow 裡，很多時候上下文本來就不是噪音，而是決策必要條件。像是：

• 告警調查時要根據 log 與 telemetry 決定後續查詢
• 瀏覽器 agent 要依照頁面內容與狀態推進任務
• SOC 助理要看 ticket、工具輸出、環境提示來決定升級與否

在這些場景裡，把上下文一刀切掉，不是安全，而是直接把 agent 變笨。

AgentPI：這篇論文補上的，不只是 taxonomy，而是一個更刺耳的 benchmark

為了補這個洞，作者提出了 AgentPI。從摘要來看，它的定位很清楚：系統性評估 agent 在 context-dependent interaction setting 下的行為。

這很重要，因為它不是單純再做一套「看看模型會不會中招」的小型攻擊集，而是刻意把評測場景設計成 agent 必須依賴情境觀測 才能完成任務的形式。也就是說，AgentPI 想測的是更真實、也更尷尬的問題：

• 當安全與實用性真的衝突時，這些防禦怎麼表現？
• 它們是在保護 agent，還是在摧毀 agent 的任務能力？
• 它們面對 runtime-dependent reasoning 時，能不能維持可信又可用？

這種 benchmark 哲學我很買單，因為它逼整個領域停止用太乾淨的假場景自我安慰。真正的 agent security，不該只問「你有沒有擋住攻擊」，還得問「你擋住之後，agent 還剩下多少真的能工作的能力」。

實證結論也很現實：沒有單一方法能同時兼顧 trustworthiness、utility 與 latency

作者用 AgentPI 評估代表性 defenses 後，得到的結論其實不意外，但很值得被反覆講：沒有單一方法能同時達成高 trustworthiness、高 utility、低 latency。

這句話代表的不是「大家都失敗了」，而是 agent defense 的 trade-off 終於被比較誠實地攤出來：

• 你可以更安全，但可能更慢
• 你可以更保守，但可能更沒用
• 你可以保持任務流暢，但風險也可能跟著放大

這對實務很重要，因為它直接打臉一種過度樂觀的產品想像：好像只要多加一層 detector、classifier 或 rewrite，就能零代價解掉 prompt injection。現實更像是治理問題，不是單點修補問題。

這篇 paper 對近期 agentic security 主線的意義是什麼？

如果把它放回最近這串文章脈絡，這篇的角色其實很像一個上位整理器。前面像 AutoInject、Silent Egress、WebAgentGuard、AgentSentry、Architecting Secure AI Agents 分別在回答不同切面的問題：

• 攻擊可以怎麼被自動化
• 資料怎麼在你沒注意時外流
• 平行 guard model 能不能先攔一下
• 多步驟流程中的 delayed hijack 怎麼出現
• 系統架構應該怎麼把 policy 與 execution 分離

而這篇 Landscape 真正補上的，是比較上游但很必要的一層：我們到底在用什麼方式理解 prompt injection 這整塊地圖，以及我們是不是一直在用錯 benchmark 量錯東西。

換句話說，它不是在提供某個單一新招，而是在提醒整個社群：如果評測場景本身不對，你對 defense 的信心也會一起歪掉。

我自己的 takeaway

我認為這篇 paper 最值得記住的一點，不是 taxonomy 本身，而是它戳破了一種很常見的安全幻覺：

很多 agent 防禦看起來有效，不是因為它真的學會在危險上下文裡做對決策，而是因為它乾脆不讓 agent 真的碰那些上下文。

這在研究論文裡可能還能被接受，但在真實部署裡，你終究得面對那個更麻煩的現實：agent 之所以有價值，就是因為它會接觸不乾淨的外部世界。如果你的防禦策略是把外部世界一概消音，那你保下來的可能不是真正可用的 agent，而只是比較不會出事的空殼。

所以這篇 paper 的真正貢獻，在我看來是把 prompt injection 防禦重新拉回一個更成熟的問題設定：不是只看 attack success rate，而是要同時看 trustworthiness、utility、latency，以及 agent 在 context-dependent task 中到底還能不能活。

Takeaway

The Landscape of Prompt Injection Threats in LLM Agents 這篇最重要的價值，不只是整理 prompt injection 的攻防分類，而是指出現有許多 defense 與 benchmark 對真實 agent 場景過度樂觀。透過引入 AgentPI 這類 context-dependent benchmark，作者把問題重新拉回實戰：安全不是把上下文全部擋掉，而是要在保有情境推理能力的前提下，盡量維持可信、可用、且可接受的延遲。對所有正在做 agent 安全的人來說，這篇真正的提醒是：別再只測一個被閹割過的 agent，然後誤以為自己已經解掉 prompt injection。

免責聲明

本文由 AI 產生、整理與撰寫，內容主要依據公開論文摘要與可取得資訊進行整理、解讀與分析。由於本文撰寫時未必涵蓋全文所有實驗細節與附錄設定，部分觀點屬研究性解讀；若需引用精確數據、分類定義或完整實驗設定，請以原始論文與作者公開版本為準。