CausalArmor：基于因果归因的高效间接提示注入防护框架 CausalArmor: Efficient Indirect Prompt Injection Guardrails via Causal Attribution

CausalArmor的完整防御流程包含四个步骤。第一步是批量LOO归因计算（Step 1: Batched Attribution Check）。当智能体提出特权动作 $Y_t \in \mathcal{T}_{priv}$ 且存在不可信片段 $S_t \neq \emptyset$ 时，系统使用代理模型 $M_{proxy}$（如Gemma-3-12B-IT）计算归因值。由于各片段的LOO计算相互独立（$C \setminus S_1, C \setminus S_2, \ldots$），系统将完整上下文和所有消融上下文组合成一个批次 $\mathcal{B}$，通过单次前向传播完成计算，大幅降低延迟。计算得到的归因值按动作token长度 $|Y|$ 进行归一化：$\bar{\Delta}_X(Y) = \Delta_X(Y) / |Y|$，以确保边距 $\tau$ 在不同工具调用间的鲁棒性。第二步是支配偏移检测，系统检查是否存在满足 $\bar{\Delta}_S > \bar{\Delta}_U - \tau$ 的不可信片段，标记为待处理集合 $B_t(\tau)$。第三步是选择性上下文感知清洗（Step 2: Selective Context-Aware Sanitization）。当 $B_t(\tau) \neq \emptyset$ 时，系统使用LLM（如Gemini-2.5-flash）对 $B_t(\tau)$ 中的片段进行清洗。关键优势在于，由于防御是由特定拟议动作 $Y_t$ 触发的，清洗器可以同时以用户请求 $U$ 和动作定义作为上下文，从而精确区分注入触发器和合法信息。第四步是回溯性思维链遮蔽（Step 3: Retroactive CoT Masking）。如果智能体已经在之前的推理步骤中'内化'了恶意指令，仅仅清除输入中的注入是不够的。因此系统将检测到攻击后的所有后续助手推理轨迹替换为通用占位符（如'[推理因安全原因被编辑]'），迫使智能体仅从用户请求和清洗后的数据重新推导计划，物理性地阻断被污染推理意图的传播。

CausalArmor的技术新颖性体现在多个层面。首先，形式化层面——论文首次将IPI攻击明确形式化为特权决策点上的'支配偏移'问题，并将其与可测量的LOO归因特征关联起来。这种形式化不仅提供了直觉性的理解框架，还支撑了第4.3节的理论分析，证明了基于归因边距的清洗能产生指数级衰减的攻击成功概率上界。其次，效率层面——通过批量推理和代理模型两个优化，将原本需要对每个片段进行独立模型查询的LOO归因计算压缩为单次前向传播。研究证实，即使使用比主模型小30倍的代理模型，归因分数仍保持高度一致性。第三，选择性防御机制——与已有方法的'始终在线'策略不同，CausalArmor只在检测到因果支配偏移时才触发昂贵的清洗操作。即使是最简单的设置（$\tau = 0$），也能将攻击成功率降至接近零，同时将良性延迟保持在无防御基线附近。第四，回溯性思维链遮蔽——这一机制解决了一个此前被忽视的问题：即使清除输入中的注入，智能体内部的'被毒化'推理轨迹仍可能导致攻击再次发生。通过强制重新生成推理链，CausalArmor有效阻断了这种残余泄漏。

从独立分析的角度来看，CausalArmor存在以下几个值得注意的弱点。第一，归因计算的粒度问题——当前LOO归因以工具结果（一个turn的一个工具调用输出）为粒度进行，这在面对精心设计的攻击时可能不够细粒度。例如，攻击者可能在单个长工具输出中混合合法信息和恶意指令，此时整体归因值可能不会显著高于用户请求，导致漏检。改进方向可以是引入段落级或句子级的自适应归因粒度。第二，边距参数 $\tau$ 的敏感性——虽然论文展示了 $\tau$ 对安全性-效用权衡的控制能力，但最优 $\tau$ 值可能因任务类型、攻击模式和主干模型而异。缺乏自动化的 $\tau$ 调优机制是一个实际部署中的挑战。改进方向可以是开发基于验证集的自适应阈值选择方法。第三，二阶段防御的串行性——清洗和CoT遮蔽是串行执行的，这意味着如果清洗失败（例如攻击者的注入设计为抵抗清洗），后续的CoT遮蔽也无法完全弥补。改进方向可以是设计更紧密耦合的防御机制。第四，对良性场景中低归因的处理——论文提到低 $\Delta_U$ 本身不构成攻击信号，因为良性能力失败也会降低用户归因，但在 $\Delta_U$ 异常低但无明显支配偏移的边界场景中，系统可能错过某些隐蔽攻击。改进方向可以是引入多信号融合的检测机制。

论文和可延伸的研究方向包括以下几个方面。第一，多模态扩展——论文明确提到未来工作可能扩展到多模态上下文。随着多模态智能体的普及，图像、音频、视频中的隐藏注入也将成为威胁，需要设计跨模态的因果归因方法。第二，复杂因果依赖链——当前方法主要关注单步决策点上的因果偏移，但在多步推理任务中，攻击可能通过多跳因果链逐步积累影响。需要开发能够捕获跨步骤因果传播的归因机制。第三，自适应攻击者防御——虽然论文在DoomArena上测试了自适应攻击者，但攻击者可能采用更复杂的策略，如分散注入（将恶意影响分散到多个片段以弱化单个片段的归因信号）、时间延迟攻击（在多个回合中逐步累积影响）或对抗代理模型（针对特定代理模型架构优化攻击）。第四，代理模型的持续验证——论文建议定期重新验证代理模型的归因行为，但如何自动化这一过程、如何检测代理模型与主模型之间的分布偏移，仍需进一步研究。第五，与其他防御层的集成——论文建议将CausalArmor作为防御纵深策略的一层，与最小权限工具设计、用户确认、审计监控等互补控制结合使用，这些集成方案值得深入探索。第六，隐私保护归因——在涉及敏感数据的场景中，如何在不暴露具体内容的情况下进行归因计算，是一个有趣的隐私保护扩展方向。

从复现评估的角度来看，论文提供了较为完整的实验描述。基准数据方面，AgentDojo和DoomArena都是公开可获取的标准基准，数据集配置和任务定义在各自论文中有详细描述。模型方面，论文使用了Gemini-2.5-flash、Gemini-2.5-Pro、Claude-4.0-Sonnet作为主干模型，Gemma-3-12B-IT作为代理模型进行归因计算，Gemini-2.5-flash作为清洗器。这些模型均为商业API模型，需要相应的API访问权限和计算预算。算力方面，LOO归因的批量推理虽然通过代理模型和批处理进行了优化，但仍需要一定的GPU资源来部署代理模型（论文使用vLLM服务Gemma-3-12B-IT）。代码和数据方面，论文未明确提及开源计划，但描述了足够详细的方法细节以供复现。主要的复现挑战在于：需要访问多个商业LLM API、需要部署vLLM服务、需要理解AgentDojo和DoomArena的评估协议、以及需要正确实现归因边距的归一化逻辑。总体而言，对于具备相应资源和经验的研究团队，复现难度中等。