大模型安全分析链路的间接提示注入攻击面测量

摘要

安全运营中心正在把告警分诊、检测规则编写和代码审计交给大语言模型，判决环节一旦自动化，分析工具本身就变成了攻击目标。已有研究以模型是否服从指令作为攻击成功的判据，回答不了攻击面选择的操作性问题：载荷放在哪里、用什么方式隐蔽，效力最高。本文以防御判决劣化为度量对象，定义漏报率增量（Injection-induced False Negative rate，IFN）为主指标，构建包含 540 条载荷、45 个单元的注入矩阵，在 8 个模型配置上测量 3 类注入位置与 5 类隐蔽技术的效力差异。结果显示：工具返回位置效力最高，IFN 为 0.412，比被动数据源高 38.7%；语义伪装在效力与隐蔽性上综合最优，IFN 为 0.401 而自动检出率仅 12.6%；零宽字符最隐蔽但效力最低。跨载体复用率测量表明，工具返回位置与业务上下文解耦程度最高，换模型后仍有 81.4%维持效力。跨任务测量中检测规则生成最脆弱，规则破坏率由 0.9%升至45.6%。