arXiv cs.AI· Weihang Niu, Mengxing Ren, Che Qu·· 14 小时前AI 评分44
Scope-Gap Injection：利用评估器通道盲区攻击 OpenClaw 智能体安全赛
Scope-Gap Injection: Exploiting Evaluator Channel Blind Spots in the OpenClaw Agent Security Competition
AI 导读
研究者提出 Scope-Gap Injection（SGI）间接提示词注入方法，利用多阶段 LLM 智能体安全流水线中 S2 评估器只检查任务与技能定义、不检查附件内容的范围差，把目标标识、绕过参数和授权流程藏进伪装成业务工作清单的附件。
正文 · AI 翻译
摘要：本文提出 Scope-Gap Injection（SGI），一种针对多阶段 LLM-agent 安全流水线的间接提示注入方法。在 IJCAI 2026 OpenClaw Agent Security Attack Competition 中，每个攻击包都要经过静态技能扫描（S1）、针对任务与技能定义的 LLM 裁判安全检查（S2）以及实时执行审计（S3）的评判。我们的观察表明存在范围缺口：S2 似乎只检查任务指令和技能定义，而不检查附件内容，而 agent 在 S3 阶段会读取附件。SGI 保持可见的任务和技能无害，同时将目标标识符、绕过参数和授权流程移入一个以业务工作清单形式编写的附件中。因此 S2 裁判看到的是无害任务，而 agent 则遵循隐藏的工作清单并触发权限绕过。在 OpenClaw 中，SGI 对 19 个目标中的 5 个绕过了全部三个阶段。得分最高的单次提交达到 $F = 0.385$。在整个提交活动中，附件放置方式相比技能内放置方式与更高的 S2 总体接受率相关：78% 对 23%。最后，我们提出了使评估器范围与 agent 可用通道对齐的防御措施。
| 主题： | 人工智能（cs.AI）；密码学与安全（cs.CR） |
| 引用为： | arXiv:2610.34777 [cs.AI] |
| （或 arXiv:2610.34777v1 [cs.AI] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2610.34777 arXiv 颁发的 DOI 通过 DataCite（待注册） |
提交历史
来自：Ren Mengxing [查看电子邮件]
[v1]
2026 年 10 月 26 日星期一 03:24:52 UTC（21 KB）
来源：arXiv cs.AI · arxiv.org