超越提示注入：LLM 智能体安全中的工具更新缺口

基于大语言模型的智能体越来越依赖外部工具来调用服务并与网络资源交互。这些工具可能通过软件更新发生变化，但智能体框架可能仍会继续信任它们，而不在实现发生变更后重新验证其安全性。这种工具更新缺口在智能体系统中造成了供应链漏洞：由于更新后的工具代码在 LLM 的上下文窗口之外执行，嵌入工具更新中的恶意功能可以绕过以模型可见交互为中心的防御机制，使智能体暴露于隐蔽且持久的威胁之下，而现有的上下文内防御机制几乎无法应对此类威胁。为深入研究这一威胁，我们提出了 ETUDE（Exploiting Tool Updates for Direct Execution），这是一种将恶意功能嵌入原本无害的工具更新中，使工具遭到入侵，同时保留其正常功能的攻击。与基于提示的攻击不同，ETUDE 完全在 LLM 的上下文之外运行，无需任何对抗性指令，因此能够绕过仅针对模型可见内容的防御机制。我们在三类具有代表性的攻击工作负载和七个广泛使用的商业及开源智能体框架上评估了 ETUDE，其中包括 Gemini CLI、Codex CLI 和 Claude Code。结果表明，ETUDE 的攻击成功率（ASR）达到 97.6%，同时保持了 95.9% 的正常任务完成率。我们进一步考察了现有防御机制，发现它们无法对此类威胁提供充分保护。这些发现揭示了当前智能体安全实践中的一个根本性盲点：对工具建立的信任，在其实现更新后不一定仍然有效。