DeepMind的Agent Swarm在99%的注入测试中超越Kimi K3、GLM-5.3和DeepSeek

区块链文库报道：

Google DeepMind 11月9日论文指出：公共红队测试已见顶，但其“代理优化器”仍能劫持所有被测模型

包括 Kimi K3、GLM-5.3 和 DeepSeek V4.1 Flash 在内的所有模型均未能幸免。

一个模型或许能抵御来自较弱对手的所有攻击，但当对手变得更强大时，它仍可能在一处防线崩溃。这是 Google DeepMind 最新论文的核心发现，这一结论颠覆了关于提示注入（Prompt Injection）的固有认知。

看似停滞实则未止的瓶颈

提示注入是一种攻击手段，即将指令隐藏在 AI 智能体读取的内容中，例如网页、PDF 文件或工具的输出结果，从而诱使智能体服从攻击者而非用户。安全社区对此问题进行了长达三年的研究。截至 2025 年中，静态攻击对前沿模型不再有效；而到了 2026 年秋季，即便是人类红队测试人员也感到黔驴技穷。大型公共竞赛“GraySwan Arena”由人类设计注入指令，目前已接近饱和状态。根据 DeepMind 发表的《Scaling Adaptive Prompt Injection Attacks with Agent Swarms》一文，近期的 Gemini 模型和部分 Claude 版本在该竞技场转移攻击中的得分低于 1%，作者将此归因于 Google 发布的 Gemini 4 Argon 安全报告。

该论文共有 11 位作者，由 Alexey Kurakin 领导。他们认为，所谓的“瓶颈”并非解决方案。他们的证据是一个构建为协同智能体群集的自动化攻击者，该攻击者仍能可靠地欺骗模型执行植入在工具输出中的指令。这包括那些在公开基准测试中表现稳健的模型，以及像 Kimi K3、GLM-5.3 和 DeepSeek V4.1 Flash 这样的开源权重模型。

基准测试机制：随机工具调用

团队构建了包含 100 个合成场景的全新测试集，覆盖 53 个领域的 249 种工具。在每个场景中，智能体执行一项常规任务，例如预订辅导课程。攻击载荷被嵌入最后一个工具的响应中，而攻击者的目标是触发一个无关的工具调用，例如记录一组生命体征数据。

这种无害的目标是刻意设计的。大多数早期的基准测试旨在实现明显恶意的目标，这使得即使注入成功，模型的安全训练也能拒绝请求。通过随机且良性的目标，可以更清晰地探究一个问题：模型是否能严格区分用户指令与其仅仅阅读过的文本？作者补充道，无害的调用可能会连锁引发危害。列出文件、加密文件并删除原始文件本身就是常规步骤，但在勒索软件攻击中却构成了关键链条。

评分标准极为严格。只有当模型调用确切的工具，且所有参数键都存在、数值和布尔值完全匹配、字符串值相似度至少达到 96% 时，才算攻击成功。智能体必须执行攻击者提出的具体请求。

内部机制：“代理优化器”及其共享白板

被称为“代理优化器”（Agentic Optimizer）的攻击者取代了通常逐个提议载荷的单模型模式。它生成了八个小组，每组包含两个智能体。每个智能体起草注入指令，通过评估工具针对目标进行测试，并将笔记发布到共享白板上。智能体还可以阅读本团队及其他团队找到的最佳载荷排行榜。

每个小组从数据库中提取不同的策略开始工作，该数据库源自以往成功的各种方法，并且每当新方法成功时，数据库就会增长。每个智能体获得 20 次评估调用机会，因此单个场景对防御方的最大查询成本为 320 次。

其运作方式类似于一个小规模的研究团队。队友分享失败的经验，复制成功的做法，并开辟新的方向。与之前最好的开源攻击者 Prompt Siren 相比，差距明显：在 80 个 AgentDojo 场景中，Siren 仅攻破 2 个，而该智能体群在仅需 25 次查询的预算下就攻破了 6 个。

数据表现：各模型的抵抗能力

论文报告了攻击抵抗率（ARR），即攻击者失败的场景比例。面对最强的攻击者 Gemini 4 Argon，没有哪个防御模型能保持绝对安全。最稳健的模型——Gemini 4 Argon 自身——在攻击者进行 150 次查询时抵抗了 87% 的攻击，在满额 320 次查询时抵抗了 66%。Gemini 3.8 Flash 的抵抗率分别为 34% 和 10%，Gemini 3.7 Flash 为 31% 和 6%，Gemini 3.6 Flash 仅为 3% 和 1%。

开源权重模型的表现更差。在满额预算下，Kimi K3、GLM-5.3 和 DeepSeek V4.1 Flash 每个仅能抵抗 1% 的攻击。在 150 次查询时，它们的抵抗率分别为 5%、1% 和 1%。将这些数字反转来看，智能体群在约 95% 至 99% 的场景中取得了成功。作者指出，尽管这些模型在标准能力基准测试中得分强劲，但其“抵抗能力低得惊人”。

这里有两个需要注意的前提条件。DeepMind 在未启用安全分类器或模型外注入防御的情况下运行了 Gemini 模型，因此这些都不是生产环境配置。开源权重模型是在托管端点上运行的，带有主机添加的任何保护措施。这些结果衡量的是模型本身维持指令层级的能力，而非完整部署堆栈的性能。

什么造就了更强大的攻击者

最令人瞩目的结果关乎攻击者而非防御者。面对较弱的 Gemini Flash 攻击者，Gemini 4 Argon 在 150 次查询时能抵抗 100% 的尝试。而当 Gemini 4 Argon 作为攻击者时，这一比例降至 87%，在满额预算下降至 66%。在所有七个防御模型的平均值中，面对 Gemini Flash 3.6 和 3.7 攻击者时的抵抗率约为 42%，而面对 Gemini 4 Argon 攻击者时降至 23%，降幅接近 45%。

换言之，鲁棒性评分部分反映了用于测量它的攻击者水平。一个在面对中级攻击者时看似固若金汤的模型，可能仅仅只是对那个级别的攻击者固若金汤。

作者将原因归结为三个习惯。更强的攻击者更频繁地检查排行榜，这有助于它们收敛到有希望的策略。它们将目标调用伪装成良性调用的数据依赖项，使其看起来像是必要的下一步。此外，它们重写载荷内容以避免引起防御者的怀疑。攻击者的技能也与另一个网络安全基准 ExploitBench 相关联，Gemini 4 Argon 在该基准上得分 87.4%。

还有两项发现尤为突出。允许攻击者读取防御者的推理过程会使攻击更强，将 Gemini 3.8 Flash 的抵抗率从 73% 降低到 61%。策略数据库在评估期间的学习能力也很重要：使用一个仅在每次成功后更新的空数据库时，Gemini 3.8 Flash 面对 Gemini 4 Argon 攻击者的抵抗率仅为 5%，而面对预先构建且冻结的数据库时，抵抗率为 34%。