StateFence：为蓝队LLM智能体守住任务状态，抵御证据链污染

当安全运营中心遇上间接提示注入

蓝队LLM智能体正在成为SOC（安全运营中心）中的常见角色：它们读取告警、提取IOC、生成事件摘要、推荐响应动作。但这也打开了一条新的攻击路径——间接提示注入。攻击者无需直接与模型对话，只需把恶意指令藏进遥测数据、工单、检索结果或记忆中，模型就可能将其当作合法输入，在后续推理中一步步传播。

这篇论文将这种失效模式命名为证据链污染（evidence-chain contamination of protected task state）。其核心洞察是：一个可疑字符串是否危险，取决于任务本身。同一段文本，在摘要任务中可能是必须剔除的恶意控制指令，在IOC提取任务中却可能是关键证据。简单地“一律过滤”会误伤证据，而不加区分地信任则会引入污染。

间接提示注入（Indirect Prompt Injection）是相对于直接提示注入而言的一类攻击方式。直接注入中，攻击者直接在对话输入里写入“忽略以上指令”之类的内容；间接注入则把恶意指令预先埋藏在模型后续会读取的外部数据里——网页、文档、邮件、工单字段、检索库条目、甚至是智能体的长期记忆。当LLM应用被设计为“读取这些数据并据此行动”时，数据中的指令就会与用户的真实指令混在同一上下文中，模型往往难以区分哪部分是“内容”、哪部分是“命令”。在SOC场景下，告警描述、日志字段、威胁情报摘要通常来自外部或半可信来源，天然构成间接注入的载体，这也是蓝队LLM智能体面临该风险的根源。

IOC（Indicator of Compromise，妥协指标）指可用于识别入侵痕迹的观测值，常见类型包括恶意IP地址、域名、URL、文件哈希（MD5/SHA-256）、注册表键、进程名等。SOC分析师和自动化工具通过提取IOC来关联告警、检索情报库并驱动阻断动作。IOC提取任务的特殊性在于：越可疑、越像攻击产物的字符串，越可能是真正有价值的证据。这与“过滤可疑内容”的防御直觉直接冲突，也正是证据链污染问题中任务依赖性的具体体现。

StateFence 的设计思路：状态保护而非一刀切过滤

StateFence 是一个任务感知的评估与防御框架。它把四类输出视为受保护状态：严重性标签、事件叙述、响应策略和IOC集合。防御不是全局启用的，而是根据被攻击的状态来路由——攻击者试图篡改哪个状态，防御就在哪个状态上生效。

这种设计直接回应了任务依赖的难题。框架将间接提示注入攻击映射为四种SOC证据攻击形态：显式攻击、隐蔽攻击、多跳攻击和持久化攻击。每种形态对应不同的传播路径和可观测痕迹，StateFence 记录这些痕迹，并据此选择防御策略。

四种攻击形态的区分

显式攻击容易识别，隐蔽攻击则把恶意指令伪装成正常数据格式；多跳攻击利用多个中间步骤逐步腐蚀状态；持久化攻击则试图将污染写入记忆，影响后续任务。StateFence 的价值在于不假设攻击只有一种面孔，而是为每类攻击保留可追踪的传播线索。

多跳攻击（multi-hop attack）借用了多跳推理的思路：攻击者不指望单条恶意文本直接改变最终结论，而是让污染经过若干中间步骤逐级传递。典型链路是“遥测字段污染→告警摘要失真→事件叙述偏移→响应策略误判”，每一跳单独看都像合理的推断，只有回溯整条证据链才能发现源头异常。这类攻击的可观测性依赖中间状态是否被记录，因此防御方需要在每个状态转换点留下痕迹。

持久化攻击（persistent attack）针对的是智能体的记忆机制。当LLM智能体具备跨会话的长期记忆或任务状态缓存时，攻击者可以把恶意指令写入会被反复召回的记忆条目，使其在后续多个不相关任务中持续生效，形成“一次污染、长期驻留”的效果。与单次会话内的注入相比，持久化攻击的检测窗口更长、清除成本更高，往往需要对记忆写入做来源校验与生命周期管理，而不仅是过滤输入。

实验验证：降低攻击成功率，同时保住任务效用

论文在受控SOC案例和公开SOC验证案例上测试了StateFence。结果显示，该框架降低了攻击成功率，并减少了那些“只有在证据被污染后才暴露”的失败类型。另一边，任务效用得到保留，且避免了因任务不匹配的过滤而导致的指标丢失——也就是说，该保留的证据没有被误删。

这里的关键权衡在于：安全防御不能以牺牲检测能力为代价。如果为了阻断注入而把IOC提取所需的可疑字符串全部过滤掉，蓝队智能体就失去了发现威胁的能力。StateFence 通过任务感知的路由，试图在两者之间取得平衡。

任务效用（task utility）在此处指智能体完成本职工作的能力，通常用检测召回率、IOC提取准确率、事件摘要质量或响应建议正确率等指标衡量。安全防御与任务效用之间存在结构性张力：过度清洗输入会提升攻击阻断率，却可能删掉真实威胁证据，导致漏报；放宽过滤则保留检测能力，但让注入有机可乘。因此评估这类防御框架时，需要同时报告攻击成功率与任务效用两组指标，仅看前者会掩盖“以牺牲检测能力换取安全”的代价。StateFence的实验设计正是围绕这一对指标展开的。

对蓝队智能体设计的启示

这项研究传递出一个明确信号：稳健的蓝队LLM智能体不能只依赖输入清洗，而需要具备在不可信证据下保护任务关键状态的机制。具体而言，状态需要被显式定义和隔离，防御策略需要与任务目标绑定，传播痕迹需要可观测。

对于正在将LLM引入安全运营的团队，这意味着在架构设计阶段就要考虑：哪些中间决策属于受保护状态？当证据来源不可信时，如何判断一个字符串是控制指令还是关键证据？StateFence 提供了一个可参考的框架，但更根本的是任务状态保护的思路——把安全边界画在状态上，而不是画在输入上。

论文的局限在于，实验集中在SOC场景，其他领域的蓝队任务是否适用仍需验证。此外，多跳和持久化攻击的防御效果依赖于痕迹记录的完整性，实际部署中的开销和覆盖范围是后续需要关注的问题。