待验证50% 置信事实精确时间

护栏往往是无状态的，只检查当下一条消息，而攻击推进是有状态的，利用了整段对话历史，形成检测能力与攻击手法的错配

1

来源数

50%

置信度

长期有效

时效性

2026/9/25

首次发现

来源

多轮对话攻破AI客服：没有恶意消息，护栏为何失效？

涉及实体

护栏concept 有状态攻击concept

相关事实

待验证推测执行过程中即使指令最终被回滚，其对缓存状态的影响仍会残留，攻击者可通过测量访存时延推断敏感数据71% 相似待验证在策略检查通过到执行器落地动作之间存在时间窗口，可能发生状态漂移、动作篡改和重放攻击70% 相似待验证使用'忽略之前的所有指令'这类语句是尝试重置系统提示的指令覆盖攻击手法67% 相似待验证ReAct架构的核心循环为Thought→Action→Observation，攻击者可以在Observation阶段注入恶意内容66% 相似待验证纵深防御策略通过输入验证、行为监控、沙箱隔离等多层机制形成互补，确保一层失效时其他层仍能生效65% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/949958

API

curl https://kongchang.com/api/v1/knowledge/claims/949958

MCP

get_claim(id=949958)