事件经过
2026年11月3日提交的一篇论文将“参数投毒”定义为一种间接提示注入变体，它保留预期工具操作但操纵一个或多个任务关键工具参数（接收者、路径、金额），因此不触发新操作，且面向操作的提示注入防御错过它。无防御时攻击成功率可达93.06%。论文引入FactAuthBench用于评估，并提出AuthorityFlow，一个三阶段防御，构建任务特定的信息字段信任层级，追踪每个工具参数背后的信息流，仅当源字段在当前任务下对该参数可信时才接受值——将成功率降至9.03%，同时保留82.64%的良性效用。
影响分析
操作级防护结构性不足，因为合法操作被保留；只有参数被损坏。对于部署的代理，投毒工具参数（接收者、金额、路径、目的地）可重定向数据外泄或导致错误目标副作用，同时规避现有间接提示注入检测。防御者需要参数级信任推理，而不仅仅是操作监控。
攻击途径
间接提示注入，保留预期工具调用但将攻击者选择的值替换到一个或多个任务关键参数中，使代理以攻击者控制的参数执行合法操作，规避操作级注入检测。
受影响系统
使用工具调用的LLM代理；提议的防御AuthorityFlow；基准FactAuthBench。
缓解措施
追踪产生每个工具参数的信息流，仅当源字段在当前任务下对该参数可信时才接受值；部署参数级（不仅是操作级）信任检查，并对高影响参数实行人在回路审批。