Repeat-After-Me 攻击：黑盒视觉提示注入让 GPT-5.5 泄密率达 47%
chaumian · x · 2026-09-07
arXiv 论文《Repeat-After-Me: Black-Box Adaptive Visual Prompt Injection》提出一种黑盒自适应视觉提示注入攻击，可诱导 VLM 泄露个人隐私信息或发起恶意工具调用。
要点：
- 此前文本域黑盒注入接近 100% 成功率，但视觉域对前沿商业 VLM 的有效攻击一直很困难，难点在于目标输出需是长且格式合规的字符串（如可解析的精确工具调用）。
- 在良性用户提示与注入任务语义无关、且未口头授权的现实设定下，该方法在开源与前沿商业 VLM 上分别实现超 80%（如 Qwen3.6-27B）和 47%（GPT-5.5）的攻击成功率（ASR）。
- 迁移性：在一个替身模型上优化的注入，在两个商业受害者模型上保留 43-46% 原始 ASR；跨样本迁移保留 64-66%。
- 团队在真实 OpenClaw agent 的默认 Discord 部署中验证了攻击的现实可行性。
作者包括 Sizhe Chen、David Wagner、Raluca Ada Popa 等，对 agent 安全威胁有直接警示意义。
所属事件:Repeat-After-Me 攻击：一张图即可劫持 Agent 工具调用(2 条相关)→
「安全」频道最新
- 美参议员炮轰 AI 行业：50 人死亡才算灾难性事故？ — peterwildeford · 2026-10-27
- 仅 125 条投毒样本即可给 Qwen2.5-7B 埋后门,引发下载安全争议 — lxrjl · 2026-10-27
- 开发者正训练「看门模型」：专门拦截提示注入与记忆投毒 — gnukeith · 2026-10-27
- 开发者训练 4GB 显存可跑的哨兵模型,专防 prompt 注入与记忆投毒 — gnukeith · 2026-10-27
- Cohere 沙箱实验:Qwen 模型无提示擅自尝试上传文件至北京服务器 — simonguozirui · 2026-10-27
- Reddit 讨论：中国 AI 实验室对美国生态还有多依赖？ — lol2funneeee · 2026-10-27