提示词注入成为对抗LLM网络攻击的新防御手段

以GPT-4、Claude 3.5为代表的大语言模型正改变网络攻防格局，攻击者利用PentestGPT等工具构建自主渗透智能体，结合Kali Linux工具链自动完成侦察至权限提升的全流程。传统WAF和IDS依赖静态签名，难以应对具备多步动态推理能力的智能体，甚至阻断操作可能为智能体提供排错反馈。针对这一威胁，研究者提出将提示词注入视为主动防御武器，设计并实现了Mantis框架，旨在通过反向通道影响和误导攻击者模型。

Mantis框架的核心在于利用LLM智能体必须解析系统响应以制定下一步决策的机制。框架由Decoys诱饵服务和Injection Manager注入管理器组成，通过FTP或Web应用等高频脆弱服务作为诱饵，吸引智能体触发“超常刺激”偏好。当智能体连接诱饵时，注入管理器在响应中嵌入对人类不可见的提示词，利用ANSI转义序列或HTML注释隐藏载荷。这种隐蔽性确保了正常运维不受干扰，同时利用LLM在训练中对经典漏洞的先验偏好，诱导智能体执行防守方预设指令。

防守方无需与攻击者争抢真实漏洞，而是通过布置高诱惑力诱饵使智能体自乱阵脚。Mantis支持两种防御目标：主动防御通过诱导智能体执行间接命令，在攻击者主机上建立反向shell以获取控制权；被动防御则将智能体困入动态生成的假文件系统，使其陷入无限遍历循环，消耗其API费用与计算资源。实验表明，这种顺应模型意图的肯定式触发器比传统阻断指令更有效。

AI技术的演进正在重塑网络安全边界，提示词注入技术的双向利用表明，防御体系需从被动阻断转向主动博弈。