过去几年，围绕大模型安全的攻防研究主要关注一个问题：如何让模型违反原有的安全规则？

例如，通过角色伪装、指令覆盖、上下文操纵等方法，让模型忽略系统指令，或者诱导 Agent 执行未经授权的工具调用。

但随着 AI Agent 开始承担越来越多的实际业务任务，一个新的安全问题正在变得突出：

如果攻击者不需要修改 Agent 的指令，只需要操纵 Agent 所依赖的外部信息，是否同样能够控制它的行为？

2026 年 10 月，得克萨斯农工大学研究人员 Mengxiao Wang 和 Nitesh Saxena 发布了论文《Fake News, Real Crashes: Information Injection Attacks on LLM Financial Trading Agents》。

https://arxiv.org/pdf/2610.26438

研究人员以金融交易 Agent 为对象，构建了一套信息注入攻击框架，系统整理出 5 种信息注入方式、7 类虚假事件和 5 个防御方向，并通过约 10,000 次模型决策测试验证其风险。

实验发现，在研究所构建的参考交易 Agent 上，传统控制类提示注入的平均攻击成功率为 13.8%，而信息注入达到了 61.7%。

其中，两种不到 40 个英文单词的虚假事件模板，在测试的 15 只股票上均观察到了 100% 的决策改变成功率。

但这并不意味着攻击者已经能够在真实金融市场上制造崩盘。实验衡量的是受控环境中 Agent 交易决策的变化，而非真实市场的价格冲击。

这项研究真正值得关注的，并不是一种全新的攻击技术，而是一个正在被 Agent 自主化不断放大的安全问题：

当 AI 从生成内容转向执行行动，外部信息的真实性，正在成为决定系统安全的重要因素。

本文将围绕论文提出的三层框架，系统梳理信息注入的攻击机制、业务场景和防御体系，并进一步讨论其对企业级 Agent 安全建设的启发。

什么是 Agent 信息注入攻击？

1.1 从指令操纵到信息操纵

传统提示注入（Prompt Injection）主要针对 Agent 的指令执行机制。例如，攻击者试图让模型忽略开发者设置的安全规则，或者通过不可信的外部文档伪装系统指令。

信息注入（Information Injection）则采用了不同的方法。攻击者不要求 Agent 修改任何既定规则，而是直接污染 Agent 决策所依赖的事实、证据或业务数据。

假设一个金融交易 Agent 的正常工作流程是：

获取实时行情 → 分析市场新闻 → 综合判断风险 → 执行交易。

如果攻击者向新闻流中投放一条虚构的重大监管调查消息，Agent 可能会根据这条消息主动调整仓位。

整个过程中，Agent 没有忽略系统指令，没有越权调用工具，甚至没有违反任何内部交易规则。

它只是在错误事实的基础上，执行了一套看似合理的业务逻辑。

这正是信息注入的核心特征：

攻击者不需要改变 Agent 的行为规则，只需要改变 Agent 对外部世界的认知。

1.2 信息注入是不是数据投毒？

从更广义的安全分类看，信息注入与数据投毒存在明显重叠。

训练数据投毒通常通过修改训练样本影响模型参数；RAG 投毒通过污染检索知识库影响模型回答；Memory 投毒则通过修改 Agent 的长期记忆影响后续决策。

论文研究的信息注入，同样属于数据完整性受到破坏的攻击，只不过目标集中在运行时的公开信息流。

作者特别强调，攻击者并不需要获得系统内部知识库的写入权限，只需要具备正常的信息发布能力，就可能让虚假内容进入 Agent 的上下文。

因此，信息注入可以理解为一种面向 Agent 业务决策的推理时数据投毒攻击。

它与传统数据投毒的主要区别，在于攻击入口和最终目标，而非底层原理发生了根本变化。

1.3 与大模型幻觉的区别

信息注入也很容易与模型幻觉混淆。两者都可能产生错误的事实判断，但错误信息的来源不同。

幻觉通常指模型自行生成缺乏依据或与事实不符的内容；信息注入则是攻击者主动提供虚假证据，再诱导模型依据这些证据作出判断。

需要特别注意的是，信息注入成功时，模型不一定发生了幻觉。如果模型准确理解了一条虚假新闻，并在其成立的前提下完成了逻辑正确的分析，那么问题并不在于模型推理错误，而在于其没有验证事实前提。

这也决定了传统幻觉检测和提示注入检测，未必能够直接防御信息注入。

五种信息注入方式

论文首先建立了第一条攻击分类轴：Injection Vector，即信息操纵方式。

研究人员将其划分为五种类型。

V1：事实投毒（Fact Poisoning）

事实投毒是五类攻击中最直接的一种。攻击者构造一个具体、明确且可能产生重大业务影响的虚假事件，让 Agent 将其当作真实事实纳入推理。

在金融场景中，这类事件可能包括企业高管突发变动、监管调查、重大经营异常等。

它与普通情绪操纵的区别在于：攻击者提供的不是一种观点，而是一个声称已经发生的事实。

例如，当 Agent 读到一条关于重大监管处罚的虚假报道时，可能主动降低相关资产的风险敞口。

论文实验中，事实投毒的平均 ASR 达到 79.1%，在五种方式中排名第一。

这说明，对于具备金融领域知识的 Agent，重大业务事件本身就可能构成强烈的决策信号。

V2：情绪叙事操纵（Sentiment Narrative Manipulation）

这类攻击不需要编造明确事件，而是通过市场情绪、投资者预期等叙事影响 Agent。

例如，攻击者宣称某只股票的市场预期已经发生明显逆转，或者越来越多的投资者开始重新评估其风险。

这种信息往往很难直接证伪，因为它并不对应一个明确、可核实的事件。

论文中，这类攻击的平均 ASR 为 50.7%。

虽然低于事实投毒，但依然表明主观性叙事能够显著影响模型决策。

V3：选择性证据注入（Selective Evidence Injection）

选择性证据注入并不一定依靠完全虚假的事实。攻击者可以选择性呈现有利于特定结论的指标、分析师观点或市场信号，并忽略与之相反的信息。

例如，只强调成交量异常、短期技术形态和积极分析师评价，却不提供长期基本面恶化的证据。

对 Agent 而言，问题不仅是信息本身是否真实，还包括这些信息是否能够代表完整的证据。

论文中，这类攻击的平均 ASR 为 52.5%。

值得注意的是，论文的部分 V3 模板还包含要求模型仅依据所提供证据进行判断的表达，因此它并非完全排除指令诱导成分，而是一种数据选择与决策诱导相结合的攻击。

V4：结构化信号投毒（Structured-Signal Poisoning）

结构化信号投毒主要针对依赖数字指标和结构化数据进行判断的 Agent。攻击者伪造技术指标、统计数据或计算结果，使模型相信某种业务条件已经成立。

在金融领域，典型指标包括 RSI、MACD 和 ADX。

相较于自然语言观点，结构化数据往往更容易给模型一种精确、客观的印象。

但数字具有确定的格式，并不代表数据来源具有可信度。

论文中，这类攻击的平均 ASR 为 64.8%，排名第二。

需要注意，若 Agent 已有可信的原始行情数据，这类伪造指标可能被交叉计算识别。因此其有效性高度依赖 Agent 是否具备独立校验能力。

V5：协同多源信息操纵（Coordinated Multi-source Manipulation）

第五类攻击利用的是 Agent 对多源一致性信息的信任。攻击者通过文本声称多个新闻机构、投资研究团队或社交社区已经得出了相同结论，从而制造一种看似独立的共识。

例如，一条消息可以同时声称多家分析机构均已下调某企业的盈利预期。

但这里存在一个重要问题：

多个来源被一段文本同时提及，并不意味着这些来源真的独立验证了相关信息。

论文中，这类攻击的平均 ASR 达到 61.6%。

这提示我们，多 Agent、多来源和多轮讨论并不天然意味着可信度提高。真正重要的是证据之间是否具有独立性。

五种攻击方式的效果对比

数据来源：论文 Table 4，V-bench。实验使用 GPT-4o-mini 参考 Agent，覆盖 15 只股票，每种方式包含 5 个攻击模板，每组重复 10 次。

从实验结果可以看出，事实投毒明显强于其他方式。

这也引出了一个关键问题：是不是只要采用事实投毒，就能获得稳定的攻击效果？

答案并非如此。

攻击方式只是一个维度，被伪造的具体业务事件，同样决定了攻击的有效性。

七类虚假事件

为了进一步分析信息注入的业务特征，研究人员从约 130 种具有潜在价格影响的真实事件类型中，整理出了七个事件类别。

这构成了论文的第二条分类轴：Event Category，即被伪造的事件类型。

与前面的五种注入方式不同，这条分类轴强调的是攻击内容的业务语义。

数据来源：论文 Table 6，E-bench，990 次实验。

为什么监管与公司治理事件更有效？

作者发现，监管与法律事件、公司治理与内部人事件的平均成功率处于最高水平，而纯粹的情绪叙事事件成功率最低。

这一结果可以从 Agent 的业务推理逻辑中得到解释。

金融交易模型通常需要区分不同事件对资产价格的潜在影响。

重大监管处罚、经营资格限制、管理层突发变动等事件，往往具有明确的业务含义，模型也更容易将它们映射为具体的交易行动。

相比之下，市场情绪转弱、投资者态度变化等信息具有较强的模糊性，未必能够触发同样明确的行为。

这说明，攻击者不只是利用语言模型的文本理解能力，还在利用模型已经学到的行业知识。

当虚假事件与 Agent 的专业领域高度相关时，模型的领域知识可能反而放大信息污染带来的决策风险。

不过，不能简单地将某个事件类别的平均成功率当作全部具体事件的风险水平。

论文发现，即使属于同一类监管事件，不同事件的攻击效果也可能存在很大差异。

具体事件本身、信息表达方式、目标资产和 Agent 当前状态，都会影响最终结果。

构建 Agent 信息注入攻击框架

前面介绍的五种注入方式与七类虚假事件，并不是两套互相独立的攻击清单。

它们分别回答两个问题：

第一，攻击者如何操纵信息？

第二，攻击者伪造了什么业务事实？

两者组合之后，才构成更加完整的信息注入测试场景。

例如，一项企业并购事件既可以通过事实投毒进行伪造，也可以通过选择性证据进行包装；一类分析师评级事件，则可能同时利用选择性证据、结构化信号和虚假多源共识。

论文 Table 3 给出了两条分类轴之间的自然适配关系。

需要特别强调，上述关系并非排他性规则。一种注入方式可以用于多种事件，论文也没有完整实测全部 35 种组合。

研究实际构建了 62 个攻击模板，其中 25 个对应五种注入方式，37 个对应七类业务事件；事件类型的主要实验使用了其中 22 个模板。

因此，所谓“5 × 7”更适合被理解为一种双维度攻击分类框架，而不是已经完成全部组合验证的实验矩阵。

从金融场景推广到其他 Agent

这一分类方式的价值，在于它并不局限于金融交易。金融只是一个典型案例。

对于 SOC 安全运营 Agent，可以保留事实投毒、选择性证据、多源共识等注入方式，将业务事件替换为漏洞披露、威胁情报、异常登录、主机失陷等事件类型。

对于企业办公 Agent，可以将事件类型替换为审批状态、合同变更、组织权限、业务订单和客户请求。

对于 Coding Agent，则可以针对漏洞公告、依赖版本、构建失败、兼容性变更等信息设计测试场景。

这些迁移属于基于论文框架的工程延伸，尚不是论文已经验证的实验结果。

但它们说明，这套双维度方法可以作为企业构建 Agent 信息完整性评测集的基础。

实验发现

研究人员围绕攻击方式、目标对象、Agent 状态和系统架构进行了多组实验。

其中有三个结果尤其值得关注。

5.1 信息注入比传统控制类攻击更容易改变交易决策

在参考 Agent 上，信息注入的平均 ASR 为 61.7%，传统控制类提示注入为 13.8%，两者相差约 4.5 倍。

但这里需要特别注意实验环境。

研究使用的是一个以金融分析为主要目标的交易 Agent，其正常任务就是读取市场信息并决定是否交易。

因此，对于它而言，虚假金融新闻天然符合正常输入格式，而要求其忽略系统指令的攻击反而容易被拒绝。

此外，控制类攻击实验还包含工具操纵，而参考 Agent 本身并不提供可操纵的工具。剔除这类攻击后，论文报告的信息注入优势缩小为约 3.8 倍。

所以，这一实验更准确地证明了：仅靠传统提示注入评测，可能严重低估业务 Agent 的信息完整性风险。

5.2 攻击效果取决于 Agent 当前状态

论文发现，对于原本准备 HOLD（观望）的 Agent，伪造技术指标能够取得 91% 的 ASR。

但对于原本准备 BUY（买入）的 Agent，同类攻击的 ASR 下降到 12%。

原因在于，Agent 当前的判断状态会影响新信息能否改变其决策。

当模型原本倾向观望时，虚假的积极信号可能促使其建立仓位；当模型已经准备买入时，相似信号反而未必能够改变决策。

这一发现表明：

Agent 信息注入风险不仅取决于输入内容，还取决于 Agent 当前的业务状态。

因此，脱离业务上下文、单独对一段文本进行风险评分，很难完整反映信息注入的实际危险程度。

5.3 更多 Agent 不一定意味着更安全

研究人员还测试了三种多 Agent 架构：线性审核、星形聚合和平等辩论。

结果如下：

这组实验采用独立于前述 V-bench 的测试设置，因此其 ASR 不应与 61.7% 直接比较。

结果显示，层级式审核可以显著降低攻击成功率，而让多个 Agent 进行平等讨论并没有获得相同效果。

更值得注意的是，在三种架构中，虚假信息都进入了中间 Agent 的输出。

也就是说，层级架构的防御效果并不来自完全阻止虚假信息传播，而是来自下游 Agent 在执行前对证据进行审慎处理。

相比之下，平等讨论可能让多个 Agent 围绕同一条虚假信息形成看似一致的结论。

这揭示了一种潜在风险：多个 Agent 达成共识，不代表它们拥有相互独立且可靠的证据。

五个防御方向

针对信息注入问题，论文提出了五个防御方向。

这五个方向不应被理解为已经全部验证有效的防御产品。作者仅对层级聚合进行了直接的防御效果实验，其余方向主要属于待进一步验证的方案。

但从工程设计角度，它们可以形成一个相对完整的 Agent 安全防护体系。

R1：来源认证（Issuer-attested Channels）

第一项防御是验证信息的来源。

例如，对于企业重大事项公告，可以通过官方披露系统、可信发布渠道或者可核验的文件标识确认其出处。

它解决的不是文本看起来是否可信，而是信息是否确实来自声称的发布主体。

不过，来源认证并不等于事实真实。

数字签名只能证明信息来源，不能证明该来源发布的内容没有错误。并且，真正的突发新闻也可能暂时缺乏正式证明。

因此，来源认证适合作为事实可信度的重要组成部分，而不是唯一判断依据。

R2：动作条件门控（Action-conditioned Gating）

第二项防御直接作用于 Agent 最终准备执行的业务动作。

它并不要求每一条信息都必须被准确识别为真或假，而是根据证据可信度与动作影响程度决定是否允许执行。

例如，一条尚未得到证实的新闻可以进入 Agent 的分析过程，但不能单独触发大幅度仓位调整。

同样的思想也可以应用于其他 Agent。

SOC Agent 可以分析未经证实的威胁情报，但在证据不足时不应直接隔离大量生产资产。

企业办公 Agent 可以使用外部邮件进行辅助判断，但重大财务操作需要更强的证据和审批约束。

这一方向的核心是：

可以允许 Agent 接触不确定的信息，但不能让低可信信息直接触发高风险动作。

R3：独立多源核验（Corroboration Across Independent Feeds）

第三项防御要求关键事实经过独立来源确认。

这里最重要的不是来源数量，而是来源之间是否真正独立。

如果三个网站都转载了同一条未经证实的消息，那么它们不应被视为三个独立证据。

同样，如果多个 Agent 使用相同的信息源，得到一致结论也不构成事实核验。

一个更合理的验证系统，应当建立来源之间的引用关系、转载关系和证据依赖关系。

对于无法确认独立性的信息，系统应降低其证据权重，而不是因为重复出现就自动提高可信度。

R4：校准后的不确定性传播（Calibrated Uncertainty Propagation）

第四项防御要求 Agent 在推理链路中保留证据的不确定性。

传统 Agent 经常将外部文本总结成一个明确结论，然后交给下一阶段处理。

在这个过程中，原始信息中的不确定性可能逐渐丢失。

例如，一条未经证实的市场传闻，在新闻分析阶段可能被描述为“疑似重大事件”；经过几轮摘要与讨论，最终却变成了“已经发生的重大事件”。

不确定性传播要解决的，正是这种证据置信度在多阶段推理中被错误放大的问题。

系统应当让关键业务事实始终携带来源、核验状态及其可信度，避免后续 Agent 将低可信判断当作确定事实。

需要注意，模型自行给出的置信度不一定可靠。实际工程中还需要通过校准、外部核验和历史评测来提高其可用性。

R5：层级聚合（Hierarchical Aggregation）

第五项防御通过不同职责的 Agent 组成层级审核结构。

例如，多个分析 Agent 分别从不同角度评估输入信息，聚合 Agent 检查其中的矛盾和不确定性，最后由交易 Agent 根据审核后的结果决定是否执行。

这一机制与简单增加 Agent 数量存在本质区别。

真正起作用的是职责分离、独立分析、证据交叉检查和最终执行约束，而不是参与讨论的模型数量。

在论文实验中，星形聚合架构将平均 ASR 从单 Agent 的 75% 降低到 9%；如果以各架构自身的正常决策作为基线重新计算，星形结构的 ASR 约为 10%。

这也是五项防御方向中，目前具有直接实验支持的一项。

企业如何建立自己的 Agent 信息注入安全体系？

将论文提出的框架应用于企业实践，我认为可以从攻击评测和运行时防御两个方面入手。

7.1 建立基于业务语义的攻击测试集

首先，不应仅依靠通用提示注入模板评估 Agent。

不同业务领域需要建立各自的事件类型库。

例如，金融 Agent 的事件库可以包含监管、财报和企业治理事件；SOC Agent 的事件库可以包含漏洞、攻击活动和资产异常事件；企业办公 Agent 则可以包含审批、权限和业务状态变更。

然后，将这类业务事件与事实投毒、情绪操纵、选择性证据、结构化信号、多源共识等攻击方式进行组合。

论文提出的 5 × 7 框架，可以作为这种测试集构建方法的参考。

企业不需要机械复用金融领域的七类事件，而应根据 Agent 的业务职责重新设计事件分类。

7.2 将数据可信性检查与业务动作门控结合

其次，信息注入防护不能只停留在文本检测阶段。

对于企业 Agent，更合理的做法是建立从证据到动作的完整安全链路：

外部信息进入系统后，首先核验来源与关键事实，再将证据可信度纳入 Agent 的规划和推理过程。

当 Agent 生成候选动作后，独立的风险控制机制根据动作类型、影响范围、可逆性和证据强度判断是否允许执行。

这种架构的好处在于，即使系统无法准确判断每一条外部信息的真实性，也有机会在最终执行环节阻断高风险行为。

7.3 建立与业务状态相关的安全评测指标

第三，企业不应只关注攻击成功率。

论文指出，同一种攻击在不同 Agent 状态下表现可能完全不同。

因此，评测时至少应该考虑三类因素：攻击内容、Agent 当前业务状态、最终动作造成的影响。

另外，还必须同时衡量防御误报率。

如果一个系统通过拒绝所有突发新闻实现较低的攻击成功率，那么它虽然看起来安全，却可能严重损害业务能力。

因此，论文建议在固定误报率（FPR）下比较防御后的攻击成功率（ASR），并通过 ASR-FPR 曲线评价安全性与正常业务效用之间的权衡。

从工程角度，还可以进一步引入动作风险等级、误操作成本、额外延迟和模型调用成本，使评测更加接近真实部署条件。

7.4 将信息注入、数据投毒与幻觉治理统一考虑

最后，我认为企业没有必要为信息注入、RAG 投毒、Memory 投毒和模型幻觉分别建设完全割裂的安全体系。

这些风险虽然来源不同，但最终都可能表现为 Agent 基于错误事实做出决策。

一个更统一的治理思路是：

在数据层确保外部证据具有可追溯的来源和可信度，在推理层保留事实核验结果及其不确定性，在执行层根据业务影响进行风险约束。

这样既能够防御攻击者主动构造的虚假信息，也可以缓解非恶意的错误数据和模型幻觉造成的业务风险。

局限性

尽管论文进行了较为系统的实验，但仍有几个值得注意的边界。

首先，主要实验依赖一个基于 GPT-4o-mini 的轻量级交易 Agent，其风险暴露不代表所有成熟金融交易系统都具有相同的脆弱性。

其次，实验中的攻击成功率主要衡量交易动作或数量相对于正常基线的变化，而不是现实中的实际经济损失。

再次，攻击者向公开渠道发布虚假信息，与这些信息最终被真实 Agent 采集、排序、采信并转化为交易之间，仍然存在完整的现实链路。论文并未全面验证这一过程。

最后，作者提出的五个防御方向中，层级聚合具有直接实验验证，但来源认证、动作门控、多源核验和不确定性传播的独立防御效果，仍需要进一步研究。

因此，这篇论文更适合被理解为一项面向 Agent 信息完整性风险的系统化攻击评测研究，而不是已经证明某种信息注入攻击能够造成真实金融市场崩盘的研究。

从保护模型指令，到保护 Agent 的决策依据

传统大模型安全研究主要关注模型是否遵守指令、是否输出违规内容，以及是否执行未经授权的操作。

但 Agent 系统正在改变这一问题的边界。

当模型开始承担金融交易、安全运营、企业审批和自动化编程等任务时，安全风险不再仅仅来自攻击者要求模型执行什么，还来自攻击者让模型相信了什么。

这篇论文所总结的五种注入方式和七类虚假事件，为我们提供了一套分析数据完整性风险的分类方法。

而来源认证、动作条件门控、独立多源核验、不确定性传播和层级聚合，则为企业构建 Agent 决策安全体系提供了五个值得探索的方向。

从更广义的技术发展来看，信息注入并不是完全独立于数据投毒和模型幻觉的新问题。

真正发生变化的，是 AI 系统的能力边界。

过去，错误信息可能让模型生成一个错误答案；现在，同样的错误信息可能让 Agent 执行一个错误动作。

因此，Agent 时代的安全建设，不仅需要保护模型的指令执行边界，还需要保护模型所依赖的事实与证据，并为最终业务动作建立独立的安全约束。

这可能是信息注入研究最值得关注的现实意义。

声明：本文来自模安局，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。