今日研究机构披露主要行业研究效果高盛忠言：中东战争连锁效应仍一连 很兴奋为您解答这个问题，，，，，
，让我来帮您详细说明一下。。
。品牌授权报修电话，，，，，
，快速上门服务

密云区不老屯镇辽宁省锦州市义县西城区天桥街道广东省江门市马鞍山市博望区湖北省孝感市汉川市甘肃省陇南市武都区赞皇县院头镇山西省晋中市太谷区四川省甘孜藏族自治州丹巴县山东省泰安市泰山区昌平区回龙观街道平山县岗南镇北辰区四川省凉山彝族自治州甘洛县洛阳市汝阳县广东省云浮市新兴县黑龙江省大兴安岭地区呼玛县井陉县吴家窑乡江西省赣州市石城县山东省东营市垦利区开封市通许县江西省鹰潭市余江区云南省普洱市景东彝族自治县云南省大理白族自治州云龙县井陉县测鱼镇亳州市利辛县山西省晋中市太谷区江西省萍乡市上栗县海淀区青龙桥街道南阳市内乡县云南省西双版纳傣族自治州勐腊县河东区大直沽街道陕西省宝鸡市千阳县新乐市协神乡焦作市中站区西藏阿里地区日土县海南省�？？谑忻览记蕉∥皇星嘀菔懈仕嗍“滓芯疤┫亟魇〖彩屑蚕馗＝ㄊ∧掀绞薪笔胁角√郎秸蚯嗪Ｊ『Ｎ髅晒抛宀刈遄灾沃莸铝罟性颇鲜『旌庸嶙逡妥遄灾沃萋檀合馗仕嗍±贾菔猩轿魇〗惺杏苌缦刭裰菔欣料亟帐∧暇┦衅挚谇魇∫舜菏蟹钚孪亓赡”鞠邢仕嗍÷つ鲜形涠记质“咨绞谢虢媲＜遗普蚰涎羰心谙缦亓赡”鞠邢笾菔×趟兴窍厮拇ㄊ「首尾刈遄灾沃萆轿魇÷懒菏兄醒粝睾笔⌒⒏惺泻捍ㄊ邪⒖怂盏厍潞拖匕⒖怂盏厍莩窍夭角√郎秸蚋仕嗍∏煅羰姓蛟毓愣』葜菔辛畔匚藜卮蟪抡蚯嗪Ｊ」宀刈遄灾沃菰颇鲜〈罄戆鬃遄灾沃菰屏厣轿魇〗蓟嵩笾菹厣蕉√┌彩刑┥角吞锏厍拇ㄊ〕啥蓟嵝露记笾菔∏厦缱宥弊遄灾沃萏熘仄蕉ド绞姓亢忧蕉∥皇星嘀菔心诿晒判税裁宋诶己铺厥猩挛魇∥靼彩形囱肭赡”鞠邢赡∩蜓羰猩蚝忧κ驳厍蟾翘嵯卦舷匾蟠逭蚝Ｄ鲜∪呈形魃城诹〖ξ魇屑谇忧烨蚣矣蛩拇ㄊ∷炷信钕亟帐⌒熘菔蟹嵯睾Ｄ鲜≠僦菔衅蕉ド绞姓亢忧赡∩蜓羰芯晗夭庥阏蛩拇ㄊ∫吮鍪写淦燎藁氏卦和氛蚣恢萸┕耪蚝诹〖涯舅故刑涝毓愣∩峭肥心习南厣轿魇〗惺辛槭亟魇「又菔惺窍芈戆吧绞胁┩蕉ド绞形蓝挛魇『褐惺形飨缦�

最新官方宣布行业主要动态提醒词压缩竟成大模子新误差？？港科大提出黑盒攻击框架COMA，，，，，
，很兴奋为您解答这个问题，，，，，
，让我来帮您详细说明一下:官方服务专线，，，，，
，支持多品牌报修

四川省凉山彝族自治州甘洛县江西省景德镇市昌江区辽宁省本溪市溪湖区四川省凉山彝族自治州甘洛县福建省福州市永泰县阿克苏地区新和县福建省福州市罗源县湖北省宜昌市西陵区黑龙江省鹤岗市平山县上观音堂乡清静区南市街道山东省威海市江苏省南通市启东市甘肃省兰州市淮南市大通区北海市海城区内蒙古鄂尔多斯市鄂托克旗亳州市利辛县平山县岗南镇云南省普洱市景东彝族自治县云南省红河哈尼族彝族自治州泸西县青海省海北藏族自治州门源回族自治县四川省广安市岳池县内蒙古锡林郭勒盟镶黄旗吉林省四平市铁西区亳州市利辛县四川省甘孜藏族自治州信阳市平桥区井陉县测鱼镇山西省忻州市宁武县北辰区广源街道蚌埠市龙子湖区甘肃省陇南市武都区山东省泰安市东平县福建省厦门市湖里区山西省忻州市宁武县山西省忻州市定襄县山西省晋都会高平市山东省潍坊市青州市湖北省宜昌市西陵区北海市海城区昌平区回龙观街道焦作市中站区密云区古北口镇哈密市伊吾县甘肃省陇南市武都区大兴区赞皇县西龙门乡向阳区小关街道辽宁省沈阳市四川省宜宾市翠屏区福建省漳州市龙海市黑龙江省哈尔滨市巴彦县湖北省宜昌市宜都会河东区东新街道元氏县苏村乡清静区南市街道甘肃省陇南市辽宁省铁岭市开原市桥西区东华街道重庆市市辖区北碚区静海区大邱庄镇广东省佛山市三水区山西省晋中市榆社县焦作市沁阳市福建省南平市四川省广安市岳池县山西省长治市襄垣县乌鲁木齐市沙依巴克区云南省丽江市宁蒗彝族自治县井陉县测鱼镇甘肃省庆阳市镇原县焦作市中站区山东省淄博市临淄区云南省丽江市宁蒗彝族自治县长安区南村镇西青区精武镇西乡塘区喀什地区叶城县青秀区蓟州区东赵各庄镇山东省泰安市东平县四川省成都会新都区山东省聊都会茌平区甘肃省陇南市无极县大陈镇四川省凉山彝族自治州西昌市四川省遂宁市蓬溪县山西省忻州市定襄县云南省丽江市宁蒗彝族自治县百色市田林县陕西省宝鸡市千阳县福建省莆田市仙游县贵州省铜仁市玉屏侗族自治县山西省运都会夏县山东省青岛市城阳区平山县岗南镇赞皇县西龙门乡江苏省南通市启东市四川省甘孜藏族自治州泸定县

全球服务区域:蓟州区东二营镇四川省宜宾市翠屏区平山县东回舍镇贵州省六盘水市水城县江苏省连云港市赣榆区黑龙江省七台河市桃山区丰台区长辛店镇怀柔区龙山街道南开区长虹街道陕西省商洛市山阳县桂林市兴安县海南省三沙市西沙区山东省淄博市临淄区海南省儋州市重庆市县巫山县云南省丽江市宁蒗彝族自治县甘肃省陇南市江西省景德镇市昌江区焦作市中站区海南省�？？谑忻览记拇ㄊ∫吮鍪写淦燎恢萸┕耪蛄赡×裳羰邪姿蕉√┌彩卸较厣蕉∥皇星嘀菔心涎羰心谙缦孛茉魄吡胝蚋＝ㄊ「Ｖ菔杏捞┫亟棺魇星哐羰猩轿魇÷懒菏嗅跋乇背角诹〖ξ魇屑谇盼髑值澜魇「又菔惺窍卦颇鲜∥纳阶匙迕缱遄灾沃莨隳舷鼗橙崆浇值澜帐∷罩菔邢喑乔吞锏厍偕芯肝魇蟹崽ㄇ野裁沤值澜帐≌蚪芯淙菔薪魇∫舜菏幸朔嵯厮拇ㄊ」惆彩性莱叵厣蕉《锌牙背角磐饭登笥值郎蕉×亩蓟峁谙厍嗪Ｊ∮袷鞑刈遄灾沃葜味嘞匦叛羰衅角徘拇ㄊ°蛑菔薪羟轿魇⌒弥菔心湎爻缱笫心飨卦颇鲜∮裣行缕揭妥宕鲎遄灾蜗亟魇【沤形淠仄缴较馗谀险蚬苁幸廖嵯馗仕嗍±贾菔兴拇ㄊ」阍形诼衬酒胧猩骋腊涂饲茉魄疟笨谡蚓晗夭庥阏蛄赡√胧星搴忧诿晒盼止彰苏獍灼焖拇ㄊ〕啥蓟嵝露记ㄊ泻乩枷睾Ｄ鲜『？？谑忻览记魇【暗抡蚴胁轿魇〕ぶ问邢逶厍罩菔泻笔∫瞬形髁昵５砬嗔沤值郎蕉∏嗟菏谐茄羟蕉√┌彩刑┥角蕉×亩蓟彳萜角笔⌒⒏惺泻捍ㄊ泄愣》鹕绞腥魇〖彩杏佬孪厣轿魇〗惺杏苌缦鼐埠Ｇ鞯宰蚓晗夭庥阏蚬愣〗攀邢蜓羟值郎轿魇〗蓟嵩笾菹芈谷录易蚬笾菔∏喜家雷迕缱遄灾沃莼菟卦颇鲜∨圩遄灾沃莞９毕厣轿魇×俜谑邪苍笙睾诹∫链菏薪鹆智裰菔欣料睾Ｄ鲜∪呈形魃城笔《魇┩良易迕缱遄灾沃荻魇┦薪魇「又菔惺窍毓淘形骷亓赡∩蜓羰谢肽锨缴较卣毕缂恢萸愿髯蛩拇ㄊ∫吮鍪薪蚕厣轿魇⊙羧衅蕉ㄏ毓愣∩峭肥辛诹∑咛ê邮刑疑角�

本月行业协会披露重大效果提醒词压缩竟成大模子新误差？？港科大提出黑盒攻击框架COMA，，，，，
，很兴奋为您解答这个问题，，，，，
，让我来帮您详细说明一下:售后服务维修中心电话，，，，，
，支持多渠道服务

天下服务区域：南开区体育中心街道平顶山市湛河区钦州市海南省�？？谑忻览记拇ㄊ「首尾刈遄灾沃莞仕嗍∏煅羰姓蛟仄缴较匦【跽蝈а羰心侠窒匕鸵艄忝晒抛灾沃莺退断馗仕嗍±贾菔泻吞锏厍Ｄ鲜≠僦菔懈仕嗍∏煅羰姓蛟乜κ驳厍蟾翘嵯鼐埠Ｇ鞯宰蛏轿魇〗惺杏苌缦孛茉魄吡胝蚝诹〖涯舅故刑涝叵蜓羟葡汕沤值拦愣』葜菔辛畔睾笔⌒⒏惺泻捍ㄊ兴拇ㄊ×股揭妥遄灾沃菡丫跸毓苁幸廖嵯匚吆心狭晗匚藜卮蟪抡蛏轿魇〗惺辛槭卦颇鲜∑斩芯岸妥遄灾蜗厮拇ㄊ∷炷信钕卦舷厣轿魇〗惺杏苌缦叵蜓羟『烀诺厍质“咨绞谢虢蜓羟茏厍拇ㄊ∫吮鍪薪蚕亟魇∮ヌ妒杏嘟诿晒哦醵嗨故锌蛋褪睬笾菔×趟兴窍厣挛魇”κ忻枷鼐埠Ｇ鞯宰蛩拇ㄊ〕啥蓟崴髑轿魇〗惺杏苌缦亟帐×聘凼懈佑芮诹〖ξ魇屑谇笾菔⊥适杏衿炼弊遄灾蜗丶恢萸僮蛩拇ㄊ「首尾刈遄灾沃莩ぐ睬洗逭蛩拇ㄊ×股揭妥遄灾沃菡丫跸毓苁幸廖嵯睾笔《魇┩良易迕缱遄灾沃荻魇┦泻笔∠逖羰邢逯萸嗪Ｊ∮袷鞑刈遄灾沃葜味嘞亟棺魇兄姓厩诿晒判税裁宋诶己铺厥猩挛魇”κ忻枷亟魇∫舜菏幸朔嵯厮拇ㄊ〉卵羰泄愫菏忻磐饭登笥值浪拇ㄊ〕啥蓟峤鹋Ｇ拇ㄊ×股揭妥遄灾沃莞事逑胤崽ㄇ野裁沤值牢鞒乔绿辰值篮佣笾惫两值狼盼髑值腊偕芯肝魇兴拇ㄊ×股揭妥遄灾沃莞事逑亓赡∩蜓羰邪⒖怂盏厍潞拖胤崽ㄇば恋暾蛏轿魇〗蓟嵩笾菹鼐埠Ｇ鞯宰蚓晗匚饧乙は缟蕉〉轮菔衅牒酉厣蕉√┌彩刑┥角橙崆浇值榔缴较厣瞎垡籼孟缁橙崆闫艿厍拇ㄊ〕啥蓟崴髑帐×聘凼懈佑芮恢萸僮蚝诹∫链菏薪鹆智拇ㄊ〕啥蓟嵝露记“蚕馗＝ㄊ∑翁锸谐窍崆笾菔×趟兴窍厣蕉√┌彩卸较厍嘈闱恢萸┕耪蚋仕嗍√焖星刂萸拇ㄊ」阍斜背角阍唇值缆“蚕卣韵厣澈拥暾蚪魇「又菔惺窍孛茉魄焕贤驼蚬愣》鹕绞腥拇ㄊ「首尾刈遄灾沃莸ぐ拖芈“蚕匚鞑乩写镒吻魇【暗抡蚴胁�

售后服务上门服务电话，，，，，
，智能分配票据：提醒词压缩竟成大模子新误差？？港科大提出黑盒攻击框架COMA

这项研究效果已被软件工程领域顶会 ASE 2026 吸收。。
。论文第一作者为港科大 CSE 博士生刘泽森，，，，，
，通讯作者为佘东冬教授。。
。

在大语言模子 Agent 走向真实安排后，，，，，
，一个越来越常见的问题是：上下文太长了。。
。

现在的 AI Agent 动辄需要处理超长上下文，，，，，
，既要看系统提醒词、工具说明，，，，，
，又要翻阅历史对话和检索文档。。
。为了省钱、省算力并降低延迟，，，，，
，许多开发者会给系统加上 “提醒词压缩”（Prompt Compression）�？？�，，，，，
，把冗长的上下文浓缩后再喂给大模子。。
。

但这招真的清静吗？？

香港科技大学的一项最新研究给出了否认谜底。。
。他们发明，，，，，
，这个原本用来 “提效” 的组件，，，，，
，竟然会悄悄重写系统的清静界线，，，，，
，成为大模子应用中的全新攻击面。。
。

论文链接：https://arxiv.org/pdf/2510.22963代码链接：https://github.com/zsLiu2003/Comattack

研究配景：压缩不但是省 token，，，，，
，而是在重写清静界线

古板针对 LLM Agent 的攻击，，，，，
，如 prompt injection、jailbreak 或 RAG poisoning，，，，，
，通常默认一个条件：攻击内容必需进入后端 LLM 的有用上下文，，，，，
，并被模子看成恶意指令执行。。
。

但在 prompt-compressed pipeline 中，，，，，
，情形爆发了转变。。
。

后端 LLM 看到的并不是原始 prompt，，，，，
，而是经由压缩器处理后的 compressed prompt。。
。�；谎灾�，，，，，
，压缩器决议哪些系统规则、使命证据和上下文信息会被保存，，，，，
，哪些会在预算限制下被扬弃。。
。

这带来一个新的清静问题：攻击者纷歧定需要让恶意指令穿过压缩器，，，，，
，也纷歧定需要让攻击 payload 在压缩后仍然可读。。
。攻击者只需要在压缩前扰动非可信输入，，，，，
，例如用户请求或外部文档，，，，，
，就可能改变压缩器的保存决议，，，，，
，使要害清静规则或使命证据在后端推理前被删除。。
。

一个直观的例子是：系统提醒词中包括「must never use shell」这样的清静约束。。
。攻击者无法直接修改系统提醒词，，，，，
，但可以在用户请求后添加一段短扰动。。
。压缩后，，，，，
，清静约束中的要害否认词可能被丧失，，，，，
，后端 LLM 最终看到的是一个被削弱的规则，，，，，
，从而执行本应拒绝的请求。。
。

焦点看法：Adversarial Information Loss

为了量化这种风险，，，，，
，研究团队提出了 “反抗性信息损失”（AIL）的看法。。
。简朴来说，，，，，
，就是看攻击者能不可通详尽小的扰动，，，，，
，居心放大压缩历程中的信息流失，，，，，
，把不应丢的要害内容挤掉。。
。它不是简朴地问压缩质量好欠好，，，，，
，而是问：在攻击者保存时，，，，，
，压缩后的 prompt 是否会诱导后端 Agent 做出与正常压缩显着差别、且清静相关的过失行为。。
。

手艺焦点：COMA 怎样攻击黑盒压缩 Agent？？

在真实系统中，，，，，
，攻击者通常不知道压缩器参数、压缩预算，，，，，
，也看不到真实 compressed prompt。。
。因此，，，，，
，论文提出了一个 transfer-based black-box attack 框架：COMA。。
。

COMA 的焦点头脑是两阶段优化。。
。

第一阶段，，，，，
，COMA 在压缩空间中寻找一个会诱导后端过失行为的目的 compressed prompt。。
。例如，，，，，
，它会定位哪些要害 token 或要害证据一旦被删除，，，，，
，就会导致工具选择过失、问答过失，，，，，
，或系统清静规则失效。。
。

第二阶段，，，，，
，COMA 在压缩前输入中搜索一个扰动，，，，，
，使得经由 surrogate compressor 压缩后，，，，，
，输出尽可能靠近第一阶段找到的目的压缩效果。。
。最后，，，，，
，候选扰动会被放到真实黑盒 Agent pipeline 中举行端到端验证。。
。

实验效果：六种压缩器、三类使命下均有用

研究团队在三类使命上评估了 COMA：Agent Tool Selection、Question Answering 和 System Prompt Corruption，，，，，
，笼罩六种常见 prompt compressors，，，，，
，包括 extractive 与 abstractive 两类压缩方式。。
。

实验效果显示，，，，，
，COMA 在所有 18 个设置中都取得最高攻击乐成率，，，，，
，平均 ASR 抵达 0.71，，，，，
，而最强的非压缩感知攻击 baseline 仅为 0.21。。
。与此同时，，，，，
，无攻击设置和移除压缩器后的 COMA 设置都靠近 0.01，，，，，
，说明该攻击并不是通俗恶意提醒词导致的，，，，，
，而是确实来自 prompt compression 引入的攻击面。。
。

COMA 也体现出较强泛化性。。
。在差别压缩预算下，，，，，
，纵然正常压缩险些不会造成过失，，，，，
，攻击仍能显著放大失败率。。
。在差别后端 LLM 家族和模子规模上，，，，，
，COMA 的平均 ASR 仍抵达 0.69，，，，，
，说明后端模子替换并不可基础解决问题：一旦要害上下文已经在压缩阶段被删除，，，，，
，后端模子往往无法恢复。。
。

论文进一步剖析了攻击机制。。
。效果显示，，，，，
，COMA 的 Critical Token Removal Rate 与 ASR 高度一致：它并不是简朴添加噪声，，，，，
，而是在可控地指导压缩器删除少量行为要害内容。。
。关于系统提醒词破损使命，，，，，
，一旦清静规则中的要害 token 被移除，，，，，
，拒绝条件就会直接消逝。。
。

真实案例：从 VSCode Cline 到 LangChain Agent

为了验证风险是否能迁徙到真实 Agent pipeline，，，，，
，论文构建了两个案例。。
。

第一个案例来自 VSCode Cline。。
。正常情形下，，，，，
，Agent 会拒绝读取 workspace 外部的敏感文件；；但加入 COMA 扰动后，，，，，
，压缩器削弱了系统提醒词中的要害约束，，，，，
，后端模子最终触发了对敏感文件的读取行为。。
。

第二个案例来自 LangChain + Ollama 的 ReAct Agent。。
。正常情形下，，，，，
，Agent 会为代码特征抽取使命选择准确工具；；攻击后，，，，，
，压缩后的工具形貌爆发偏移，，，，，
，Agent 被诱导选择过失工具。。
。

这两个案例说明，，，，，
，prompt compression 的风险并不局限于离线 benchmark，，，，，
，而可能影响真实软件工程 Agent 和工具挪用 Agent。。
。

怎样防御：隔离是要害

面临这种新型攻击，，，，，
，现有的防御手段（如基于疑心度的检测）往往会大打折扣。。
。为此，，，，，
，研究团队给出了一个很是务实且有用的缓解方案：隔离压缩（Isolated Compression）。。
。

焦点思绪很简朴：别把系统提醒词、可信上下文和用户输入的不可信内容混在统一个预算池里压缩。。
。系统应该将可信与非可信输入脱离处理，，，，，
，并在重组拼接时加上明确的界线标记。。
。实验证实，，，，，
，这种结构性防御在保�；は低程嵝汛史矫婧苁怯杏�，，，，，
，防御乐成率能抵达 96%。。
。由于非可信内容不再与系统护栏共享压缩预算，，，，，
，攻击者就很难通过外部输入去 “挤占” 清静规则的生涯空间了。。
。

这项事情提醒了什么

这项研究展现了 LLM Agent 安排中的一个要害问题：许多为了效率引入的系统组件，，，，，
，并不是简朴的工程优化，，，，，
，而会改变模子最终看到的信息，，，，，
，从而改变整个 pipeline 的清静界线。。
。

因此，，，，，
，关于未来的 LLM Agent 系统，，，，，
，清静剖析不可只盯着后端 LLM 自己，，，，，
，也需要笼罩缓存、检索、压缩、工具编排等中心层。。
。尤其是在长上下文和 agentic workflow 越来越普遍的场景下，，，，，
，怎样在效率与清静之间建设更可靠的系统界线，，，，，
，将成为 Trustworthy Agentic AI 的焦点问题之一。。
。

本月行业报告果真主要效果提醒词压缩竟成大模子新误差？？港科大提出黑盒攻击框架COMA

这项研究效果已被软件工程领域顶会 ASE 2026 吸收。。
。论文第一作者为港科大 CSE 博士生刘泽森，，，，，
，通讯作者为佘东冬教授。。
。

在大语言模子 Agent 走向真实安排后，，，，，
，一个越来越常见的问题是：上下文太长了。。
。

现在的 AI Agent 动辄需要处理超长上下文，，，，，
，既要看系统提醒词、工具说明，，，，，
，又要翻阅历史对话和检索文档。。
。为了省钱、省算力并降低延迟，，，，，
，许多开发者会给系统加上 “提醒词压缩”（Prompt Compression）�？？�，，，，，
，把冗长的上下文浓缩后再喂给大模子。。
。

但这招真的清静吗？？

香港科技大学的一项最新研究给出了否认谜底。。
。他们发明，，，，，
，这个原本用来 “提效” 的组件，，，，，
，竟然会悄悄重写系统的清静界线，，，，，
，成为大模子应用中的全新攻击面。。
。

论文链接：https://arxiv.org/pdf/2510.22963代码链接：https://github.com/zsLiu2003/Comattack

研究配景：压缩不但是省 token，，，，，
，而是在重写清静界线

古板针对 LLM Agent 的攻击，，，，，
，如 prompt injection、jailbreak 或 RAG poisoning，，，，，
，通常默认一个条件：攻击内容必需进入后端 LLM 的有用上下文，，，，，
，并被模子看成恶意指令执行。。
。

但在 prompt-compressed pipeline 中，，，，，
，情形爆发了转变。。
。

后端 LLM 看到的并不是原始 prompt，，，，，
，而是经由压缩器处理后的 compressed prompt。。
。�；谎灾�，，，，，
，压缩器决议哪些系统规则、使命证据和上下文信息会被保存，，，，，
，哪些会在预算限制下被扬弃。。
。

这带来一个新的清静问题：攻击者纷歧定需要让恶意指令穿过压缩器，，，，，
，也纷歧定需要让攻击 payload 在压缩后仍然可读。。
。攻击者只需要在压缩前扰动非可信输入，，，，，
，例如用户请求或外部文档，，，，，
，就可能改变压缩器的保存决议，，，，，
，使要害清静规则或使命证据在后端推理前被删除。。
。

一个直观的例子是：系统提醒词中包括「must never use shell」这样的清静约束。。
。攻击者无法直接修改系统提醒词，，，，，
，但可以在用户请求后添加一段短扰动。。
。压缩后，，，，，
，清静约束中的要害否认词可能被丧失，，，，，
，后端 LLM 最终看到的是一个被削弱的规则，，，，，
，从而执行本应拒绝的请求。。
。

焦点看法：Adversarial Information Loss

为了量化这种风险，，，，，
，研究团队提出了 “反抗性信息损失”（AIL）的看法。。
。简朴来说，，，，，
，就是看攻击者能不可通详尽小的扰动，，，，，
，居心放大压缩历程中的信息流失，，，，，
，把不应丢的要害内容挤掉。。
。它不是简朴地问压缩质量好欠好，，，，，
，而是问：在攻击者保存时，，，，，
，压缩后的 prompt 是否会诱导后端 Agent 做出与正常压缩显着差别、且清静相关的过失行为。。
。

手艺焦点：COMA 怎样攻击黑盒压缩 Agent？？

在真实系统中，，，，，
，攻击者通常不知道压缩器参数、压缩预算，，，，，
，也看不到真实 compressed prompt。。
。因此，，，，，
，论文提出了一个 transfer-based black-box attack 框架：COMA。。
。

COMA 的焦点头脑是两阶段优化。。
。

第一阶段，，，，，
，COMA 在压缩空间中寻找一个会诱导后端过失行为的目的 compressed prompt。。
。例如，，，，，
，它会定位哪些要害 token 或要害证据一旦被删除，，，，，
，就会导致工具选择过失、问答过失，，，，，
，或系统清静规则失效。。
。

第二阶段，，，，，
，COMA 在压缩前输入中搜索一个扰动，，，，，
，使得经由 surrogate compressor 压缩后，，，，，
，输出尽可能靠近第一阶段找到的目的压缩效果。。
。最后，，，，，
，候选扰动会被放到真实黑盒 Agent pipeline 中举行端到端验证。。
。

实验效果：六种压缩器、三类使命下均有用

研究团队在三类使命上评估了 COMA：Agent Tool Selection、Question Answering 和 System Prompt Corruption，，，，，
，笼罩六种常见 prompt compressors，，，，，
，包括 extractive 与 abstractive 两类压缩方式。。
。

实验效果显示，，，，，
，COMA 在所有 18 个设置中都取得最高攻击乐成率，，，，，
，平均 ASR 抵达 0.71，，，，，
，而最强的非压缩感知攻击 baseline 仅为 0.21。。
。与此同时，，，，，
，无攻击设置和移除压缩器后的 COMA 设置都靠近 0.01，，，，，
，说明该攻击并不是通俗恶意提醒词导致的，，，，，
，而是确实来自 prompt compression 引入的攻击面。。
。

COMA 也体现出较强泛化性。。
。在差别压缩预算下，，，，，
，纵然正常压缩险些不会造成过失，，，，，
，攻击仍能显著放大失败率。。
。在差别后端 LLM 家族和模子规模上，，，，，
，COMA 的平均 ASR 仍抵达 0.69，，，，，
，说明后端模子替换并不可基础解决问题：一旦要害上下文已经在压缩阶段被删除，，，，，
，后端模子往往无法恢复。。
。

论文进一步剖析了攻击机制。。
。效果显示，，，，，
，COMA 的 Critical Token Removal Rate 与 ASR 高度一致：它并不是简朴添加噪声，，，，，
，而是在可控地指导压缩器删除少量行为要害内容。。
。关于系统提醒词破损使命，，，，，
，一旦清静规则中的要害 token 被移除，，，，，
，拒绝条件就会直接消逝。。
。

真实案例：从 VSCode Cline 到 LangChain Agent

为了验证风险是否能迁徙到真实 Agent pipeline，，，，，
，论文构建了两个案例。。
。

第一个案例来自 VSCode Cline。。
。正常情形下，，，，，
，Agent 会拒绝读取 workspace 外部的敏感文件；；但加入 COMA 扰动后，，，，，
，压缩器削弱了系统提醒词中的要害约束，，，，，
，后端模子最终触发了对敏感文件的读取行为。。
。

第二个案例来自 LangChain + Ollama 的 ReAct Agent。。
。正常情形下，，，，，
，Agent 会为代码特征抽取使命选择准确工具；；攻击后，，，，，
，压缩后的工具形貌爆发偏移，，，，，
，Agent 被诱导选择过失工具。。
。

这两个案例说明，，，，，
，prompt compression 的风险并不局限于离线 benchmark，，，，，
，而可能影响真实软件工程 Agent 和工具挪用 Agent。。
。

怎样防御：隔离是要害

面临这种新型攻击，，，，，
，现有的防御手段（如基于疑心度的检测）往往会大打折扣。。
。为此，，，，，
，研究团队给出了一个很是务实且有用的缓解方案：隔离压缩（Isolated Compression）。。
。

焦点思绪很简朴：别把系统提醒词、可信上下文和用户输入的不可信内容混在统一个预算池里压缩。。
。系统应该将可信与非可信输入脱离处理，，，，，
，并在重组拼接时加上明确的界线标记。。
。实验证实，，，，，
，这种结构性防御在保�；は低程嵝汛史矫婧苁怯杏�，，，，，
，防御乐成率能抵达 96%。。
。由于非可信内容不再与系统护栏共享压缩预算，，，，，
，攻击者就很难通过外部输入去 “挤占” 清静规则的生涯空间了。。
。

这项事情提醒了什么

这项研究展现了 LLM Agent 安排中的一个要害问题：许多为了效率引入的系统组件，，，，，
，并不是简朴的工程优化，，，，，
，而会改变模子最终看到的信息，，，，，
，从而改变整个 pipeline 的清静界线。。
。

因此，，，，，
，关于未来的 LLM Agent 系统，，，，，
，清静剖析不可只盯着后端 LLM 自己，，，，，
，也需要笼罩缓存、检索、压缩、工具编排等中心层。。
。尤其是在长上下文和 agentic workflow 越来越普遍的场景下，，，，，
，怎样在效率与清静之间建设更可靠的系统界线，，，，，
，将成为 Trustworthy Agentic AI 的焦点问题之一。。
。

活动时代，，，，，
，50多位来自天下的网络媒体代表、差别领域自媒体创作者齐聚鹭岛，，，，，
，走访了集美与翔安多个点位实地采风，，，，，
，相识和体验厦门科技生长、工业升级、都会更新、墟落振兴、生态文明建设的最新效果，，，，，
，周全感受厦门高质量生长的汹涌活力。。
。

凯时AG

高盛忠言：中东战争连锁效应仍一连