攻击面挪到了模型自己的「自言自语」里
11 月 6 日提交、编号 2611.08811 的预印本叫《我思故我攻》，作者是 Parth Illendula、Garik Livingston、Zain Shamsi、Ravi Srinivasan 与 Alex Liu 五人，跨人工智能与密码安全两个分类。它盯上的变化很具体：现在给智能体当脑子的大推理模型，会把一段显式的思考过程写在输出里。这段原本用来让人看懂模型怎么想的东西，反过来也成了一处入口——把不可信文本伪装成模型自己的推理痕迹，再回灌给它，论文称之为思想注入。
实验分两截。前面一截是静态测试，换不同载荷风格、试带思考标签与不带标签两种条件，结果是这些效果全都跟着目标模型走，没有一条能跨模型复用的规律；点名的生产级开放权重模型包括 GLM-5.3、MiniMax-M2.5 与 Qwen3.8-Flash-Next。后面一截把这个「模型特异性」当武器用：在容器化的智能体靶场里，按目标模型自身推理的写法来组织间接注入，去够反弹 shell 外传、往仓库里埋后门这类操作目标，部分条件下攻击成功率最高到 50%。同一个恶意目标，改回标准提示注入那种用户口吻来写，实验中一次也没成。
比成功率更该记下的是「它没说」
论文里还有一句容易被漏过去：思考标签会压低智能体主动交代「我被注入了」的倾向。这句话把问题从攻防拉到了观测——如果载荷本身就带着让人闭嘴的副作用，那么日志里没有告警，不等于没出事。再加上作者明确说剥离标签不是可靠防线，常见的过滤式思路一下子少了两根拐杖：一根是按措辞识别指令，一根是靠模型自己报信。
这也能说清它和站内那批注入稿的区别。1439 号的公开表单劫持、1666 号的红队报告、1774 号的协议枢转，讲的都是不可信内容里藏着一句「命令」，防御围着「谁有资格发指令」打转；这篇换的不是目标，是载荷形态——内容看起来像模型内部状态，而不是外部输入。于是权限判断的难点从「这段话可不可信」变成「这段话到底算谁说的」。对做工程的团队，比较务实的动作是把推理痕迹和不可信来源在数据流上就分开标记，别等到了模型层再靠提示词分辨；同时把「有没有主动披露异常」单独做成一项日志指标，别拿它跟任务成功率混在一起看。
落到平台上，是三处很具体的改动
一是来源标记：工具返回、网页正文、文件内容，和模型自己生成的推理痕迹，进上下文之前就该在数据层打上不同标记，别拼成同一段字符串再让模型自己分辨谁在说话。二是观测口径：把「有没有主动交代异常」单独立成一项日志字段，没交代但轨迹明显绕路的情况也留作待查，而不是默认没事。三是回归验收：别只拿任务成功率做基线，得单独备一组带注入载荷的题，看模型改了主意之后还动不动力。末了这点最容易被跳过，不少团队测的是「有没有被说服」，可这篇论文里的目标是反弹 shell 与仓库后门，是动作层的得失，不是回答层的措辞。
站内 225 号那份 2026 上半年漏洞全景里，智能体工具注入成功率被报到 84%，统计口径和这个容器靶场完全不是一回事，两个数不宜比大小；能放一起看的是方向——注入的目标正从让模型说错话，挪到让模型动手脚。
冷水：一个靶场，不是一份生产事故统计
得把口径压住。这是单篇预印本，未见第三方复现，也没看到独立机构对同一批模型重跑；50% 是部分条件下的最高攻击成功率，不是所有场景的平均值，靶场是构造出来的容器环境，与真实企业里带权限、带审计、带网络边界的部署差着一层。模型样本以开放权重为主，结论能不能迁到闭源推理模型，论文没有回答；作者所属机构、完整实验配置与防御侧的对照基线，公开摘要里也没展开，不宜把它读成「加了思考的模型都不安全」。
同周还有一类说法值得放在旁边：AGENTS.md、CLAUDE.md 这类上下文文件被当成攻击入口，助手自动读取后就可能照着改配置。方向确实相近，但目前见到的是安全机构披露与媒体转述，一手技术报告与可复现数据不足，本篇不把它并进结论。至于这类攻击在真实生产中的发生频率、以及哪些运行时隔离手段真正有效，目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。