摘要： 2026 年 5 月 21 日發表的論文測試領域偽裝注入，發現 Llama 3.1 8B 偵測率從 93.8% 降到 9.7%，Gemini 2.0 Flash 也從 100% 降到 55.6%。生產級 Llama Guard 3 對偽裝 payload 的偵測率為 0；文中同時提醒實驗未涵蓋前沿模型。
2026 年 5 月 21 日，arXiv 上出現了一份編號 2605.22001 的論文，替所有仰賴提示注入偵測器的團隊敲響警鐘：只要讓惡意指令改披目標文件自己的領域詞彙與權威架構，偵測率便會從 93.8% 一路崩落到 9.7%。論文題名開宗明義——《Blind Spots in the Guard: How Domain-Camouflaged Injection Attacks Evade Detection in Multi-Agent LLM Systems》，作者 Aaditya Pai，已送交 EMNLP 2026 ARR 審稿週期。
放眼當下的 agent 系統，讀網頁、讀文件、讀工具輸出已是家常便飯。對照這個現實，論文要說的不是單一瑕疵，而是整條「靠偵測器擋注入」的防禦路線天生留著一塊結構性盲區。
實驗怎麼做：三個領域、45 項任務、兩款偵測骨幹
實驗共跑了 45 項任務，均分給三個領域、每域 15 項：金融（股票分析、風險評估、財報解讀）、法律（合約審閱、合規評估、風險標記），以及一般問答（事實檢索、摘要、分類）。防守方是兩座以 LLM 為核心的少樣本靜態偵測器（底層分別為 Llama 3.1 8B 與 Gemini 2.0 Flash），另外把 Meta 的生產級安全分類器 Llama Guard 3 放進來當基準。
攻擊方則是作者提出的「領域偽裝注入」（domain-camouflaged injection）。payload 不再使用「忽略先前的指示」這種一眼即穿的覆寫句，而是順著文件本身的文體、術語與層級結構生長——喬裝成一條合約條款、一段風險揭露，或一則財報註記，讓偵測器把它當成文件的原生內容。麻煩在於，傳統偵測器拿來校準的訓練範例，恰恰全是那種高調的模板式 payload。
從 93.8% 摔到 9.7%：斷崖式的崩塌
數據畫出來是一道懸崖。Llama 3.1 8B 偵測器抓得到 93.8% 的傳統模板注入，碰上偽裝注入卻只剩 9.7%；Gemini 2.0 Flash 則由 100% 滑落到 55.6%。作者把這段落差命名為「Camouflage Detection Gap（偽裝偵測差距，CDG）」，並以卡方檢定確認顯著性——Llama 38.03、Gemini 17.05，雙雙 p < 0.001。整套實驗裡沒有出現任何一組「反向不一致配對」，也就是說，偽裝只會讓偵測變差，從未讓它變好。
生產級的 Llama Guard 3 繳了白卷
真正該令人坐立難安的是商用工具的成績單：面對每一筆偽裝 payload，Llama Guard 3 的偵測率一律是 0.000。這把問題的層級抬高了——盲區不再是「少樣本偵測器範例餵得太少」的小缺陷，而是研究原型與產品級分類器共有的通病。任何把 Llama Guard 這類分類器擺在注入防線位置的架構，都該把這個零讀成一記直接的警鐘。
多代理辯論非但沒擋住，還把攻擊放大了
論文也對多代理辯論（multi-agent debate）架構做了測試，結果照樣違反直覺：在較小的模型上，靜態注入攻擊的威力被推高到 9.9 倍。受污染的內容在代理之間來回流轉，等於替 payload 增加更多落點，也讓它們彼此聲援；模型夠強時，代理群才守得住陣線。站在 2026 年各家競相堆疊代理的風潮裡，這組結果給 builders 的提醒很直接：疊代理不是白拿的安全增益——處理不可信內容的代理若本身不夠強，數量只會讓風險一起放大。
補範例治標不治本：洞出在架構
成本最低的修法也被拿來試了——在少樣本提示中替每個領域添入一條偽裝範例（增強型偵測器）。成效只算部分成功：Llama 進步 10.2%，Gemini 進步 78.7%。論文據此下結論：較弱模型身上的漏洞出自架構本身，不是範例剛好漏放了幾筆；補丁能把缺口縮小，卻消不掉缺口。
Hacker News 上的討論（38 點、4 則留言）提出兩個站得住腳的批評：實驗選用的是較小、較舊的模型（Llama 3.1 8B 與 Gemini 2.0 Flash），前沿模型不在測試範圍；Simon Willison 也在討論串裡主張，期待任何偵測器窮舉所有 token 組合「本質上很荒謬」——防線因此不能止步於偵測，還必須配上權限隔離，以及把不可信內容圍在嚴格邊界之內。作者的框架、任務集與 payload 產生器均已公開釋出，社群可以據此復現並延伸測試。