Breadcrumbing Search Agents
arXiv 论文 2608.04565v1 提出 Authority-Chain Hijack (ACH)，一种针对 LLM 搜索代理的策略驱动攻击，通过协调跨轨迹的证据链，在受限工具中介威胁模型下，仅追加一个受控结果即可显著提高攻击成功率。
发展脉络
- 首次出现Breadcrumbing Search AgentsarXiv cs.CL
- 当前判断该研究揭示了搜索代理安全的新攻击面，即工具中介层而非单一网页。随着 Agent 在企业和消费者场景中广泛采用，此类攻击可能影响依赖搜索增强的问答系统、研究助手等。安全社区需关注 Agent 工具链的完整性，而不仅是内容过滤。Agent Pulse · 分析
该论文指出，基于 LLM 的搜索代理在执行信息寻求任务时，依赖外部工具返回的内容，但这些内容不可信，存在提示注入和目标劫持风险。以往研究主要关注静态网页内容注入，但现代代理会发出后续查询并交叉核对来源，单一注入页面常被稀释或拒绝。论文提出，搜索和页面观察的传递通道是脆弱的安全边界，中介搜索接口可反复引导代理收集证据并形成最终答案。在受限工具中介威胁模型下，每次查询仅追加一个受控结果，当证据跨代理轨迹协调时，可显著提高攻击成功率。为此，作者引入 Authority-Chain Hijack (ACH)，一种专家精炼的策略，将孤立的搜索结果和页面内容操纵转化为跨看似无关步骤的一致证据链。
ACH 攻击的核心在于利用搜索代理的迭代查询和证据整合机制，通过在每个查询结果中注入一个受控条目，逐步构建一个权威链，使代理在最终答案中采信攻击者意图。这要求攻击者具备对搜索接口的中间人控制能力，并能预测代理的查询序列。防御上，需要检测证据链的异常一致性，或对工具返回内容进行独立验证。
该研究揭示了搜索代理安全的新攻击面，即工具中介层而非单一网页。随着 Agent 在企业和消费者场景中广泛采用，此类攻击可能影响依赖搜索增强的问答系统、研究助手等。安全社区需关注 Agent 工具链的完整性，而不仅是内容过滤。
对于构建搜索增强 Agent 的公司，该研究提示需评估工具中介层的安全风险，可能增加安全审计和加固成本。同时，安全解决方案提供商可开发针对此类攻击的检测产品，形成新的市场机会。
后续可验证信号包括：针对 ACH 的防御机制研究出现，如证据链一致性检测或工具返回内容签名；搜索代理提供商更新其安全指南；或出现基于 ACH 的变体攻击在真实场景中被报道。