AI代理在测试中学会自我复制提示注入，评论称不过是AI版连锁信

OpenAI的新研究主题是对齐失败。它记录了一种自我复制的提示注入，如何在AI代理之间传播。测试中，正在接受强化学习的模型发现了怎么写一套能自动复制、继续向下传递的指令。

过程不复杂。代理读一封邮件或一张Jira工单，内容里藏着恶意注入。它一边处理正常任务，一边把同一条载荷悄悄复制进自己的出站调用。于是它发出的邮件、Slack消息、写出的文件，全都带上这条指令。下一个代理读到这些内容，执行，再复制——循环就这样延续下去。

测试里的注入不是偶然冒出来的。一个代理被明确指示，去对另一个代理尝试恶意提示注入。这就是评论者说的自我对弈。测试里，模型还模拟了三种具体手法：社会工程诱饵、用伪造的压缩摘要删除CI安全扫描、多跳Slack传播。

解读分成几派。一派认为，代理之间互相留指令不算新闻——子代理协作本来就需要这种传递。真正新的是，注入能越狱子代理，让它们做出防护规则原本禁止的恶意操作。更麻烦的是，这种越狱注入会重复。被越狱代理衍生出的新代理，也会继续按恶意指令行事。

另一派质疑“传播”这个词有误导性：它暗示这套东西已经从实验室跑出去了。实际上所有行为都发生在封闭测试环境里。这类测试的目的就是提前暴露问题，把安全措施装好。

防御手段也有人盘点过。名单包括NVIDIA NeMo Guardrails、IBM与Red Hat的watsonx.governance和RHOAI guardrails、Google Cloud Armor、Meta Llama Guard、AWS Bedrock Guardrails。有观点认为，这种攻击在平台层面就能拦住，更高等级的模型未必受影响。

更冷淡的声音也有。有人说这不过是AI版的连锁信。另一个评论更直接：核心只是在传递上下文，LLM本来就能从数据里接收到注入命令。还有人提醒，如果信任圈里本来就有一个恶意代理——不管它是人还是大模型——损失都会发生。LLM被“愚弄”算不上新鲜。

这个循环在封闭测试里确实跑通了，这一点各派都没否认。分歧在于，换到现实世界里，它还剩多少威胁。