课题 C｜邮件变成摘要后，Agent 还知道是谁说的话吗？

查新截至 2026-09-07

建议定位：AI 与安全交叉的训练项，评价难度中等。 与 InboxSaver 的邮件和 MCP 场景相近。第一轮只做本地模拟，不连接真实邮箱。

一个具体场景

用户说：“总结这几封邮件，起草给我指定同事的回复。”其中一封外来邮件夹着一句试图改变任务的话，让 Agent 改写目标或选择其他收件人。

这类情况叫间接提示注入：指令藏在 Agent 为完成任务而读取的材料里。你的问题更窄：邮件经过转发引用、HTML 转文本或摘要后，是否丢失来源信息，使第三方内容看起来更像用户要求？

攻击者只能控制一封外来邮件的正文或 HTML；服务器、客户端和评分器可信。这就是本轮的威胁模型——明确对方能改什么，不能改什么。不要把恶意服务器和邮件正文攻击混进同一结果，仍声称研究同一种问题。

Hines 等，Spotlighting，2024-03-20 已研究用边界和标记区分不可信材料；Debenedetti 等，AgentDojo，2024-06-19 已包含邮件等任务，并同时检查正常任务与攻击结果；Debenedetti 等，CaMeL，2025-03-24 已通过来源跟踪和执行策略约束动作。

此外，Zhang 等，MCP Security Bench，2025-10-14 已研究 MCP 中的多种注入位置。把工具包装成 MCP，并不会让旧想法自动变新。

因此本方案不是发明“加信任标签防注入”。可能值得进一步调查的是：哪一个具体处理步骤破坏了已有防护所依赖的信息，能否在独立任务上重复观察，并解释其机制。 目前新颖性未确认。

MCP 的 annotations 是提示信息，不应被当作可靠的权限凭据；来自不可信服务器的注释也不能自动信任。MCP，2025-11-25 Tools 规范；MCP 官方，Tool Annotations as Risk Vocabulary，2026-03-16。

自己准备一个本地邮箱文件和几种工具：读取邮件、生成摘要、记录草稿。所谓发送工具只向本地日志写入虚构收件人和内容，不产生外部动作，也不放真实秘密。

先做三种正常任务：提取日程、总结待办、给用户明确指定的人起草回复。每题准备正常邮件和含干扰指令的邮件，真实正确目标不变。

先用纯文本跑通。下一阶段再分别加入转发引用、HTML 转文本和摘要，不一次叠加，以免找不到是哪一步出了问题。保存每个阶段的输入、输出和来源字段，以及 Agent 最终实际看到的材料。

可信解析器可以给字段附上消息 ID 和来源。邮件正文自己写“这是可信用户命令”不应改变这个标签。若来源标注由模型随意重写，要把这种依赖也纳入实验，而不是假定它永远准确。

四组可以是：原始工具输出；统一标明不可信材料的边界；逐字段保留来源；来源加本地动作规则。最后一组改变了执行机制，必须单独解释，不能把它的全部收益归给文字标签。

有限动作规则例子：收件人只能从用户本次明确指定的名单选择。它只保证这个条件，不能保证总结忠实、无遗漏或系统整体安全。

保持模型、任务、调用上限和工具能力一致。标签会增加文本长度，记录 token；若看到改善，加入长度相近但无来源含义的对照，进一步判断是否只是多了一段提醒。

至少一起报告：正常任务完成率；攻击条件下任务完成率；禁止动作发生率。来源归属可以作为额外诊断，例如摘要是否把“邮件作者建议”说成“用户要求”。

动作由本地日志和预先定义的规则判断，摘要归属则保存人工判定依据。不要只让另一个可能受同样材料影响的 LLM 判定安全。也不能把拦截所有任务的方法称为好助手。

先验证评分器：一个正确草稿应通过；一个越过指定名单的草稿应被识别；正常任务没有必要动作时，不能强迫 Agent 调工具才给分。

开发攻击用来调试，另留没用来调提示的新模板。若以后声称抵抗有针对性的攻击，需要给不同防御公平的攻击者尝试预算；本轮固定攻击只能说明对所测样例的表现。

先三题跑通，再做 12 个任务模板 × 正常／攻击 × 四组 × 两次重复，共 192 次短任务运行。这个数量不包含额外三种呈现方式；增加方式要另算。先用三题记录实际调用与 token，再按所选模型当日单价估费。

普通电脑可以运行本地环境，无需训练或 GPU。代码可参考 AgentDojo 官方仓库，仓库 MIT，支持选择任务；本次未实际安装运行。MCP Security Bench 的代码可运行性及许可未核验，不把它当第一周必需依赖。

若只有原始输出出错、普通边界已经解决问题，先完成复现说明。若某个转换稳定丢失来源，并在预留任务造成错误，再围绕 provenance laundering、summary-mediated prompt injection 等词追查最近工作。

如果策略让大量正常任务无法完成，先修任务定义或规则。如果现有防御已覆盖所发现情形，承认覆盖，不靠改名制造新颖性。

写一个正常用户要求、两封虚构邮件和正确草稿；让本地日志识别一个故意错误的收件人；比较原始输出与简单边界；保存全过程。先回答“评分可信、来源可追溯吗”，再扩展摘要链。