PlanFlip：通过规划阶段提示注入攻击多代理 LLM 系统

arXiv:2607.16199v1 公告类型：新 摘要：多代理 LLM 系统越来越依赖规划器将目标分解为下游执行器和 Critic 代理执行和审核的子任务序列。我们将规划阶段视为关键的攻击面：对规划器上下文的单次注入可实现级联放大，同时破坏所有下游子任务。我们介绍了 PlanFlip，一个包含四种计划阶段提示注入攻击的框架——GoalSubstitution (PF-1)、PriorityInversion (PF-2)、ContextPollution (PF-3) 和 RoleConfusion (PF-4)——每种攻击都伪装成看似合理的工具输出以逃避关键字过滤器。通过评估 3,479 个案例中的 9 个前沿 LLM，我们发现了三个发现：（1）能力放大了脆弱性——GPT-5 实现了最高的攻击成功率（ASR = 0.68），这与更强的模型本质上更安全的假设相矛盾； (2) 同质管道表现出相关代理盲点——GPT-4o 和 Llama-3.3-70B 显示 ASR 接近 0，但 Stealth = 1.00 且 StepShift > 0，具有攻击重组计划，而同一主干 Critic 报告对齐（两位独立法官确认 -0.20 到 -0.32 语义偏差，r = 0.943）； (3) 推理增强模型抵抗注入——DeepSeek-R1 在所有攻击中实现 StepShift = 0.00。我们提出 GoalAnchorCheck (D1) 和 CrossAgentConsensus (D2)，在 16 个单元格中的 15 个单元格中实现高达 1.00 的检测率并优于相同主干基线。我们的主要见解：异构模型多样性是多智能体系统的安全先决条件；同构骨干网内的冗余不能提供针对规划阶段攻击的保护。