“重复后再说”提示绕过六大 AI 代理框架，研究人员展示新攻击手法

在2026年10月9日发布的联合论文中，宾夕法尼亚州立大学、蒙彼利埃大学和达特茅斯的研究团队详细阐述了一种新型对抗技术，称为“重复后再说”。该技术通过特制的提示语，引导 AI 编排的代理执行攻击者预设的工具调用，从而绕过框架内部的安全防护机制。

研究人员将这种攻击方法分别在六个主流的 AI 代理框架上进行实验验证，涵盖了 LangChain / LangGraph、Microsoft Agent Framework、Microsoft AutoGen、Google Agent Development Kit 2.0、AWS Strands Agents 以及 CrewAI。实验结果显示，这六大框架在面对精心构造的提示时均出现了安全漏洞。

“重复后再说”提示的工作原理

攻击的起始请求看似 innocuous，正文中嵌入了“重复后再说:”这一短语。大语言模型在解析时将其误认为是执行指令，随后原样回显后续文本。当回显的内容中包含工具调用的负载时，框架会误判为合法请求并将其转发至底层工具执行。

在 LangGraph 1.2.0 的演示环境中，使用 Ollama 调用 Llama 3.1 8B 模型时，模型最初拒绝了直接的调用请求，却仍输出了原始的工具调用字符串。攻击者随后对该字符串进行假设性的重新表述，模型便生成了结构化的调用指令，并在拒绝处理之前完成了实际执行，成功验证了该漏洞的可利用性。

漏洞范围与影响

除了基于提示的直接绕过，作者还对 273 台开源多工具编排（MCP）服务器进行大规模模糊测试，结果在 118 台服务器上共发现 253 条已验证的安全缺陷，涉及 343 种不同的工具。

其中最严重的包括 64 条路径遍历漏洞、7 条服务器端请求伪造（SSRF）问题、5 起数据泄露事件以及 3 起操作系统命令注入漏洞，其余缺陷主要表现为输出或日志注入。

ToFu 模糊测试框架的推出

为填补上述安全空白，研究团队推出了 ToFu 框架，这是一套能够读取工具元数据、映射至对应 CWE 条目并自动生成安全检查的模糊测试系统。ToFu 通过监控执行轨迹并对结果进行清理，生成针对性测试套件和语义预言机，以提升工具链的整体安全性。

• 从工具规格自动生成模糊测试套件
• 基于执行内省构建语义预言机
• 基于 CWE 的安全控制模板
• 批量测试数千个工具实例
• 报告带可复现负载的已验证漏洞

论文指出，许多工具默认信任 LLM 输出进行输入消毒，即便这些输入来源于其他工具或外部系统。这种隐式信任导致攻击面扩大，使得跨多个编排组件的链式利用成为可能。

LangGraph 的维护者已收到缺乏执行前控制的安全通报，但截至本文撰写时，LangChain、Microsoft、Google、AWS 与 CrewAI 的官方团队仍未对外发布回应。

对于使用这些代理框架的中文企业和研究机构而言，此次发现意味着任何涉及外部工具的 LLM 驱动工作流都必须视为潜在风险，直至部署相应的缓解措施。

可立即采取的防御步骤包括：禁用自动工具执行、在 LLM 之外强制实施严格的输入验证、将 ToFu 风格的模糊测试集成至 CI/CD 流水线，以在漏洞被武器化前及时发现并修复信任边界缺陷。

本地化提示：在中国境内的部署环境中，建议结合国家信息安全标准，对 AI 代理框架的安全配置进行专项审计，并定期更新 ToFu 测试库，以确保符合监管要求并降低潜在攻击风险。