---
title: "研究人员报告 AI 智能体安全中的工具更新缺口"
dek: "ETUDE 论文称，攻击可通过模型上下文之外的工具更新代码实施。保存的摘要提供了总体结果，但未列出受影响版本或修复版本。"
---

上海交通大学和 Inria 的研究人员于 2026 年 11 月 1 日提交论文，描述了大语言模型（LLM）智能体中的一种供应链漏洞：工具实现发生变化后，框架可能仍沿用此前的信任，而不重新检查其安全性。作者将其称为“工具更新缺口”。[^1]

作者提出的攻击 ETUDE（Exploiting Tool Updates for Direct Execution）将恶意功能嵌入原本正常的工具更新，同时保留工具的合法功能。摘要称，这些恶意代码在 LLM 上下文之外执行，无须对抗性指令。因此，作者认为，仅检查模型可见内容的防御措施无法覆盖这条攻击路径。[^1]

作者称，他们在七种商业及开源智能体框架上评估了三类攻击任务，其中包括 Gemini CLI、Codex CLI 和 Claude Code。论文报告的攻击成功率为 97.6%，合法任务完成率为 95.9%，并称现有防御措施保护不足。这些数字是作者报告的总体结果；保存的摘要没有提供各框架的单独结果、受测版本，也没有给出足够的方法细节，因而无法据此判断某个具体部署是否适用这些结论。[^1]

:::analysis
问题涉及 T5 智能体层和 T2 运行时层：前者涉及对工具信任的延续，后者涉及更新后工具代码的执行；按照文中描述的攻击方式，仅检查模型可见的交互，无法确定这些代码的行为。这里需要关注的可核验属性是**可识别性**：如果为用户提供服务的确切版本和配置有记录且可核查，用户就能在这些记录可与受影响条件对应时，判断自己是否曾暴露于该风险。用户和运营方应核查系统实际使用了哪些工具实现，以及更新是否触发了重新安全检查；保存的来源既未列出受影响版本，也未推荐修复版本，因此无法据此判定具体部署的暴露情况或修复状态。[^1]
:::

:::checked
我们于 2026 年 11 月 3 日阅读了所提供的 arXiv 保存页面，内容包括《Beyond Prompt Injection: The Tool Update Gap in LLM Agent Security》的摘要和提交记录，版本为 arXiv:2611.01976v1。这次阅读确认了作者报告的内容，以及 11 月 1 日的提交日期。我们没有阅读全文，没有测试任何系统、复现结果或确认修复情况。[^1]
:::

[^1]: *Beyond Prompt Injection: The Tool Update Gap in LLM Agent Security*。arXiv，2026 年 11 月 1 日。https://arxiv.org/abs/2611.01976