---
title: "SecPO 作者报告：对抗训练降低提示注入攻击成功率"
dek: "一篇 arXiv 预印本报告称，其方法降低了自适应攻击的成功率，且在所测基准中未见明显效用损失。保存的摘要尚不能确立实际部署服务的防护效果。"
---

SecPO 作者于 2026 年 10 月 30 日报告称，将新的训练损失函数与对抗训练结合，可降低针对其防御模型的提示注入攻击成功率。arXiv 摘要称，作者已发布代码、训练数据和模型；本次预览未独立核查这些发布情况。[^1]

提示注入是指攻击者利用不可信邮件、文档或网站中的指令，操纵智能体的操作。作者认为，Meta-SecAlign 使用的 DPO 训练损失会使模型受不安全的参考模型约束。SecPO 则利用对理想参考模型的近似：这个理想模型应保留正常任务效用，同时不受注入影响。作者还介绍了一条对抗训练流水线，用于生成更强的注入输入，标记为 best@240。[^1]

据摘要，在三种自适应攻击中，相较于 Meta-SecAlign，对抗训练使攻击成功率降至原来的 1/1.5 至 1/14.5；相较于使用 DPO 损失，SecPO 损失又使成功率进一步降至 1/2.4 至 1/4.6。在智能体工作流比较中，作者报告，在 AttackerMovesSecond 攻击下，SecPO + AT Qwen3.6-27B 的 AgentDojo ASR@800 为 8.8%，Meta-SecAlign 为 78.8%。作者还称，在涵盖工具调用、指令遵循、科学和数学的九项基准中，正常任务效用未见明显下降。这些均为作者报告的结果。[^1]

:::analysis
这项主张涉及 T6 评估层、T5 智能体层和 T3 模型层：基准结果针对的是在智能体工作流中运行的受训模型，用户仍需依赖实际服务与评估设置是否一致。运营方应核查部署的模型身份和配置，并确认自身工作流及攻击条件是否对应论文报告的评估；保存的摘要没有推荐任何修复版本。这里可核查的属性是可识别性：如果向用户提供服务的确切版本和配置有记录且可核查，用户就能判断自己是否曾接触该设置；攻击是否成功仍是另一个问题。[^1]
:::

:::checked
我们于 2026 年 11 月 2 日阅读了保存的 arXiv 摘要页面，标题为《SecPO: Principled Adversarial Training for Prompt Injection Security》，页面标明 v1 提交日期为 2026 年 10 月 30 日。这次阅读确立的是摘要报告了哪些内容。我们没有阅读全文、检查所链接的发布内容、复现基准或测试系统，实际部署的防护效果仍未确认。[^1]
:::

[^1]: SecPO: Principled Adversarial Training for Prompt Injection Security。arXiv，2026 年 10 月 30 日。https://arxiv.org/abs/2610.41998