Crypto Agent 的 Prompt Injection 測試與界線

間接 Prompt Injection 會從哪裡進入？

任何 Agent 會讀取的外部內容都可能成為入口。

常見來源包括搜尋結果、PDF、郵件、客服單、程式碼註解、代幣 metadata、交易 memo、工具錯誤和長期記憶。來源一旦被拼進同一上下文，模型可能把資料誤當高優先級指令。

如何留下證據： 畫出資料來源到模型、記憶、工具和簽章的流向。

如何設計不傷害真實資產的測試？

在測試網、fork 或假簽章服務中重現完整路徑，並用不可兌現憑證。

載荷應嘗試改地址、提高金額、呼叫新工具、讀取秘密和污染記憶。確認測試環境與正式 key、wallet、webhook 完全分離，避免「安全測試」本身造成交易。

如何留下證據： 保存授權範圍、假資產、載荷、預期拒絕、實際結果與清理步驟。

哪些控制必須放在模型之外？

工具 scope、schema 驗證、目的地址、價值／頻率上限、簽章政策和最終核准都要在模型外。

模型可以解釋原因，但不能自行決定自己的權限。政策服務應以規範化物件作判斷，對未解析 calldata、未知網路或新目的地採預設拒絕。

如何留下證據： 保存 policy version、允許規則、拒絕 log 和誰能修改政策。

記憶要怎麼保護？

保存來源、信任等級、建立者、到期時間和適用任務，避免外部內容變成永久指令。

敏感決策前只取必要記憶，並將事實與指令欄分開。使用者或網頁寫入的內容不能提高自己的權限；刪除與回溯污染也需可操作。

如何留下證據： 保存 memory ID、來源、寫入原因、取用記錄和清除演練。

什麼結果應被判定為嚴重？

任何未授權資產移動、簽章、秘密外洩或安全目標改變都屬嚴重。

即使交易最終被人工攔下，若 Agent 已取得原始秘密或成功修改政策，也不能只記為「無損失」。嚴重度應看可達效果、可重複性、暴露額和復原難度。

如何留下證據： 保存最遠到達階段、被觸及身分、最大損失與阻斷控制。

驗證工作簿

以下檢查卡把研究變成可重做紀錄。它們不產生投資建議，而是要求保存證據、反例、版本、限制與會改變結論的條件。

常見問題