原文標題：New Prompt Injection Techniques Cover Agent-Planning Attacks

CrowdStrike 於 10 月 29 日更新 Prompt Injection Taxonomy，將公開分類擴充至 222 種技術。這次重點不再只是誘使聊天模型忽略規則，而是觀察攻擊者如何影響 AI 代理的計畫、任務拆解、工具選擇及上下文記憶，讓原本被禁止的操作成為看似合理的中間步驟。

官方舉出假設情境：開發者請編碼代理修復失敗的整合測試，遭污染的開源測試工具輸出「環境差異」診斷指示，要求代理讀取本機設定並傳送至外部診斷端點。讀取 .env 檔與送出 HTTP 請求各自看似正常，但合在一起就可能洩漏憑證。這是用來說明機制的示例，不是官方宣稱已觀察到的特定入侵事件。

新分類中的 Goal Decomposition Exploitation（目標拆解利用）會在代理拆分任務時植入或改寫子任務，使資料外傳成為完成目標的必要步驟。Constraint-Driven Task Steering（限制驅動任務導向）則透過操縱環境限制或失敗條件，逼使代理選擇攻擊者預設的備援流程。兩者凸顯僅對個別提示詞或單一步驟做安全檢查可能不足。

研究另收錄 Output Exclusion Prompting（輸出排除提示），嘗試禁止模型使用與安全拒絕相關的語言；Session State Spoofing（工作階段狀態偽造）則注入假造的摘要、壓縮記錄或記憶內容，讓不存在的授權與歷史決策被當成事實。長對話摘要與代理持久化狀態因此成為重要信任邊界。

新版分類還依模型處理流程分為控制結構破壞、邏輯評估破壞、注意力容量過載及生成狀態擾亂等階段。例子包括控制 Token 竄改、偽造推理過程、藉由長篇無害輸出削弱安全約束，以及引導模型生成不可靠內容。這些類別描述的是可能的攻擊模式，不代表每種方法都對所有模型有效。

防禦建議包括將代理的提示、計畫、工具呼叫、權限與端點行為建立因果關聯，對整體執行鏈進行稽核，並針對敏感檔案、對外網路與跨代理權限採取執行期控制。CrowdStrike 同時介紹 Falcon Guardian 的代理執行監測能力；其產品效果仍屬廠商說明，需依部署環境獨立測試。

發生了什麼事

CrowdStrike 更新提示注入分類至 222 種，新增針對 AI 代理任務規劃、環境限制與工作階段記憶的攻擊類別。

為什麼重要

AI 代理可能在沒有單一明顯惡意指令的情況下，透過一連串表面合法的操作完成資料外傳；防禦必須跨步驟檢視目標與權限。

影響哪些人

部署編碼代理、瀏覽器代理、SOC 代理或持久化工作流程的企業，尤其是允許讀取設定檔、執行程式碼與對外傳輸的系統開發者。

已確認與未確認

已確認官方分類數量與新技術定義；文中測試失敗情境是示例，不是已證實的攻擊案例。分類數量不等於成功利用次數，亦不代表所有代理都會受影響。