你让 AI 智能体帮忙改代码，它会翻 README、查看数据、调用工具。攻击者若把恶意指令藏进这些外部材料，智能体可能把“看到的文字”误当成“该执行的命令”。这叫间接提示注入。新研究指出，危险不只取决于写了什么，还取决于藏在哪里。
研究团队搭建了覆盖编程、工具使用和日常工作流的 3 个测试环境，包含 36 类可注入的环境表面和 24 类风险。他们固定恶意内容，只改变它出现的位置。作者发现，同一句指令放进 README 或 TODO 文档时，由 GPT-5.4 驱动的智能体平均更常照做；放进代码或数据文件时则较少奏效。团队把这种差异称为“信任区域效应”——模型会暗中给不同来源分配不同信任度。
这提醒防守者：过滤恶意措辞还不够，还要守住信任边界，不能让网页、邮件或文档里的文字取得指挥工具的权限。论文也称，联合优化注入内容与位置，比只优化内容更有效；但现有材料未披露上述 README 对比的具体成功率。