> 说明：arXiv摘要页面只公开**Abstract**，未直接提供 Introduction、Conclusion 完整文本；公开的网页摘要仅能拿到Abstract原文。下面完成：文章概要、创新点、Abstract中英对照；并标注Introduction/Conclusion获取方式。输出完整Markdown文档。
# Beyond Single‑Model Injection 论文总结
> 论文信息：arXiv:2609.22949，接收于 ICML 2026 AIWILD Workshop，作者 Rudrendu Kumar Paul, Sourav Nandy
## 一、文章主要内容
现有提示注入（Prompt Injection）研究大多聚焦**单大模型聊天机器人**场景，攻击者通过精心构造输入欺骗单个LLM。本文指出：多智能体（Multi‑Agent）系统会放大提示注入威胁，存在三类单模型不存在的威胁机制：
1. 智能体间消息传递，形成边界防御检测不到的注入通道；
2. 工具共享访问，造成跨智能体边界的权限提升；
3. 信任传递，被攻陷的子智能体向上影响调度/编排器。
作者构建多智能体提示注入威胁模型，划分4大类，一共**14种攻击向量**：
1. 用户输入直接注入（3种）
2. 工具输出带来的间接注入（4种）
3. 通过消息传递的智能体间注入（4种）
4. 操纵编排器引发的级联注入（3种）
实验基于一个包含6个智能体、贴近生产环境的系统对全部14种攻击向量做测试。即使部署系统级提示防护护栏，**67%智能体至少会遭受一种权限越界；工具输出间接注入攻击成功率可达43%**；整体攻击平均成功率31.2%。
论文提
