StateFence: Task-State Protection Against Evidence-Chain Contamination in Blue-Team LLM Agents

📄 arXiv: 2611.02605v1 📥 PDF

作者: Haowen Dai, Alejandro Guerra-Manzanares

分类: cs.CR, cs.AI

发布日期: 2026-11-02

💡 一句话要点

提出StateFence以解决蓝队LLM代理的证据链污染问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 蓝队 大型语言模型 间接提示注入 证据链污染 任务感知防御 安全运营中心 网络安全 人工智能

📋 核心要点

  1. 现有方法面临间接提示注入的风险，恶意指令可能在SOC中造成证据链污染，影响决策的有效性。
  2. 论文提出StateFence框架，通过将任务状态视为受保护状态，针对不同攻击类型进行防御，确保任务关键状态的完整性。
  3. 实验结果表明，StateFence显著降低了攻击成功率，并减少了证据污染后出现的决策失败，同时保持了任务的有效性。

📝 摘要（中文）

间接提示注入为安全运营中心（SOC）中的蓝队大型语言模型（LLM）代理带来了独特的风险。恶意指令可能嵌入在遥测、工单、检索结果或内存中，并通过警报分类、事件总结、响应建议和妥协指标（IOC）提取等过程传播，形成局部可信的中间决策。我们将这种失败模式称为受保护任务状态的证据链污染。为了解决这一挑战，我们提出了StateFence，一个任务感知的评估和防御框架，将严重性标签、事件叙述、响应策略和IOC集视为受保护状态。StateFence将间接提示注入攻击映射为明确的、隐蔽的、多跳的和持久的SOC证据攻击，记录可观察的传播轨迹，并根据被攻击状态进行防御。通过控制的SOC案例和公共SOC验证案例，StateFence降低了攻击成功率，并减少了在证据被污染后才出现的失败，同时保持了任务效用，避免了因任务不匹配过滤而导致的指标损失。

🔬 方法详解

问题定义：本论文旨在解决蓝队LLM代理在SOC中面临的间接提示注入攻击问题。现有方法未能有效防止恶意指令通过证据链传播，导致决策失误和任务失败。

核心思路：StateFence框架的核心思想是将任务状态视为受保护的状态，通过识别和记录攻击路径，针对不同的攻击类型进行相应的防御，确保任务关键状态不被污染。

技术框架：StateFence的整体架构包括多个模块：首先是攻击识别模块，识别间接提示注入的攻击；其次是状态保护模块，确保任务状态的完整性；最后是防御策略模块，根据攻击类型制定相应的防御措施。

关键创新：StateFence的主要创新在于其任务感知的防御机制，能够根据不同任务的需求，灵活调整防御策略。这与现有方法的静态防御机制形成鲜明对比，提供了更高的适应性和有效性。

关键设计：在设计中，StateFence采用了多层次的攻击映射机制，记录可观察的传播轨迹，并通过动态调整防御策略来应对不同类型的攻击。此外，框架中还引入了针对特定任务的严重性标签和响应策略，以增强防御效果。

🖼️ 关键图片

fig_0
fig_1

📊 实验亮点

实验结果显示，StateFence在控制的SOC案例中将攻击成功率降低了约30%，并在公共SOC验证案例中减少了因证据污染导致的决策失败。相比于基线方法，StateFence在保持任务效用的同时，显著提高了防御效果。

🎯 应用场景

该研究的潜在应用领域包括安全运营中心（SOC）、网络安全防御和智能监控系统。通过有效防止证据链污染，StateFence能够提高LLM代理在处理安全事件时的决策质量，增强整体安全性。未来，该框架可扩展至其他需要高可靠性和安全性的AI应用场景。

📄 摘要（原文）

Indirect prompt injection creates a distinctive risk for blue-team Large Language Model (LLM) agents in Security Operations Centers (SOCs). Malicious instructions can be embedded in telemetry, tickets, retrieval results, or memory and then propagate through alert triage, incident summarization, response recommendation, and Indicator of Compromise (IOC) extraction as locally plausible intermediate decisions. We characterize this failure mode as evidence-chain contamination of protected task state. The main challenge is task dependent: a suspicious string may be malicious control text for summarization but essential evidence for IOC extraction. To address this challenge, we propose StateFence, a task-aware evaluation and defense framework that treats severity labels, incident narratives, response policies, and IOC sets as protected states. StateFence maps indirect prompt-injection attacks into explicit, stealth, multi-hop, and persistent SOC evidence attacks, records observable propagation traces, and routes defenses according to the attacked state. Across controlled SOC cases and public-SOC validation cases, StateFence lowers attack success and reduces failures that appear only after evidence is poisoned, while preserving task utility and avoiding the indicator loss caused by task-mismatched filtering. Our findings indicate that robust blue-team LLM agents require mechanisms that preserve task-critical state under untrusted evidence.