SearchInject: Retrieval Exposure Control for Indirect Prompt Injection in Language-Model Search

📄 arXiv: 2611.02643v1 📥 PDF

作者: Kainan Zhou, Gangzhen Qian, Janet Sung, Zhi Jing, Rong Bao, Qianru Lao

分类: cs.AI, cs.CY, cs.IR, cs.LG

发布日期: 2026-11-02

备注: 6 pages, 3 tables, 6 graphs. Accepted at IEEE ICCC 2026. Author accepted manuscript. Reproducibility artifact: https://www.iccc.org/

💡 一句话要点

提出SearchInject以解决语言模型搜索中的间接提示注入问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 间接提示注入 语言模型 检索相关性 搜索安全 模型上下文控制 联合评分机制 搜索增强

📋 核心要点

  1. 现有方法在处理间接提示注入时，容易受到搜索结果的影响，导致模型上下文的安全性降低。
  2. 论文提出的SearchInject方法通过联合评分机制，综合考虑多个因素，有效控制模型的输入决策。
  3. 实验结果表明，使用该方法后，目标曝光率显著降低，BM25等检索器的曝光率减少幅度达到83.2%。

📝 摘要（中文）

间接提示注入会在搜索增强的大型语言模型中影响模型上下文的决策。SearchInject通过结合检索相关性、搜索滥用线索、指令可能性和两个相关性交互的联合评分来控制这一决策。研究使用300个SciFact查询进行评估，结果显示，BM25的目标曝光率从0.9408降至0.1583，减少幅度达到83.2%。该方法在保持较低的假隔离率的同时，展示了检索曝光控制的有效性。

🔬 方法详解

问题定义：论文要解决的问题是间接提示注入对搜索增强语言模型的影响，现有方法在控制模型上下文的安全性方面存在不足，容易受到不良搜索结果的干扰。

核心思路：论文的核心思路是通过一个联合评分机制来控制模型的输入决策，该机制结合了检索相关性、搜索滥用线索、指令可能性和相关性交互，以降低不良输入的影响。

技术框架：整体架构包括四个主要模块：检索相关性评分、搜索滥用线索检测、指令可能性评估和相关性交互计算。通过这些模块的协同作用，形成最终的输入决策评分。

关键创新：最重要的技术创新点在于提出了一个综合考虑多种因素的联合评分机制，显著提高了对间接提示注入的控制能力，与传统方法相比，能够更有效地降低模型的曝光风险。

关键设计：在参数设置上，选择了一个经验性的0.5%假隔离阈值，并在多个查询家庭中进行评估，确保了模型在实际应用中的有效性和稳定性。

📊 实验亮点

实验结果显示，使用SearchInject后，BM25的目标曝光率从0.9408降至0.1583，减少幅度达到83.2%。其他检索器如归一化混合和潜在语义分析也表现出显著的曝光率降低，验证了该方法的有效性。

🎯 应用场景

该研究的潜在应用领域包括搜索引擎、智能助手和其他依赖于大型语言模型的系统。通过有效控制输入的安全性，SearchInject能够提高这些系统的可靠性，防止恶意输入对模型的影响，具有重要的实际价值和未来影响。

📄 摘要（原文）

An indirect prompt injection can affect a search-augmented large language model only after its carrier page reaches model context. SearchInject controls this admission decision with a joint score combining retrieval relevance, search-abuse cues, instruction likelihood, and two relevance interactions. A quarantine threshold is selected under an empirical 0.5% clean-candidate false-quarantine constraint on a calibration split. Evaluation uses 300 held-out SciFact queries and held-out payload categories within four construction families already represented during development. Across 1,200 query-family outcomes per retriever, top-10 target exposure falls from 0.9408 to 0.1583 for BM25, from 0.9158 to 0.1508 for a normalized hybrid, and from 0.8450 to 0.1375 for latent semantic analysis. These are relative reductions of 83.2-83.7%; the largest absolute change in clean normalized discounted cumulative gain at rank 10 is 0.0018. The frozen threshold yields clean test false-quarantine rates of 0.59-0.65%, above the empirical calibration constraint. A query-level analytical reanalysis accounts for the repeated construction outcomes under an independent-query assumption. A separate 104-case generation follow-up records context removal but no confirmed undefended hijacks under a post hoc endpoint, so it cannot estimate a reduction in attack success. The evidence supports retrieval exposure control within the evaluated construction families; the benefit of the interaction terms at matched clean cost remains unresolved.