几颗注意力头当门卫，注入攻击掉一个量级

提示注入至今没有便宜可靠的解法：过滤提示词是猫鼠游戏，微调整个模型既贵又伤能力。10 月 27 日提交的一篇论文走了条窄路——只训练一小部分注意力头当门卫，攻击成功率从九成以上压到一成。

一、发生了什么

这套防御叫 Heads of Security，简称 HoS。思路是让模型学会在每个注意力头里重新分配「可信」与「不可信」token 之间的注意力权重：不可信内容照样可以推理、可以引用，但里面的指令不再被执行。训练量很小，只在每头加门控。它要解决的是提示注入的老矛盾：网页、邮件、文档里的恶意指令和正常内容长得一模一样，外挂过滤器分不清「看看这段话」和「照这段话做」的差别，而把分离规则直接写进模型架构，是一条折中的路。

作者在 Llama-3.3-70B-Instruct 和 GPT-OSS-20B 两个开源模型上验证，对照两个强防御：微调路线的 SecAlign++ 和同属架构路线的 ASIDE。

对自适应攻击的差距最明显：黑盒攻击 RL-Hammer 在原版 GPT-OSS-20B 上成功率 97%，打 SecAlign 有 85%，到 HoS 这只剩 10%。白盒攻击 Claudini 专门针对 HoS 做了自适应强化，也要多花三倍 FLOPs 才能追上它在其他模型上的成功率。能力侧，HoS 在常规多选基准上保住原模型水平，而两个对照在少样本设定下都掉分；静态攻击的 agent 场景里，HoS 与 SecAlign 相当且都明显优于原模型，ASIDE 则因工具调用受限，可用性只剩 10%。

二、跟你有什么关系

做 agent 安全的：防御重心可以从外层过滤转向模型内部的注意力干预，成本远低于全量微调。

做模型微调的：局部参数训练能买到安全又不明显付能力税，比全参数安全微调更划算。

企业侧部署的：选防御方案时把「少样本能力」和「工具调用」列进验收，有些防御在这两处塌方。

三、怎么判断

1. 评估防御先看自适应攻击的成绩，静态攻击榜单上好看不等于能打。
2. 验收清单加两条：少样本设定下的能力保持、工具调用是否正常，有的防御在后者只剩一成可用。
3. 有训练资源的团队可以试注意力门控这条线，改动参数少，是论文验证过的方向。
4. 对比不同路线时把「改了哪些参数」问清楚：全量微调、外挂过滤、架构内干预是三种完全不同的成本结构。

四、三个别信的说法

提示注入只能靠过滤和微调。 只训少量注意力头就能把黑盒攻击成功率从 97% 压到 10%，干预点比想象中集中。

安全防御必然牺牲能力。 HoS 在常规基准上保住原水平，倒是有防御在少样本和工具调用上明显掉分。

白盒攻击无解。 针对 HoS 强化过的白盒攻击要多花三倍算力才达到同样效果，抬高攻击成本本身就是价值。

五、一句话结论

不用重训整个模型，管好几颗「安全头」，注入攻击的门槛就能抬高一个数量级。

信息来源

• 论文摘要：注意力门控防御提示注入（arXiv），2026 年 10 月 27 日提交

功能与价格以官方公告为准。本文写于 2026 年 10 月 29 日。