Den bäst försvarade modellen förlorar ändå
Promptinjektion — instruktioner insmugglade i de data en agent läser, i ett mejl, ett dokument eller en webbsida — är den attack som agentbyggare oftast nämner och sämst lyckas försvara sig mot. En artikel som lades upp på arXiv den 30 oktober sätter en siffra på hur illa det står till.
Meta-SecAlign är enligt författarna den bäst försvarade öppna språkmodell som finns. Under adaptiva promptinjektioner — attacker skrivna med kännedom om försvaret, inte mot en fast mall — närmar sig dess andel lyckade attacker 100 procent.
Varför träningsmålet är problemet
Artikelns diagnos handlar om förlustfunktionen snarare än om data. Meta-SecAlign tränas med DPO, som optimerar en modell i förhållande till en referensmodell. Den referensen är den oförsvarade versionen av samma modell, som är osäker, så träningen förankrar den försvarade modellen i ett osäkert mål.
Författarna hävdar att en idealiserad referens — en modell som är okänslig för injicerade instruktioner men behåller sin användbarhet — går att approximera, eftersom dess utdatafördelning under träning visar sig vara åtkomlig. Den observationen är vad deras alternativa förlust, SecPO, bygger på.
Två förändringar, mätta var för sig
Den andra invändningen är att Meta-SecAlign tränas mot svaga simulerade attacker. Författarna byggde en kedja för motståndarträning som syntetiserar starka injicerade indata, väljer den bästa av 240 kandidater per exempel och tränar på dem.
De redovisar de två förändringarna var för sig, vilket är det som gör resultatet läsbart. Motståndarträningen ensam minskar andelen lyckade attacker 1,5 till 14,5 gånger mot tre toppmoderna adaptiva attacker jämfört med Meta-SecAlign. Att byta DPO mot SecPO-förlusten minskar dem ytterligare 2,4 till 4,6 gånger.
Den agentiska siffran
Rubriksiffran kommer från AgentDojo, ett testupplägg för agenter som använder verktyg. Under attacken AttackerMovesSecond med 800 försök noterar författarnas modell med SecPO plus motståndarträning, byggd på Qwen3.6-27B, 8,8 procent lyckade attacker, mot 78,8 procent för Meta-SecAlign.
De redovisar också att ingen märkbar nyttoförlust uppstår i nio testuppsättningar som täcker agentiska verktygsanrop — den vanliga invändningen mot en härdad modell, att den blir oanvändbar och inte bara säker.
Vad detta är och inte är
Det här är författarnas egna siffror om sin egen metod, inte en oberoende utvärdering, och jämförelsen de slår är en viss försvarad modell. Adaptiva attacker är dessutom per definition ett rörligt mål: en angripare som skriver mot SecPO, i stället för mot DPO-tränade försvar, är ett annat experiment som artikeln inte genomför.
Vad den däremot fastställer är att avståndet mellan ett publicerat försvar och en målmedveten adaptiv angripare var i det närmaste totalt, och att valet av referensmodell i träningsmålet var en del av förklaringen.
Vad man ska följa
Den nyttiga uppföljningen är att någon annan attackerar den här modellen. 8,8 procent lyckade attacker under en attack som utformades innan försvaret fanns är ett påstående om den föregående generationen attacker, inte om nästa. Håll utkik efter oberoende AgentDojo-körningar och efter om SecPO-förlusten plockas upp av de labb som sätter agenter i produktion.
