今日 / 论文
AP2协议中的低语攻击与A-VIP绑定防御机制
原标题：Signing the Transaction but Not the Decision: Whisper Attacks and a Binding Defense for AP2
解读说明：依据 arXiv HTML 正文解读（约 20000 字）
这篇在讲什么
随着软件代理开始代表用户进行购物和支付，代理支付协议（AP2）虽然通过加密签名确保了交易本身的完整性，却未能约束导致交易的决策过程。本文指出，商户完全控制的产品描述文本可以作为一种攻击向量，即“低语攻击”，诱导代理做出违背用户意图的行为，而最终生成的购物车仍能通过所有协议检查。
文章具体展示了三类攻击：一是诱导代理获取其他用户的支付凭证；二是组装一个与用户所见不符但密码学有效的购物车；三是通过关于库存或产品血统的事实性声明，将代理从较便宜的显示商品引导至更昂贵的商品。实验表明，在AP2默认指定的Gemini Flash-Lite模型上，这三类攻击的成功率分别为90%、56%和73.3%。这种从指令到事实的升级使得攻击能够绕过模型层的防御，并在17个Google模型、3个无关代理框架以及Google旗舰消费助手上均有效。
与既有工作不同，本文不仅识别了漏洞，还提出了协议层防御A-VIP（AP2 Verified-Intent Protection）。A-VIP将签名意图视为能力授权，通过移除用户标识符、将购物车行绑定到显示的列表以及标记未授权支出，来阻断攻击。前两类攻击因留下结构性痕迹而被零误报阻断，第三类因无痕迹而被表面化以供用户确认。
读者应记住，AP2的安全模型假设提示注入不可避免，旨在限制其影响，但现有约束机制在决策边缘存在缺口。A-VIP填补了这一缺口，且作者发布了机器检查的不变量和AP2-WhisperBench基准，以便维护者对每个样本代理发布进行回归测试。
主要思路
研究首先分析了AP2协议的背景，指出其通过意图、购物车和支付三个签名授权来授权代理介导的支付，但签名仅绑定交易本身，未绑定产生交易的决策。威胁模型聚焦于商户控制的产品描述文本如何影响代理推理。
方法上，作者设计了A-VIP防御机制，包含三个核心组件：凭证查找（移除标识符范围）、购物车绑定（通过算术和身份检查将购物车行绑定到显示的列表）以及选择表面化（标记意图未授权的支出）。实验设置使用了AP2参考代理默认指定的Gemini Flash-Lite模型，并扩展到17个Google构建、2个跨供应商锚点、3个无关代理框架及Google旗舰消费助手。评估通过AP2-WhisperBench进行，该基准包含1544个评估场景，通过阅读而非子字符串匹配来评分推理层家族。论证步骤包括测量三类攻击在不同模型和框架上的成功率，验证A-VIP在阻断前两类攻击时的零误报特性，并分析第三类攻击的结构性边界。
关键结论
在Gemini Flash-Lite模型上，三类攻击的成功率分别为90%（凭证窃取）、56%（购物车篡改）和73.3%（事实性选择升级）。事实性攻击家族跨越了指令家族未达到的模型层级，在17个Google构建、3个无关代理框架和旗舰消费助手上均成功。两个跨供应商锚点中，一个在1.2%的比率下抵抗攻击，但这并非协议供应商的模型。A-VIP防御在阻断前两类攻击时实现了零误报，因为绑定检查的是协议已承诺的结构。第三类攻击因签名对象保持一致而无法被阻断，但可通过表面化未授权支出并由用户确认来缓解，其成本可通过设定预算消除。
原文依据
Signing the Transaction but Not the Decision
preventing prompt injection attacks is infeasible
all LLMs and Agents MUST be considered potential attackers
constraint enforcement during closed Mandate verification ensures that the worst-case financial and logical impacts are strictly bounded
The first two attacks leave structural traces that these bindings block with zero false positives
评点
对安全部署而言，这意味着仅依赖模型层的指令遵循或提示注入防御不足以保护代理支付决策。协议所有者必须实施结构性的绑定防御，如A-VIP，以在决策边缘约束代理行为。合规部署需确保凭证查找与购物车构建严格绑定到用户意图，并建立针对事实性操纵的监控机制，以防止代理在看似合法的协议检查下执行未授权的高成本交易。
id: arxiv:2609.11757