CapLite：无需模型自写安全策略的小模型智能体提示注入防御
CapLite: Prompt-Injection Defense for Small Language Model Agents without Model-Written Security Artifacts
用小模型跑智能体的开发者应该看看这篇。CaMeL 这类防御要求模型自己写安全策略，但 1.7B-12B 的开源模型基本写不靠谱，论文测了 15 个模型几乎全军覆没。CapLite 从工具 schema 直接推策略，在 13935 个攻击回合里零失守，token 消耗只有 CaMeL 的 18%。
arXiv 论文提出 CapLite，一种针对小型语言模型智能体的提示注入防御方法。核心问题是：现有强制执行类防御（CaMeL、Progent、IPIGuard、DRIFT）都依赖智能体自身的模型来编写安全工件（程序、权限策略、依赖图或约束列表），而作者在 15 个开源权重模型（其中 13 个参数量在 1.7B 到 12B 之间）上的测试表明，小模型写不出可靠的安全工件——Progent 策略在 14 个模型上被攻破，IPIGuard 在 13 个，DRIFT 在 11 个，CaMeL 生成的程序最多有 68% 的回合无法运行。
CapLite 改为直接从工具 schema 推导策略，在任何工具结果被读取之前就提交写入调用，只有当决定写入影响对象的所有参数都已在用户请求中明确出现时才放行写入。这保证了写入完整性：注入文本无法新增写入，任何写入也不会抵达用户未指定的接收方、金额或目的地。在 13935 个遭受攻击的 AgentDojo 回合中，没有一次攻击成功。
效率上，CapLite 在攻击下的效用为 29.0%，与 CaMeL 的 27.2% 相当；每回合消耗 17.1k token，仅为 CaMeL 的 18%，低于所有其他强制执行类防御，也低于无防御的智能体基线，在所有强制执行防御中实现最高的单位 token 效用。这对在本地或边缘环境部署 1.7B-12B 级别开源模型的开发者有直接参考价值：安全策略不必依赖模型自身能力来生成。
CapLite: Prompt-Injection Defense for Small Language Model Agents without Model-Written Security Artifacts
Enforcement defenses against prompt injection, such as CaMeL, Progent, IPIGuard and DRIFT, ask the agent's own model to write a security artifact (a program, a privilege policy, a dependency graph or a constraint list) that code then enforces. We ask whether small language model (SLM) agents can be trusted to write these artifacts. Across 15 open-weight models, 13 of them between 1.7B and 12B parameters, they cannot: the policies, graphs and constraints that the agent's model writes admit attacks on 14 (Progent), 13 (IPIGuard) and 11 (DRIFT) of the models, and CaMeL's programs fail to run in up to 68% of episodes. We present CapLite, which derives its policy from the tool schemas, commits the write calls before any tool result is read, and admits a write only if every argument that decides whom or what it affects is stated in the user's request. This guarantees write integrity: injected text cannot add a write, and no write reaches a recipient, amount, object or destination that the user did not state. No attack succeeds in 13,935 attacked AgentDojo episodes. CapLite reaches utility under attack comparable to CaMeL's (29.0% vs. 27.2%) with fewer tokens than every other enforcement defense and than the undefended agent: 17.1k per episode, 18% of CaMeL's, and the highest utility per token of all enforcement defenses.
本条情报归属 AITOP「论文」核心追踪栏目。在跨区域产业观察坐标中，该动态直接关联「AI 开发者工具链、Coding Agent 与工程化实践」研究主线，反映出当前技术演进与商业落地的最新风向。涉及核心实体与技术议题包括：CapLite、提示词工程、智能体、AgentDojo，读者可通过下方标签进入对应专题页查阅历史脉络与关联对比。
信源核验说明：本文原始线索采编自「arXiv cs.AI」（@Zimo Xu, Wenzhuo Liu, Hideki Nakayama），经 AITOP 多维评分管线结构化提炼。