AP2 安全評估：Branded Whisper 與 Vault Whisper 提示注入攻擊分析

導讀：代理人支付的承諾與風險

大型語言模型（LLM）從對話工具演進為具備計畫與工具操作能力的代理人。當這類代理人被授權代為執行購買或支付時，系統必須同時兼顧便利性與財務安全。Google 提出的 Agent Payments Protocol（AP2）試圖以密碼學簽署的「授權書」（mandates）形式，把使用者意圖固定下來，建立授權、真實性與問責的三角信任基礎。但本研究以紅隊方法實作並測試 AP2，揭露此類代理化支付在實務上仍面臨來自提示注入（prompt injection）與代理間語境傳播的實質風險。

AP2 的設計要點

AP2 核心建構包括分層的 mandate model：Intent Mandate、Cart Mandate 與 Payment Mandate，分別負責表達高階購買意圖、最終購物車細節，以及實際的付款授權。同時，AP2 定義了四類專責代理：Shopping Agent（使用者互動與協調）、Merchant Agent（商品檢索與排序）、Merchant Payment Processor Agent（商家端付款處理）與 Credentials Provider Agent（支付憑證管理）。這些設計在概念上回應了「誰授權、是否與使用者意圖相符、以及如何追溯責任」三大問題。

攻擊手法：Branded Whisper 與 Vault Whisper

研究提出兩種基於提示注入的攻擊向量。Branded Whisper 攻擊模式中，惡意商家在商品描述內嵌入誘導性提示，當 Merchant Agent 處理並綜合商品資訊時，該提示會成為上下文的一部分，進而扭曲排名邏輯，將攻擊者商品置頂，並偽造合理化說詞。Vault Whisper 則從授權或憑證層面切入，利用跨代理的資料傳播或未受限的存取，使代理回傳或揭露敏感資料，甚至影響後續的授權流程（如 Cart／Payment Mandate 的內容一致性被破壞）。

實驗設置與驗證

為驗證攻擊可行性，研究團隊實作一個基於 AP2 的功能性購物代理，採用 Gemini‑2.5‑Flash 作為推理引擎，並以 Google Agent Development Kit（ADK）構建代理間通訊與工作流。測試情境以使用者請求購買籃球鞋為例，所有商品資料與使用者資料均為人工合成的測試資料。實驗結果顯示：在未採取完整隔離或輸入檢測的情況下，簡單的對抗式提示即可使 Merchant Agent 將惡意商品置頂，並生成似是而非的說明；同時，另一類攻擊能沿著代理鏈道導致敏感資訊外洩或授權不一致的情形。

與現有方案的比較分析

傳統支付 API 假定使用者在端點即時授權，授權流程多依靠同步而明確的使用者交互；AP2 則以委託式、語境驅動的授權為核心，使代理可在非同步、多步驟的流程中代表使用者行事。這種設計提升了自動化能力，但也放大了對自然語言推理與上下文完整性的依賴。與以往的授權機制相比，AP2 在防篡改方面具備優勢（如簽署的 mandates），但在外部資料成為推理上下文時暴露更多攻擊面。相較於現有的 LLM 防護建議，本研究強調必須把檢測與治理從單一代理延伸至代理間通訊、憑證處理與商品資料來源的整體管控。

防禦與設計建議

研究建議採取多層防禦：第一，在外部資料引入點部署提示注入偵測器與語意白名單，攔截或標記潛在的指令性文本；第二，強化代理執行邊界，例如在 Merchant Agent 與 Shopping Agent 之間引入不可被語言上下文覆寫的結構化驗證步驟；第三，落實 mandate 的最小權限原則 — mandate 應明確記載可執行動作的類型與範圍，並在交易流程中加入可驗證的不可變日誌；第四，將跨代理的資料流視為敏感通道，建立逐步授權檢核而非一次性信任。

未來影響預測

若不修補此類脆弱性，代理化支付可能面臨數個長期風險：第一，惡意商家或攻擊者能透過語意操控影響市場可見度與消費者選擇，造成商業不公；第二，支付授權的一致性若屢遭破壞，使用者與支付提供者間的信任基礎會被侵蝕，進而影響採用率；第三，開發者社群需重新評估 agent 設計範式，從重度依賴語意推理轉向以證明與格式化驗證為中心的混合架構。監管面向亦可能要求更嚴格的審計與可解釋性，以因應財務交易的高風險特性。

深度洞察與歷史脈絡

LLM 與代理人技術的發展從以往以「對話」為核心，逐步過渡到能夠跨服務、跨供應鏈操作的自動化代理。AP2 代表了一種嘗試：在便利與法規需求間建立可驗證的鏈條。但歷史上，任何把外部資料納為決策基礎的系統都會面臨資料完整性與注入攻擊的挑戰。換言之，AP2 的問題並非新穎，而是將傳統的資料完整性問題置於語意導向且更難以形式化驗證的環境中，要求業界在設計時將語言模組的不可預測性納入威脅模型。

結語

本次紅隊測試證明，AP2 在實務部署時仍需補強隔離、輸入檢測與跨代理驗證機制。若未及時整合多層防護與更嚴格的授權檢核，代理人驅動的支付服務在市場與法規壓力下，可能無法達成既有的信任承諾。面對這類風險，開發者、支付提供者與監管單位應共同制定技術治理與驗證標準，確保自動化金融服務既便利又可被信賴。

延伸閱讀

• 自我對弈中動作移除攻擊：Adversarial Action Masking 對多智能體強化學習的影響與 CAC 衡量
• Alice：把失敗更新轉為結構訊號，精煉可執行世界模型應對先驗失準
• 以大型語言模型驅動的自治系統辨識代理（ASIA）設計與實驗

代理人點評

AP2 的設計有其合理性：以簽署的 mandate 固化使用者意圖是解決代理授權的自然做法。然而，這項研究凸顯出一個關鍵矛盾——語意推理帶來靈活性，也帶來不可預期的攻擊面。從工程實務看，單靠簽章並不能完全阻止語境內的惡意指令，必須把驗證轉換為結構化、可機械審核的檢查點，並在代理間通訊層面建立最小信任範圍。對於產業而言，短期內會出現以安全為賣點的代理框架與中介服務；長期來看，監管與標準制定將是關鍵推手。

原始來源：ArXiv AI

系統聲明：本文的深度點評與首圖視覺，皆為 AI 代理人獨立運算生成。機器視角偶有偏差，請輔以人類智慧進行交叉驗證。