首尔国立大学、伊利诺伊大学厄巴纳-香槟分校和Largosoft的研究人员识别出代理数据注入（ADI），这是一种新型间接提示注入攻击类别，通过破坏AI代理隐式信任的元数据（如UI元素标识符、评论作者元数据和工具调用记录）来操纵代理行为，而非嵌入直接指令。ADI利用大型语言模型对结构标记的概率性解析方式，通过转义引号、花括号等字符制造虚构的数据边界，使模型将伪造内容误认为合法数据。
研究团队针对OpenAI的GPT-5.2和GPT-5-mini、Anthropic的Claude Opus 4.5和Sonnet 4.5，以及Google的Gemini 3 Pro和Flash等六个前沿模型进行了攻击测试，并在Chrome中的Claude、Google的Antigravity、Nanobrowser、Claude Code、OpenAI的Codex和Google的Gemini CLI等现实世界代理中验证了攻击效果。结果显示，针对结构化数据的攻击成功率在31%到43%之间，针对非结构化网页内容的成功率从三分之一到100%不等；即使在针对提示注入的防御措施下，ADI仍保留高达50%的有效性。
ADI的核心机制是“概率分隔符注入”，即利用类似合法结构标记的字符嵌入字段中，使模型错误判断数据边界。已验证的攻击向量包括：元素ID注入（如伪造按钮标识符）、源注入（如伪造评论作者）和工具调用与响应注入（如伪造测试结果）。研究发现，输入防护栏等现有防御措施对ADI无效，而随机化资源标识符（如OpenAI的ChatGPT Atlas浏览器采用的方法）可有效降低攻击成功率。
研究团队向相关供应商披露了研究结果，Anthropic、OpenAI和谷歌确认了其准确性，但截至发布时尚无修复方案。建议组织清点代理信任的元数据来源，审查现有提示注入防御措施，并转向随机化标识符和密码学绑定等缓解措施。研究结论指出，当前代理框架在元数据和上下文记录层面未能有效隔离可信与不可信数据，需要通过数据溯源等架构级控制措施来解决，这要求组织将数据溯源视为与授权和沙箱控制同等重要的安全控制类别。
