MobileInject: Evaluating Reasoning-to-Action Security of MLLM-Based Mobile Agents under Cross-Modal Consistency Injection
作者: Songping Wang, Peiyang Li, Yi Huang, Fengting Li, Xuhao Ran, Yueming Lyu, Chao Feng, Caifeng Shan
分类: cs.CR, cs.AI
发布日期: 2026-10-16
💡 一句话要点
提出MobileInject以评估MLLM基础移动代理的安全性问题
🎯 匹配领域: 支柱一：机器人控制 (Robot Control) 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 多模态注入 移动代理 安全性评估 推理劫持 跨模态一致性 人工智能安全 智能手机安全
📋 核心要点
- 现有方法在移动生态系统中对多模态注入攻击的理解不足，安全分析也相对有限。
- 本文提出MobileInject基准框架，评估移动代理在多模态注入攻击下的安全性，涵盖多种场景和风险实例。
- 实验结果显示，移动代理普遍存在多模态注入的脆弱性，推理劫持是主要失败原因，推动了安全性研究的深入。
📝 摘要（中文）
基于多模态大语言模型（MLLM）的移动代理正在迅速发展为能够感知、推理和在智能手机环境中行动的自主系统。这种能力也带来了新的安全风险：对手可以在跨应用移动内容中嵌入恶意目标，通过间接的多模态注入来操控代理行为。尽管在桌面和网络环境中对提示注入进行了研究，但在移动生态系统中的跨模态特性仍然不够了解，现有的安全分析也有限。为了解决这一问题，本文提出了MobileInject，这是第一个用于评估移动代理在多模态注入攻击和推理到行动安全风险方面的基准。MobileInject提供了一个高保真度的互动移动评估框架，涵盖11种场景、9类安全风险和108个可执行风险实例。它进一步引入了跨模态一致性注入，以利用模态间的相互证实，并提出了两种增强的攻击方法，旨在加剧信任操控和推理劫持，最后建立了一个推理安全诊断框架以进行细粒度的失败分析。系统实验表明，移动代理普遍易受多模态注入攻击，许多失败源于早期阶段的推理劫持。这些发现使MobileInject成为研究和改善移动代理安全性的系统性跨模态基准。
🔬 方法详解
问题定义：本文旨在解决移动代理在多模态注入攻击下的安全性问题。现有方法对移动生态系统中的跨模态特性理解不足，导致安全分析不够全面。
核心思路：论文提出MobileInject基准框架，通过高保真度的互动评估来分析移动代理的安全性，重点关注多模态注入攻击的影响。
技术框架：MobileInject框架包括11种应用场景、9类安全风险和108个可执行风险实例，采用跨模态一致性注入技术来增强攻击效果。
关键创新：最重要的创新在于引入了跨模态一致性注入和两种新的攻击方法，Multi-Role Collaborative Deception和Reasoning-Camouflage Injection，显著提升了对信任操控和推理劫持的理解。
关键设计：在设计中，MobileInject框架采用了细粒度的推理安全诊断，能够深入分析失败原因，提供了系统性的评估标准和实验数据支持。
🖼️ 关键图片
📊 实验亮点
实验结果表明，移动代理在多模态注入攻击下的脆弱性普遍存在，推理劫持是导致失败的主要原因。具体实验显示，许多代理在早期阶段就遭遇了推理劫持，影响了其决策能力。这些发现为后续的安全性改进提供了重要依据。
🎯 应用场景
该研究的潜在应用领域包括智能手机安全、移动应用开发和人工智能助手的安全性评估。通过提供一个系统性的评估框架，MobileInject可以帮助开发者识别和修复安全漏洞，从而提升用户信任和系统安全性。未来，随着移动代理技术的不断发展，MobileInject的应用价值将愈加显著。
📄 摘要（原文）
Multimodal large language model (MLLM)-based mobile agents are rapidly evolving from conversational assistants into autonomous systems that perceive, reason over, and act on smartphone environments. This capability also exposes a new security risk: adversaries can embed malicious objectives in cross-application mobile content and steer agent behavior through indirect multimodal injection. Although prompt injection has been studied in desktop and web settings, its cross-modal properties in mobile ecosystems remain poorly understood, and existing security analyses are still limited. To close this gap, we introduce MobileInject, the first benchmark for evaluating mobile agents against multimodal injection attacks and reasoning-to-action security risks. MobileInject provides a high-fidelity interactive mobile evaluation framework covering 11 scenarios, 9 security-risk categories, and 108 executable risk instances. It further introduces Cross-Modal Consistency Injection to exploit corroboration across modalities, two enhanced attack methods, Multi-Role Collaborative Deception and Reasoning-Camouflage Injection, to intensify trust manipulation and reasoning hijacking, and a Reasoning Security Diagnosis Framework for fine-grained failure analysis. Systematic experiments show that mobile agents are broadly vulnerable to multimodal injection, and that many failures stem from reasoning hijacking at early stages. These findings establish MobileInject as a systematic cross-modal benchmark for studying and improving the security of mobile agents. Code release details are provided in the Appendix Open Science section.