Beyond Pattern Matching: Seven Cross-Domain Techniques for Prompt Injection Detection

📄 arXiv: 2604.18248v1 📥 PDF

作者: Thamilvendhan Munirathinam

分类: cs.CR, cs.CL

发布日期: 2026-04-20

备注: 16 pages, 1 table, 25 references. Code: github.com/mthamil107/prompt-shield

DOI: 10.5281/zenodo.19644135

💡 一句话要点

提出七种跨领域技术用于提示注入检测，突破传统模式匹配和微调分类器的局限。

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 提示注入检测 跨领域技术 局部序列比对 文体学分析 疲劳追踪 大型语言模型安全 对抗性攻击

📋 核心要点

  1. 现有提示注入检测方法依赖模式匹配和微调模型，易受释义攻击和自适应攻击的威胁。
  2. 借鉴法庭语言学等七个跨领域的技术，用于检测提示注入，提升检测的鲁棒性和泛化能力。
  3. 实验结果表明，所提出的局部比对和文体学检测器在多个数据集上显著提升了F1值，并验证了疲劳追踪器的有效性。

📝 摘要（中文）

现有的开源提示注入检测器主要依赖于正则表达式模式匹配和微调Transformer分类器，但两者都存在缺陷。正则表达式无法识别释义攻击，而微调分类器容易受到自适应攻击的影响。本文提出了七种检测技术，分别借鉴了法庭语言学、材料科学疲劳分析、网络安全中的欺骗技术、生物信息学中的局部序列比对、经济学中的机制设计、流行病学中的频谱信号分析以及编译器理论中的污点追踪。其中三种技术已在prompt-shield v0.4.1中实现，并在六个数据集上进行了四种配置的消融实验。局部比对检测器在deepset数据集上将F1值从0.033提升至0.378，且没有增加误报。文体学检测器在间接注入基准测试中增加了11.1%的F1值。疲劳追踪器通过探测活动集成测试进行了验证。所有代码、数据和复现脚本均以Apache 2.0协议发布。

🔬 方法详解

问题定义：论文旨在解决大型语言模型（LLM）中提示注入攻击的检测问题。现有的基于正则表达式和微调Transformer的方法存在明显的局限性：正则表达式无法有效应对释义攻击，而微调模型容易受到对抗性攻击的欺骗，导致检测效果大幅下降。这些方法缺乏对攻击模式的深度理解和泛化能力。

核心思路：论文的核心思路是从多个与LLM安全领域无关的学科中汲取灵感，将这些学科中成熟的检测机制迁移到提示注入检测中。通过引入多样化的检测视角和方法，提高检测系统的鲁棒性和抗攻击能力。这种跨领域融合的思想是解决当前提示注入检测瓶颈的关键。

技术框架：论文提出了七种跨领域的检测技术，并将其中三种（局部序列比对、文体学分析、疲劳追踪）集成到prompt-shield系统中。整体框架包含以下步骤：1) 接收用户输入提示；2) 使用七种检测技术并行分析提示；3) 综合各检测结果，判断是否存在提示注入攻击；4) 根据判断结果采取相应的安全措施。

关键创新：论文最重要的创新在于其跨领域的方法论。它打破了传统LLM安全研究的局限，从其他学科引入了全新的检测思路和技术。例如，局部序列比对借鉴了生物信息学中序列相似性分析的思想，用于检测提示中的恶意代码片段；文体学分析则利用法庭语言学中的文本风格分析技术，识别提示中不自然的语言模式。

关键设计：由于论文涉及七种不同的检测技术，每种技术都有其独特的设计细节。以局部序列比对为例，其关键设计在于选择合适的比对算法（如Smith-Waterman算法）和评分矩阵，以准确识别提示中的恶意代码片段。文体学分析的关键在于选择合适的文本特征（如词汇多样性、句子长度等）和分类器，以区分正常提示和恶意提示。疲劳追踪则需要精心设计探测活动，以模拟攻击者的行为，从而检测系统的脆弱性。

📊 实验亮点

实验结果表明，局部比对检测器在deepset数据集上将F1值从0.033显著提升至0.378，且没有引入额外的误报。文体学检测器在间接注入基准测试中也取得了显著的性能提升，F1值提高了11.1个百分点。此外，疲劳追踪器通过集成测试验证了其有效性，表明该方法能够有效检测潜在的攻击漏洞。

🎯 应用场景

该研究成果可应用于各种需要使用大型语言模型的场景，例如智能客服、聊天机器人、代码生成器等。通过提高提示注入攻击的检测率，可以有效保护用户数据安全，防止恶意代码执行，并提升LLM系统的整体安全性。未来，这些技术可以进一步集成到LLM防火墙、安全审计工具等产品中。

📄 摘要（原文）

Current open-source prompt-injection detectors converge on two architectural choices: regular-expression pattern matching and fine-tuned transformer classifiers. Both share failure modes that recent work has made concrete. Regular expressions miss paraphrased attacks. Fine-tuned classifiers are vulnerable to adaptive adversaries: a 2025 NAACL Findings study reported that eight published indirect-injection defenses were bypassed with greater than fifty percent attack success rates under adaptive attacks. This work proposes seven detection techniques that each port a specific mechanism from a discipline outside large-language-model security: forensic linguistics, materials-science fatigue analysis, deception technology from network security, local-sequence alignment from bioinformatics, mechanism design from economics, spectral signal analysis from epidemiology, and taint tracking from compiler theory. Three of the seven techniques are implemented in the prompt-shield v0.4.1 release (Apache 2.0) and evaluated in a four-configuration ablation across six datasets including deepset/prompt-injections, NotInject, LLMail-Inject, AgentHarm, and AgentDojo. The local-alignment detector lifts F1 on deepset from 0.033 to 0.378 with zero additional false positives. The stylometric detector adds 11.1 percentage points of F1 on an indirect-injection benchmark. The fatigue tracker is validated via a probing-campaign integration test. All code, data, and reproduction scripts are released under Apache 2.0.