Ceci est le dépôt de code de notre article : Your Agentic LLMs Secretly Encode Latent Signals of Indirect Prompt-Injection Exposure.

Version ArXiv et lien vers l'article : https://arxiv.org/abs/2608.02657

Ce dépôt implémente le pipeline de sondage des signaux latents d'exposition IPI : collecte de traces AgentDojo, étiquetage du risque IPI, featurisation des états cachés, et entraînement/évaluation des sondes d'exposition IPI.

Citation

@misc{dong2026agenticllmssecretlyencode,
  title={Your Agentic LLMs Secretly Encode Latent Signals of Indirect Prompt-Injection Exposure},
  author={Jianshuo Dong and Yiming Liu and Maosen Zhang and Nan Deng and Xu Peng and Xiaoping Zhang and Tianwei Zhang and Jie Zhang and Han Qiu},
  year={2026},
  eprint={2608.02657},
  archivePrefix={arXiv},
  primaryClass={cs.CR},
  url={https://arxiv.org/abs/2608.02657},
}

Démarrage rapide

Commencez par les vérifications compatibles CPU :

1. Clonage et configuration

git clone https://github.com/jianshuod/IPI-exposure-signal.git
cd IPI-exposure-signal

# Install uv if needed.
curl -LsSf https://astral.sh/uv/install.sh | sh

# This repository targets Python 3.12.
uv python install 3.12
uv sync --extra dev

2. Exécution des tests

uv run pytest

La suite de tests est conçue pour s'exécuter sans ressources GPU. Elle vérifie la sérialisation des messages, l'enregistrement des attaques long-horizon AgentDojo, la logique d'étiquetage, la construction des jeux de données de sondes, les métriques d'entraînement, le comptage des tokens et l'empaquetage du patch vLLM.

3. Configuration d'un point de terminaison de modèle

Pour la collecte, pointez le collecteur vers un serveur de modèles compatible OpenAI :

export IPI_AWARE_UPSTREAM_BASE_URL=http://127.0.0.1:8000/v1
export IPI_AWARE_UPSTREAM_API_KEY=EMPTY

Pour l'extraction des états cachés et l'entraînement des sondes, installez les dépendances du modèle et la version de PyTorch correspondant à votre environnement CUDA :

uv sync --extra dev --extra models

Aperçu du pipeline

Le flux de travail principal est exposé via ipi-signal-probe :

Exemple :

uv run ipi-signal-probe collect \
  --suite workspace \
  --attack direct \
  --injected \
  --max-cases 4 \
  --results-dir results/probe_traces/v2

uv run ipi-signal-probe label \
  --root results/probe_traces/v2/<run-name> \
  --labeling-protocol risk_faced

uv run ipi-signal-probe featurize \
  --root results/probe_traces/v2/<run-name> \
  --model Qwen/Qwen3-8B \
  --backend transformers_hook \
  --model-family qwen3 \
  --selected-position -1

uv run ipi-signal-probe partition \
  --root results/probe_traces/v2/<run-name> \
  --dataset broad

# Training consumes a JSON config. The Qwen example below generates the
# train/eval configs used for its full run.

Les protocoles d'étiquetage pris en charge sont risk_faced, risk_visible et risk_actual.

Exemple reproductible Qwen3.5-0.8B

Le répertoire examples/qwen3_5_0_8b/ contient une reproduction exécutable sur petit modèle et un test d'utilisabilité open source pour Qwen/Qwen3.5-0.8B.

Démarrez huit serveurs vLLM mono-GPU :

examples/qwen3_5_0_8b/serve_qwen3_5_0_8b_8x.sh start

Exécutez un test de fumée :

QWEN3_5_0_8B_MODE=smoke \
examples/qwen3_5_0_8b/run_probe_pipeline.sh start

Exécutez l'exemple complet :

QWEN3_5_0_8B_MODE=full \
examples/qwen3_5_0_8b/run_probe_pipeline.sh start

L'exemple complet utilise 8 serveurs vLLM indépendants TP=1, 8 processus de collecte, 256 workers par processus/serveur, 8 shards de featurisation et des shards d'entraînement de sonde sur un seul GPU. Consultez examples/qwen3_5_0_8b/README.md pour toutes les variables d'environnement, les modes de reprise, les paramètres de cache et les commandes de statut/arrêt.

Capture directe vLLM

Le backend de featurisation par défaut est transformers_hook. Le backend de capture directe des états cachés vLLM nécessite l'overlay vLLM 0.19.0 vérifié :

uv sync --frozen --extra dev --extra vllm
uv run python scripts/apply_vllm_ipi_aware_patch.py --check

Suivez docs/vllm_patches_v0.19.0.md avant utilisation :

uv run ipi-signal-probe featurize \
  --root results/probe_traces/v2/<run-name> \
  --model Qwen/Qwen3-8B \
  --backend vllm_direct \
  --model-family qwen3 \
  --selected-position -1

Attaques AgentDojo long-horizon

Ce dépôt inclut une copie patchée d'AgentDojo sous vendor/agentdojo. La version amont d'AgentDojo n'expose pas nativement les attaques long-horizon requises par l'article : les commandes de collecte doivent donc être exécutées depuis cette copie source, ou avec vendor/agentdojo/src placé devant toute version amont d'AgentDojo installée dans PYTHONPATH.

Structure du répertoire

IPI-exposure-signal/
├── ipi_aware/
│   ├── data_collection/      # AgentDojo traces and decision points
│   ├── message_content.py    # Chat-message normalization used by collection/features
│   └── probes/               # labels, features, partitions, training, eval
├── examples/
│   └── qwen3_5_0_8b/         # 8-GPU Qwen/Qwen3.5-0.8B reproduction scripts
├── patches/                  # vLLM 0.19.0 hidden-state capture overlay
├── vendor/agentdojo/         # patched AgentDojo source for long-horizon attacks
├── docs/                     # vLLM patch notes
├── scripts/                  # utility scripts
└── tests/                    # CPU-friendly regression tests

Configuration de l'environnement

Licence

Ce projet est sous licence Apache-2.0. Voir LICENSE.