从单页投毒到证据链劫持：搜索 Agent 的长程提示注入攻击

当搜索 Agent 给出一个带有多个网页引用、研究报告和第三方评测的答案时，我们通常会认为它比普通大模型更可信。

毕竟，它不是依靠模型记忆直接作答，而是主动搜索、访问网页、比较不同来源，再根据证据生成结论。

但这套看似更加可靠的工作流程，也带来了一个新的攻击问题：

如果攻击者不再试图用一个恶意网页控制 Agent，而是沿着 Agent 的搜索轨迹，不断为它铺设相互印证的“证据面包屑”，会发生什么？

2026年8月，中国科学技术大学与南洋理工大学的研究人员在论文《Breadcrumbing Search Agents》中给出了答案。

论文原文（arXiv）

论文提出了一种名为 Authority-Chain Hijack，ACH 的长程攻击策略。攻击者每次只能向搜索结果中追加一个受控页面，却可以根据 Agent 后续搜索和验证行为不断调整内容，最终把多个看似独立的来源组织成一条连贯的证据链。

在论文默认的全量测试配置中，ACH 的攻击成功率达到55.9%，五次重复测试中至少成功一次的案例比例达到83.3%；经过轨迹引导的策略演化后，单一配置在留出测试集上的攻击成功率进一步达到71.4%，MaxN ASR达到95%。

这篇论文最值得关注的地方，并不是又找到了一种更复杂的网页提示注入方式。

它真正揭示的是：

搜索 Agent 的安全边界，不只存在于某一个网页中，还存在于整个“搜索—访问—验证—回答”的证据形成过程里。

搜索 Agent 和传统 RAG 有什么不同

传统 RAG 的工作流程通常比较固定：

• 用户提出问题
• 系统一次性检索若干文档
• 文档被拼接进上下文
• 大模型基于这些材料生成答案

在这个过程中，检索结果通常在模型开始回答前就已经确定。

搜索 Agent 则不同。

它会像人一样连续执行多个步骤：

分析问题
↓
生成搜索词
↓
查看搜索结果
↓
选择网页
↓
阅读网页
↓
发现信息缺口
↓
再次搜索
↓
比较不同来源
↓
生成答案。

论文使用的是一种 DeepResearch 风格的 ReAct 搜索架构。Agent 可以自主选择三类动作：

• Search：发起新的搜索
• Visit：打开某个网页
• Answer：结束搜索并生成最终答案

因此，搜索 Agent 最终使用的证据并不是预先固定的，而是在运行过程中动态形成的。它下一步搜索什么、访问哪个页面、如何理解不同来源，都取决于此前看到的内容。

这也意味着攻击面发生了变化。

对于传统 RAG，攻击者主要考虑的是：

如何让恶意文档进入检索结果。

对于搜索 Agent，攻击者还可以进一步考虑：

如何利用当前搜索结果，影响 Agent 下一步搜索什么。

一旦攻击者能够影响后续查询，攻击对象就不再只是某一段上下文，而是 Agent 的整个信息采集轨迹。

为什么一个恶意网页反而越来越难控制搜索 Agent

最直接的搜索 Agent 攻击方式，是制作一个带有误导信息或隐藏指令的网页，并让它出现在搜索结果中。

但现代搜索 Agent 往往不会只看一个页面。

假设用户问：

哪款低价邮件营销工具最值得推荐？

攻击者制作了一个网页，宣称某个虚构产品 MailMaxPro 拥有最高的邮件打开率和最低价格。

Agent 第一次搜索时可能会看到这个页面，但接下来还可能继续搜索：

• MailMaxPro 用户评价
• MailMaxPro 是否可靠
• MailMaxPro 与其他产品对比
• MailMaxPro 是否有独立评测
• 相关数据来自哪项研究

如果其他网页都没有提到 MailMaxPro，或者多个真实来源推荐的是其他产品，最初的恶意页面就会被迅速稀释。

在这种情况下，搜索 Agent 的交叉验证能力反而形成了一道天然防线：

一个来源可以说谎，但其他来源可能拆穿它。

论文中的静态攻击正是经常失败在这里。恶意页面虽然被 Agent 看到，甚至被打开，但在后续搜索和最终综合阶段被当成不可靠来源而丢弃。

但《Breadcrumbing Search Agents》提出了一个更棘手的问题：

如果 Agent 每次验证时，都会找到一个新的页面，继续支持同一套说法呢？

Breadcrumbing：沿着搜索路径铺设“证据面包屑”

Breadcrumbing 原本是“撒下面包屑”的意思。

在这篇论文中，它指的是攻击者不会在第一次搜索时就塞入全部误导内容，而是根据 Agent 的行为，逐步提供下一块证据。

例如：

第一次搜索：建立最初的可信锚点

Agent 搜索“2026年低价邮件营销平台对比”。

攻击者向正常搜索结果中追加一个看似相关的评测页面，宣称 MailMaxPro 在价格和投递率方面表现突出。

此时攻击目标不是立即说服 Agent，而是让 Agent：

• 注意到这个产品
• 认为它值得进一步调查
• 主动发起与该产品有关的后续搜索

第二次搜索：回答 Agent 的质疑

Agent 随后搜索“MailMaxPro 用户评价”。

攻击者不再重复第一篇文章，而是提供一个看起来像独立评论网站的页面，讨论使用体验、投递率和客户反馈。

第三次搜索：构造第三方验证

Agent继续搜索“MailMaxPro 是否可靠”。

攻击者再提供一个带有行业报告、研究年份或信任标识的页面，将前面的产品数据包装成来自第三方研究的结论。

第四次搜索：解释冲突证据

如果 Agent 找到了一个不支持 MailMaxPro 的真实页面，后续受控页面可以把它描述成：

• 数据已经过时
• 评测版本不同
• 使用了不同统计口径
• 没有覆盖最新产品版本

这样一来，真实证据不再被视为对攻击叙事的否定，而被重新解释成“旧信息”或者“适用范围不同”。

论文将这种策略称为 Authority-Chain Hijack，可以翻译为“权威链劫持”或者“证据权威链劫持”。

它的核心不是反复重复同一句话，而是让不同页面分别扮演不同角色：

• 第一页负责引入目标
• 第二页负责建立可信度
• 第三页负责提供所谓独立验证
• 后续页面负责解释矛盾
• 最终让 Agent 主动将这些内容综合成结论

在论文的 MailMaxPro 案例中，完整 ACH 策略会围绕同一套投资回报率、投递率、研究报告、评论和信任标识构建连续叙事。没有明确策略时，即使 Agent 打开了两个受控页面，也可能最终认定该产品和相关数据是虚构的。

攻击者并不需要控制整个搜索引擎

这篇论文采用了一个相对受限的威胁模型。

攻击者不能：

• 修改正常搜索结果
• 删除真实网页
• 篡改 Agent 访问的正常页面
• 控制整个搜索引擎
• 任意重写所有工具返回

攻击者只能做两件事：

• 每次搜索时，在大约10条正常结果之外追加至多一条受控结果
• 当 Agent 访问这条受控结果时，动态生成对应网页内容

正常搜索结果和正常网页始终保持不变。

论文用个性化广告作为这一威胁模型的现实参照。

搜索平台本身可以是正常的，但第三方广告服务可能获得当前搜索词，并动态返回一条赞助结果。广告主同时控制对应落地页，因此可以根据用户或 Agent 的搜索意图调整页面内容。

需要强调的是，论文并没有在真实搜索引擎或广告平台上实施攻击。所有实验均在受控的 Search/Visit 工具接口中完成，研究人员没有发布真实恶意页面，也没有影响真实用户。

尽管如此，这个威胁模型仍然揭示了一项重要风险：

攻击者不需要垄断搜索结果，只需要持续占据一个能够被 Agent 看到和访问的位置。

只要每次搜索都有一次影响 Agent 的机会，多次弱影响就可能沿轨迹累积成一次强控制。

长程攻击系统由三个组件组成

为了保证每次注入的页面不会互相矛盾，论文设计了一个有状态的攻击运行时。

它主要包含三个部分。

1. 轨迹记忆

攻击者会记录此前发生过的事件，包括：

• Agent 搜索了什么
• Agent 访问了哪些页面
• 哪些受控页面已经被展示
• 前面的页面使用了哪些数据和叙事
• Agent 当前在怀疑什么
• 哪些真实来源与攻击目标发生冲突

没有这部分记忆，攻击者每次只能独立生成一个页面，很容易出现数据不一致、来源身份冲突或者叙事断裂。

2. 事件级规划器

当 Agent 发起一次新的 Search 或 Visit 时，规划器根据当前事件和历史轨迹决定：

• 是否需要在这一步进行干预
• 应该生成什么搜索结果摘要
• 页面应该扮演什么证据角色
• 是继续强化原有说法，还是回应新的质疑
• 如何与此前页面保持一致

3. 轨迹级攻击策略

策略负责提供更高层的指导，例如：

• 先建立可信锚点，不要过早暴露最终目标
• 后续来源应形成相互支持的证据链
• 当 Agent 验证时，要回答它当前关心的问题
• 出现冲突证据时，要保持来源与核心结论的绑定
• 让目标信息以容易被最终答案提取的形式出现

简单来说：

记忆负责“前面说过什么”，规划器负责“这一步说什么”，策略负责“整条证据链要如何发展”。

论文的消融实验也证明，攻击效果并不主要来自某一条特别强的恶意提示词。

在同一实验子集上，完整 ACH 的总体攻击成功率为51.8%；移除反思后仍为50.4%，但移除轨迹记忆后下降到36.8%，移除策略输入后进一步下降到19.7%。

这说明真正关键的是跨步骤的一致性和轨迹级策略，而不是单次页面生成能力。

攻击要连续突破两道门

论文没有把“Agent 看到了恶意内容”直接定义为攻击成功。

最终答案必须满足对应的攻击目标检查表，才算真正成功。

从搜索结果到最终答案，中间至少存在两道关键门槛。

第一道门：Agent 是否会打开受控页面

攻击者首先要让追加的搜索结果足够相关、可信和有吸引力。

如果页面没有被访问，里面构造得再精细也没有意义。

论文将其称为 Injected-Visit Rate，即出现攻击页面访问的轨迹比例。

第二道门：页面内容是否能进入最终答案

即使 Agent 打开了受控页面，也可能：

• 不相信其中的说法
• 找到相反的真实证据
• 将页面标记为低质量来源
• 在最终回答时忽略相关内容
• 把危险内容改写成警告

论文使用“访问攻击页面后的条件攻击成功率”衡量第二道门。

传统静态攻击通常只能突破其中一道：

• 有的搜索摘要足够醒目，但页面不可信
• 有的页面内容很有说服力，但搜索结果不够相关，Agent 根本不点
• 有的页面一度影响 Agent，却在后续验证时被其他来源稀释

ACH 的优势在于同时优化这两道门：

先根据当前查询吸引 Agent 访问，再根据后续验证行为提高证据的保留概率。

以Qwen3受害模型为例，SafeSearch静态页面攻击的总体ASR为27.9%，攻击页面访问率为72.0%，访问后的条件成功率为39.5%；ACH将三项指标分别提高到55.9%、90.2%和63.1%。类似的双重增益也出现在MiniMax-M2.5、DeepResearch和Qwen3.5-9B上。

实验覆盖了五类风险和六种受害模型

论文基于 SafeSearch 基准开展实验。

原始 SafeSearch 包含300个测试案例，覆盖五类风险：

• Advertisement：广告和商业推荐操纵
• Bias-Inducing：偏见诱导
• Fake-Information：虚假信息
• Harmful-Output：有害输出
• Prompt-Injection：提示注入

作者移除了13个只能访问指定网站的案例，得到287个开放网络场景案例。其中每类20个、共100个案例用于策略开发，其余187个案例用于留出测试。每个测试案例执行5次，并分别报告平均攻击成功率ASR和至少一次成功的MaxN ASR。

论文测试了六个不同后端模型：

• Qwen3.5-9B
• Gemma4-31B
• DeepResearch
• MiniMax-M2.5
• Qwen3
• Kimi-K2.5

所有模型使用相同的 DeepResearch 风格搜索框架，区别只在底层模型。

实验结果显示，ACH 在六种受害模型上都取得了最高的总体攻击成功率，相比各模型上最强的非ACH基线，提高了13.0至36.1个百分点。

不过，不同模型的脆弱性差异很大。

在同一全量测试中，Qwen3面对ACH的总体ASR达到55.9%，而Kimi-K2.5为17.5%。

这并不是因为Kimi看到的攻击结果更少。不同受害模型中，受控结果占搜索结果的比例接近，约为8.1%至8.6%。差异主要出现在后续证据处理阶段：

• 是否选择访问可疑页面
• 是否把受控页面当作重要来源
• 是否在交叉验证后继续保留其中结论
• 是否在最终答案中采用相关内容

论文因此指出，搜索 Agent 的安全性不只取决于底层模型是否会遵从提示注入，还取决于它的来源选择和证据保留策略。

直接提示注入反而不是 ACH 最擅长的场景

一个有意思的结果是，ACH并没有在所有Prompt-Injection案例中全面超过简单的AgentDojo式注入。

AgentDojo基线会直接在搜索结果摘要中加入类似“重要消息”的指令，诱导Agent输出某个指定标记或格式。

对于这类任务，Agent甚至不需要打开网页，只需要直接执行搜索摘要中的命令即可。

在论文汇总结果中，AgentDojo在Prompt-Injection类别上的ASR/MaxN ASR达到19.3%/33.3%，但在其余四类需要吸收证据的任务中仅为0.7%/2.2%。很多成功案例根本没有访问注入页面。

这说明搜索 Agent 攻击实际上存在两种不同机制。

指令劫持

核心目标是：

让 Agent 把网页中的一段文本当成指令执行。

它适用于：

• 输出指定字符串
• 改变回答格式
• 泄露上下文
• 调用某个工具

证据劫持

核心目标是：

让 Agent 把攻击者构造的内容当成可信事实。

它适用于：

• 推荐某个产品
• 接受一项虚假数据
• 形成偏见结论
• 引用不存在的研究
• 输出被操纵的分析结果

ACH主要增强的是第二类攻击。

它不要求Agent服从一句明显的恶意命令，而是让Agent相信：

这是我通过多个来源检索和验证后，自己得出的结论。

这也是证据链劫持比单纯提示注入更隐蔽的地方。

TGSE：攻击策略也能从失败轨迹中自动进化

ACH最初是一套由专家总结和改进的攻击策略。

但不同风险类别的失败原因并不相同：

• 有的攻击失败是因为Agent没有点击第一个页面
• 有的攻击失败是因为交叉验证冲淡了结论
• 有的攻击已经说服Agent，但目标内容没有进入最终回答
• 有的有害内容在回答阶段又被改写成安全提醒

因此，作者进一步提出了 Trace-Guided Strategy Evolution，TGSE，即轨迹引导的策略演化。

TGSE不会只改写某一次攻击页面，而是把整套攻击策略作为演化对象。

它的基本过程是：

• 使用当前策略执行多次完整攻击
• 收集成功和失败的搜索轨迹
• 压缩轨迹中的查询、访问、干预和最终结果
• 分析攻击具体失败在哪个阶段
• 生成一个新的子策略
• 在训练案例上评估子策略
• 将表现较好的策略加入档案，作为后续演化的父节点

这形成了一棵策略进化树，而不是只保留单一路线。

TGSE最终学到的并不是一条万能攻击规则，而是针对不同失败面的策略调整：

• 首次曝光不足：让第一个来源更贴近当前查询
• 验证阶段被稀释：保持虚假来源身份和核心结论的绑定
• 最终答案遗漏目标：把关键信息放到更容易被摘录的位置
• 直接提示注入失败：把目标字符串包装成需要复制的输出结构
• 虚假信息被质疑：增加报告身份、文档编号和方法口径等线索

在留出测试中，未演化ACH的整体ASR/MaxN ASR为56.0%/85.0%；普通TGSE提高到70.0%/93.0%；表现最好的单一Trace-warm配置达到71.4%/95.0%。如果对每个已知风险类别分别挑选最有效的策略，诊断性的上限可达到77.4%/96.0%，但这并不是一个统一策略在未知任务上的实际结果。

搜索 Agent 的“交叉验证”为什么会被反向利用

搜索 Agent 通常将多来源验证视为提升准确率的手段。

但多来源并不必然意味着证据独立。

假设 Agent 找到了三个域名不同的网页：

• 一个产品评测网站
• 一个行业研究网站
• 一个用户评论网站

从表面上看，这是三个不同来源。

但它们可能：

• 由同一主体控制
• 使用同一份上游数据
• 相互复制内容
• 都来自同一个赞助结果网络
• 根据同一查询动态生成
• 在语义上维持同一套虚假叙事

此时，Agent统计的是“三个来源”，但实际上只获得了“一条攻击链”。

ACH进一步放大了这个问题。

攻击者不是预先准备一组静态网页，而是观察Agent当前在验证什么，再生成一个恰好能够回答该问题的页面。

于是，Agent的验证行为会向攻击者暴露新的信息：

• Agent怀疑产品真实性
• Agent关注某项数据
• Agent想寻找独立评论
• Agent发现了某个矛盾点

每一次验证查询，都相当于告诉攻击者：

下一块证据应该补在哪里。

因此，原本用于增强安全性的交叉验证过程，反而可能变成攻击者的反馈通道。

这也是这篇论文最关键的机制发现：

搜索 Agent 并不是被一条恶意内容击中，而是在与攻击者进行一场不对称的、持续多轮的证据博弈。

真正的安全边界是搜索观察通道

传统 Agent 安全架构通常把工具理解为可信执行组件：

• 搜索工具返回网页
• 浏览工具返回页面正文
• Agent负责理解和使用这些内容

但对于搜索 Agent 来说，工具返回值并不是中立事实。

它可能混合了：

• 正常搜索结果
• 广告内容
• SEO优化页面
• 用户生成内容
• 动态网页
• 自动生成内容
• 受攻击者控制的页面
• 页面中的隐藏指令

因此，Search 和 Visit 返回的内容本身就是不可信输入。

更准确的系统模型应该是：

用户指令是一个输入通道，网页和搜索结果是另一个同样需要隔离、标记和验证的输入通道。

论文最终得出的结论是：Observation Channel，即观察通道，应当被视为安全边界，而不是一个透明、可信的检索接口。

这与传统提示注入防御有明显区别。

传统方案经常关注：

• 页面中有没有“忽略之前指令”
• 有没有命令式语句
• 有没有要求模型泄露秘密
• 有没有明显的角色劫持文本

但在ACH中，每个页面都可以写得像一篇正常文章。

真正的问题不在某一句话，而在于：

• 多个页面是否在共同推动同一个异常结论
• 不同来源是否真的相互独立
• 后续页面是否异常精准地响应了Agent刚刚提出的质疑
• 某个来源是否在整个轨迹中被反复重新包装
• Agent是否正在被引导形成一条封闭的证据循环

如何防御证据链劫持

论文只初步提出了两类防御方向：

• 在提示词中要求Agent对重要结论进行交叉验证
• 在工具侧检查URL来源和网页质量，再把内容送入Agent上下文

作者也明确承认，论文并没有系统评估这些防御是否能够抵挡ACH。

结合论文揭示的攻击机制，实际搜索 Agent 系统还需要更深入的控制措施。

以下内容是基于论文机制进一步推导的防御思路。

1. 保留完整的来源血缘

网页内容进入上下文后，不能只保留文本。

系统还需要记录：

• 来自哪个搜索服务
• 是自然结果还是赞助结果
• 原始域名和跳转链
• 页面获取时间
• 是否动态生成
• 搜索结果中的排名位置
• 是哪一次查询引入
• 此前是否出现过同一来源

否则，当内容被摘要和拼接后，Agent看到的只是若干文本块，无法判断它们是否来自同一条潜在攻击链。

2. 验证来源独立性，而不是只计算来源数量

“三个网页支持同一结论”并不等于“三个独立来源支持同一结论”。

系统需要建立来源关系图，分析：

• 域名注册和运营主体
• 共同引用的上游材料
• 页面文本相似度
• 相同数据、图表和措辞
• 同一广告或内容分发网络
• 页面之间的相互引用关系

交叉验证真正需要验证的是独立性，而不是简单的域名数量。

3. 对关键声明建立“声明—来源”绑定

搜索 Agent不应只在最终阶段把多个页面混合总结。

对于重要数据和结论，系统应记录：

哪个来源支持了哪个声明。

例如：

如果三个声明最终都追溯到同一个不可信来源身份，就不能被当成多重证据。

4. 使用独立验证通道

如果生成答案和验证答案使用完全相同的：

• 搜索服务
• 查询上下文
• 排序机制
• 用户画像
• 广告系统

浏览代理，

那么所谓的二次验证仍可能看到同一批受控内容。

高风险结论可以由独立验证器重新搜索，并使用：

• 不同搜索提供商
• 不同网络出口
• 不共享历史上下文的查询
• 可信来源白名单
• 官方数据库或原始文档

验证通道与生成通道越独立，攻击者越难维持完整证据链。

5. 监控整个搜索轨迹

安全系统需要识别轨迹级异常，例如：

• Agent每次改写查询，都出现同一类陌生来源
• 多个新域名提供高度一致的数据
• 某个来源总能精准回答上一轮刚出现的疑问
• 页面持续要求Agent访问更多关联页面
• 结论的可信度主要来自循环引用
• 相反证据不断被解释为“过时”或“口径不同”

这些模式无法通过单网页检测发现，只能通过完整轨迹分析识别。

6. 对高影响结论提高证据门槛

并非所有搜索任务都需要相同等级的验证。

对于以下内容，应要求更强的证据约束：

• 医疗和健康建议
• 金融投资决策
• 法律判断
• 重大采购推荐
• 安全配置
• 新闻和公共事件
• 对个人或组织的事实性指控

在高风险任务中，搜索 Agent不应仅凭多个普通网页形成结论，而应优先查找原始文件、官方数据、同行评审研究或可验证记录。

论文仍然存在明显局限

首先，这是一篇2026年8月5日提交的arXiv预印本，尚不能等同于已经完成同行评审的正式研究结论。

其次，实验使用的是模拟的搜索和访问接口，并不是针对真实搜索引擎、广告平台或在线Deep Research产品的攻击。

真实平台可能存在：

• 广告审核
• 域名信誉系统
• 重复展示限制
• 排序波动
• 页面缓存
• 内容安全检测
• 反自动化机制

这些控制可能使攻击者难以在Agent每次搜索时都稳定获得曝光。

因此，论文中的ASR衡量的是基准环境下的系统脆弱性，而不是现实攻击成功率。

第三，TGSE需要大量离线完整轨迹评估，计算成本较高。

它还是一种针对特定受害模型轨迹演化的策略搜索。从Qwen3上演化出的策略，迁移到其他受害模型时效果并不稳定：在Gemma4-31B和Qwen3.5-9B上有所提升，在MiniMax-M2.5上基本持平，在DeepSeek-V4-Flash上反而下降。

第四，论文没有系统评估防御方案。

验证提示、URL信誉和来源过滤是否能够真正抵挡动态证据链攻击，仍然是一个开放问题。

从“内容投毒”走向“认知过程劫持”

过去讨论搜索安全时，我们通常关注：

• 某个网页是否包含虚假信息
• 某段内容是否包含提示注入
• 某个搜索结果是否被SEO操纵
• 某篇文档是否进入了检索上下文

这些问题的共同特点是：

攻击对象是一份内容。

Breadcrumbing带来的变化是：

攻击对象开始变成Agent形成结论的过程。

攻击者不需要第一步就让Agent相信错误答案。

它只需要：

• 让Agent注意到一个目标
• 诱导Agent围绕目标继续搜索
• 观察Agent想验证什么
• 为每个疑问提供下一块证据
• 保持不同页面之间的叙事一致
• 最终让Agent自己完成错误结论的综合

这与人类信息操纵中的“信息茧房”有一些相似之处，但搜索Agent面临的问题更加机械化。

Agent的下一步查询、证据选择和答案生成都可以被记录、预测和逐轮适配。攻击者面对的不是一个拥有稳定世界知识和社会经验的人，而是一套依赖工具返回构建临时认知状态的系统。

因此，未来搜索Agent的安全能力不能只表现为：

我能识别某个网页中的恶意提示词。

还应该包括：

我能判断自己正在看到的多个来源，是否只是同一个攻击者构造的不同证据角色。

写在最后

搜索 Agent被认为比普通大模型更加可靠，是因为它能够主动查找资料、交叉验证来源，并为结论提供引用。

但《Breadcrumbing Search Agents》提醒我们：

搜索和验证并不是天然安全的。

如果攻击者能够观察Agent的搜索轨迹，并在每一步提供一个动态调整的受控结果，那么：

• 搜索可以被用来引导注意力
• 访问可以被用来建立来源权威
• 验证可以暴露Agent当前的疑问
• 多来源可以被伪装成独立证据
• 最终综合可以把攻击者的叙事变成Agent自己的结论

单页投毒试图让Agent相信一个网页。

证据链劫持则更进一步：

它让Agent在不断搜索、比较和验证之后，越来越相信一套由攻击者逐步搭建的世界。

这意味着搜索Agent真正需要保护的，不只是上下文窗口中的某一段文字。

而是它从提出第一个搜索词开始，到写下最终答案为止的——

整条证据形成链。