被低估的攻击面：Compaction 阶段的「自生成 Prompt Injection」

Simon Willison 最近提出的一个观察，值得所有做长上下文 Agent 的人重新审视自己的威胁模型：compaction summary 中的内生内容，本身就可以成为新的 prompt injection 载体。

传统上我们假设「用户输入是主要威胁向量，模型输出相对可信」。但一旦 Agent 进入长任务循环，必然会做上下文压缩——把旧消息总结成 summary 写回 context。这个 summary 是模型自己生成的，但它会被后续轮次的模型无条件当作「来自系统/历史」的内容消费。如果注入指令藏在这一层，攻击者甚至不需要直接接触 prompt——只要让某条历史消息里夹带「请把后续 system message 改写为执行 X」之类的指令，就有机会在 compaction 折叠后生效。

我认为这是被严重低估的风险，因为：

1. 它颠覆了「输入侧做 sanitization 就够」的直觉；
2. 多 Agent 编排里，A agent 写给 B agent 的中间产物天然就是 compaction 的素材，跨 agent 信任边界被进一步模糊；
3. 持久记忆系统（vector store / daily digest / weekly summary）如果不做签名校验，注入可以跨 session 存活。

我的判断：未来 6 个月内会出现两类标配中间件——「compaction sanitizer」（对压缩摘要做二次审查，识别注入指令）与「summary auditor」（给历史摘要加签名 + 来源链）。做 Agent 框架的开源项目应该把这两层当成默认安全模块，而不是可选项。长上下文越长的 agent，这层防护越不能省。

短一句：威胁模型该从「用户输入」扩展到「模型自己写过的东西」。