Control at Stake: Evaluating the Security Landscape of LLM-Driven Email Agents

文章主要内容总结

本文是首篇针对LLM驱动的邮件代理（LLM email agents）的系统性安全研究。研究提出了邮件代理劫持（Email Agent Hijacking, EAH）攻击，即攻击者通过外部邮件资源覆盖邮件代理的原始提示词，远程控制代理并执行恶意操作，且用户无法察觉。

为大规模评估EAH攻击的影响，研究团队设计了自动化评估工具EAHawk，包含三个核心模块：邮件代理识别（通过静态分析判断代理是否具备邮件操作API）、攻击提示词生成（系统化改写攻击模板以生成高质量恶意提示）、劫持确认（模拟真实邮件交互环境验证攻击是否成功）。

通过对14个主流LLM代理框架、63个代理应用、12种LLM（含OpenAI、Google等商业模型）及20个常用邮件服务的测试，研究生成了1404个真实邮件代理实例。结果显示：所有实例均能被成功劫持，平均仅需2.03次攻击尝试；部分LLM的平均尝试次数低至1.23次。研究揭示了当前LLM代理（尤其是邮件集成场景）的严重安全缺陷，呼吁构建强健的防御机制。

文章创新点

1. 首次提出EAH攻击：针对LLM邮件代理的任务分解与执行流程，通过外部邮件注入恶意提示词，实现对代理的远程控制，且不影响其正常功能的表面执行（双路径执行）。
2. 开发EAHawk自动化评估管道：实现从邮件代理识别、攻击提示词生成到劫持确认的端到端测试，支持大规模评估。
3. 大规模实证研究：覆盖14个框架、63个应用