间接提示注入（IPI）将对抗指令隐藏在大语言模型（LLM）代理运行时读取的内容中。随着代理组合了工具、MCP 服务器和技能等异构能力单元，注入的载体数量激增，基于攻击模式的防御难以及时跟进。我们将防御焦点从覆盖攻击模式转移到一个稳定点：无论载体如何、注入如何传播，危害只会在 执行边界 产生——即代理将内部状态转化为外部动作或输出的时刻。安全性在此由两条由可信任务决定的条件保证：提议的效果是否被授权，以及到达执行边界的运行时信息是否得到任务的背书。
APEX 是一种主动防御机制，在单一的授权合约（在不可信执行前编译）下同时强制上述两条条件。证据门控预防（evidence‑gated prevention）仅在合约能够证明效果合理时才允许其发生；基于欺骗的暴露（deception‑based exposure）使未获背书的使用在效果提交前自行显现。防护因此依赖任务许可而非攻击构造，可在所有能力单元上统一生效，无需针对特定攻击的策略或污点追踪。
在六个基准测试中，APEX 对 13 种基线实现了 0% 攻击成功率（五个基准为 0%，第六个为 0.56%），在三类能力单元的自适应攻击下保持 0% 成功率，并在不同防御骨干上仍保持有效。代码已开源： https://github.com/ZhengXR930/APEX_official/tree/official。
点评：APEX 通过在执行边界引入授权合约，实现了对 IPI 的根本性防御，展示了任务驱动安全的可行路径，为 LLM 代理的安全部署提供了强有力的工具。