该论文研究的是提示注入（prompt injection）中的一类特殊目标：不以诱导有害内容为目的，而是单纯削弱模型对正常任务的处理能力（utility degradation，即效用退化）。作者指出，现有大多数提示注入攻击研究存在一个共同局限——其攻击目标往往依赖任务标签，或依赖一个预先定义好的目标回复（例如必须让模型输出某个指定答案），这在实际攻击面中并不容易获得。为此，作者提出 ENDOPROMPT，一种白盒方法，能够仅从未标注的指令文本出发，学习出会使模型任务表现下降的前缀（prefix）。其核心思路是把受害者模型自身在干净输入下产生的续写（clean victim continuations）当作“伪参考（pseudo-references）”：先通过局部搜索找出那些能降低该续写生成似然的候选前缀；再在同一指令内部对候选前缀进行成对比较，用偏好拟合（preference fitting）把这个信号蒸馏进一个生成器，最后通过奖励精炼（reward refinement）进一步提升。生成器以请求文本为输入，因而在部署阶段只需为每条请求生成一个前缀，无需再对受害者模型做在线搜索，成本被摊销。实验覆盖四个指令微调模型以及七个良性基准的完整划分（共 28 个模型-基准组合），平均效用变化为 -26.8 个百分点，其中 27/28 个单元格为负，说明该手段具有较强的一致性和可迁移性。作者还做了失败分析，发现两个主要现象：输出膨胀（模型被诱导生成更长的回复）与前缀复用（同一前缀在不同请求间反复出现）；同时对照实验未能证明退化优势来自“请求匹配”本身，也就是说增益中有相当部分并非源于针对具体请求的定制化，而可能来自更通用的扰动效应。总体贡献在于：证明利用受害者模型自身产生的监督信号，可以在没有基准反馈、也不需要预设失败回复的情况下，暴露出指令微调模型的效用脆弱点。代码将在论文录用后发布。