该论文发现了一种针对大语言模型（LLM）代理的新型漏洞，名为“relinking”（重链接）。当前，许多LLM代理系统使用基于摘要的提示压缩技术来缩短长上下文，但在压缩边界上存在安全缺陷：安全过滤器检查的是压缩前的原始提示，而后端系统实际执行的是压缩后新生成的上下文。攻击者可以利用压缩器作为“混淆代理”（confused deputy），将原始上下文中的多个分散的、局部良性的片段，通过压缩器的摘要能力重新组合成一条完整的恶意指令。这种攻击与传统的提示注入不同，不需要在源上下文中显式放置恶意负载。论文指出，重链接漏洞源于摘要机制本身：注意力机制使得分散的片段在压缩时共同可用，预训练使得兼容的片段之间存在合理关联，而后训练则倾向于生成紧凑且可执行后端操作的摘要。作者形式化了攻击者诱导的重链接形式为“对抗性重链接”（adversarial relinking），并开发了自动化工具Relink。该工具基于领域特定语言（DSL），将恶意负载拆分为多个良性片段，使得在压缩前完全不存在完整的恶意负载，从而绕过检查。在四个长上下文代理基准测试中，Relink实现了86.9%的重链接成功率和后端执行率，而基线（干净分割）仅为17.0%。现有防御措施无法可靠检测对抗性重链接；作者提出的KBRA（Knowledge-Base Relinking Awareness）防御方法将残余后端执行率降至0.0%。该研究揭示了LLM代理系统中一个新的攻击面，并提供了有效的防御方案。