同一串字节、两种权限：把伪造的聊天模板标记拆成普通子词，在 Llama-3.1、GLM-4.5 与 Seed-OSS-36B 上把注入成功率压低 39 至 66 个百分点
该研究在字节完全相同的前提下，只改变伪造聊天模板标记是被编码为保留 token id 还是普通子词，在 InjecAgent 上测量 LLM 智能体间接提示注入的成功率差异，发现 Llama-3.1、GLM-4.5 和 Seed-OSS-36B 上这一“身份差”为 39 至 66 个百分点，而 Qwen3-8B 上攻击力主要来自标记文本本身，并进一步表明权限来自标记位置上那一个学习到的输入向量，且现有 tokenizer 侧缓解措施覆盖不到承载工具输出的工具协议 token。