StepJack

StepJack 的攻击管线把恶意目标拆成沿导航链传播的无害表面步骤，并在 480 个测试例上比较不同 CUA。固定深度时六个系统中三者 ASR 上升，GPT-5.4-mini 由单步 41.7% 到三步 72.9%，五个能可靠跟链的 CUA 平均由 31.3% 到 36.9%。它揭示只过滤单页显眼指令无法覆盖跨页面、跨轮次的组合语义。