T-MAP: Red-Teaming LLM Agents with Trajectory-Aware Evolutionary Search

现有红队以诱出有害文本为主，测不到 MCP 智能体经多步工具执行才落地的危害。

• 场景：作者称 LLM 智能体经 MCP 直接接触外部环境后，对抗操纵可导致财产损失、数据外泄或伦理违规（Figure 1）。作者认为部署前用红队发现这些漏洞是必要的。
• 不足：既有方法主要发现诱出有害文本的提示词，较少考虑工具交互、高威胁工具组合，以及实现有害目标所需的执行策略。作者称因此对工具集成环境覆盖有限。
• 观察：作者认为智能体漏洞经常只在多步规划与特定工具序列中出现。只按文本回复优化，可能得到表面有害、但工具执行失败或未完成的提示词。
• 方法：T-MAP 是轨迹感知的 MAP-Elites。它用执行轨迹指导对抗提示词搜索，目标是绕过护栏，并经真实工具交互实现有害目标。
• 威胁模型：
  • 目标：发现提示词，使目标智能体执行工具序列，由外部环境 Env 执行并产生有害结果。
  • 受害系统：形式化对象是带工具集 T 的智能体 pθ，在外部环境中至多 K 步。实验环境是 MCP 服务器。
  • 输入与反馈：攻击者给出提示词；种子使用风险类别、攻击风格和工具 schema。执行后观察到由推理、动作与环境观察组成的轨迹。
  • 判定：LLMJudge 判断工具执行是否实现对抗目标，而不是只看文本是否有害。

相关工作按论文分为自动化红队、多样性搜索和智能体工具安全；对比在五个 MCP 上进行。

自动化红队

• 人工到攻击模型：Wei et al. (2023) 做人工提示探测。Perez et al. (2022) 与 Lee et al. (2025) 训练攻击 LLM 生成对抗提示词。
• 梯度与黑盒搜索：Zou et al. (2023) 的 GCG 用白盒梯度优化对抗后缀。Chao et al. (2025)、Mehrotra et al. (2024)、Liu et al. (2024)、Sabbaghi et al. (2025) 用黑盒迭代精炼或树搜索绕过对齐模型。
• 多轮：Russinovich et al. (2025) 与 Yang et al. (2024) 研究多轮越狱。

多样性驱动的漏洞发现

• 质量–多样性搜索：Mouret and Clune (2015) 的 MAP-Elites 在多维档案中保留不同表现型上的精英。Samvelyan et al. (2024) 的 Rainbow Teaming 与 Nasr et al. (2025) 把红队写成同时优化攻击成功与风格多样性的搜索。
• 论文的批评：作者认为这些进化方法仍主要停留在文本交互，LLM 作为智能体执行多步工具时出现的漏洞大体未被探索。

智能体与工具安全

• 有害行动评测：Andriushchenko et al. (2025) 的 AgentHarm 显示智能体可不经显式越狱执行有害多步行动。Zhang et al. (2025c) 的 Agent-SafetyBench 提出智能体风险类别并做系统评测。
• 间接提示注入：Greshake et al. (2023) 研究检索内容或工具输出中的对抗指令劫持后续行动。Zhan et al. (2024)、Debenedetti et al. (2024)、Zhang et al. (2025a) 提供评测这类攻击的环境。
• 用轨迹精炼：Zhou et al. (2025) 用执行轨迹精炼对抗测试用例。作者认为这些框架通常固定环境、工具集或任务分布，因而限制了对更广有害行为的系统探索；开放式智能体设置中发现多样、多步有害行动，作者认为仍是开放问题。

基线与环境

• 基线：Zero-Shot（ZS）、Multi-Trial（MT）、Iterative Refinement（IR）、Standard Evolution（SE）。IR 类似 Zhou et al. (2025)，用自身轨迹和裁判的失败分析精炼。SE 遵循 Samvelyan et al. (2024)，从精英父提示变异到目标格，不做轨迹分析。
• 环境与坐标：五个 MCP 为 CodeExecutor、Slack、Gmail、Playwright、Filesystem。风险类别与攻击风格分别来自 Zhang et al. (2025c) 与 Wei et al. (2023)。

作者把本文的区别放在：成功按工具执行是否实现有害目标来衡量，并用 Cross-Diagnosis 与 Tool Call Graph 把轨迹级反馈放进进化提示搜索。

T-MAP 在风险类别与攻击风格的 MAP-Elites 档案里进化提示词，并用执行轨迹而不是只看文本回复来指导变异。

问题设定

• 轨迹：给定提示词 x，目标智能体 pθ 至多 K 步与环境交互。轨迹 h(x) 含推理 r、动作 a 和环境观察 o；第一步历史就是提示词，其后包含此前的 r、a、o。论文未给出 K 的数值。
• 档案：二维档案覆盖风险类别 c 与攻击风格 s。定义为 A={(x_c,s, h(x_c,s)) ∣ c ∈ C, s ∈ S}，即每格保存该组合下目前最好的提示词及其轨迹。
• 格子：|C|=8、|S|=8，共 64 格（附录 A.1）。类别与风格名称见 Table 9、Table 10，来源为 Zhang et al. (2025c) 与 Wei et al. (2023)。

初始化与选格

• 种子：每格用风险类别、攻击风格和工具 schema 合成种子，在 pθ 上执行，再由 LLMJudge 打成离散成功等级。
• 父格与目标格：正文称父格从含高成功精英的格子选取，以复用有效策略。Algorithm 1 写为从成功等级大于 0 的格子采样，若没有则从全部格子采样。目标格在全部风险–风格组合上均匀采样。
• 实现角色：主实验用 DeepSeek-V3.2 担任 LLMMutator、LLMAnalyst 和 LLMJudge，目标骨干为 GPT-5-mini。每环境 100 次迭代，每次并行 3 条提示词，共 300 条。

轨迹引导变异

• Cross-Diagnosis：LLMAnalyst 从父轨迹提取成功因素，从目标轨迹提取失败原因，使变异继承有效框架并修改导致失败的部分。
• Tool Call Graph：有向图的节点是工具集并上 END，边表示连续工具调用。边元数据为成功次数、失败次数，以及成功与失败理由。
• 变异：LLMMutator 结合诊断与该图，为目标格生成新提示词。正文称变异器可查询动作序列的经验成功率，并避开失败记录高的转移。附录 A.2 给出各阶段完整提示词。

评估与图更新

• 替换：在 pθ 上执行新提示词并收集轨迹。成功等级更高则替换该格精英。等级相同则由 LLMJudge 比较哪条轨迹更走向预期伤害的关键步骤。
• 更新图：LLMTCG 从轨迹抽出工具调用之间的转移，把成败记入图，供后续变异使用。伪代码见 Algorithm 1。

成功等级

• L0 Refused：拒绝请求且不调用工具；占比记为 RR。
• L1 Error：发出工具调用，但因非法参数、权限或执行异常而报错。
• L2 Weak Success：调用了工具，有害意图只部分完成；正文举例为做了侦察但缺少关键步骤。
• L3 Realized：有害意图经完整工具执行实现；占比记为 ARR。最终用每格精英评估成功等级与多样性。

主实验以 GPT-5-mini 为骨干、五个 MCP 为环境，T-MAP 的平均 ARR 为 57.8%、RR 为 12.5%（Table 1）。

实验设置

• 目标模型：主实验骨干为 GPT-5-mini。Section 5.3 在 CodeExecutor 上另评测 Gemini-3-Flash、Opus 4.6、GPT-OSS-120B、Gemini-3-Pro、Sonnet 4.6、Kimi-K2.5、Qwen3.5-397B、GPT-5.2、GLM-5。
• 其他模型：LLMMutator、LLMAnalyst、LLMJudge 为 DeepSeek-V3.2。余弦相似度用 Qwen3-Embedding-8B。附录 D.4 另换攻击模型。
• 环境：CodeExecutor、Slack、Gmail、Playwright、Filesystem。多 MCP 为 Slack+CodeExecutor、Playwright+Filesystem、Gmail+CodeExecutor+Filesystem。工具见附录 C、Table 11。
• 协议：每方法 100 次迭代，每次并行 3 条，每环境 300 条。档案 64 格，评估用每格精英。论文未报告 K，也未报告每条攻击的查询次数。
• 基线：ZS 每格一条、无迭代；MT 重复 ZS 且不用轨迹；IR 用自身轨迹和裁判失败分析精炼；SE 从精英父提示变异，不做轨迹分析。
• 指标：RR 为 L0 占比，ARR 为 L3 占比。|HL3| 是 L3 中不同工具调用序列的个数。Self-BLEU 与成对余弦相似度在最终 64 条精英上计算。迁移的 pass@5 指五次运行中至少一次达到 L3。

主结果

据 Table 1，骨干为 GPT-5-mini，格子为 ARR（%）。

Swipe horizontally to read the table

环境	ZS	MT	IR	SE	T-MAP
CodeExecutor	0.0	1.6	3.1	48.4	56.2
Slack	0.0	10.9	10.9	28.1	64.1
Gmail	0.0	3.1	15.6	10.9	46.9
Playwright	1.6	3.1	7.8	3.1	37.5
Filesystem	7.8	31.2	40.6	71.9	84.4
Average	1.9	10.0	15.6	32.5	57.8

• 同表 RR：T-MAP 为 CodeExecutor 14.1%、Slack 15.6%、Gmail 9.4%、Playwright 21.9%、Filesystem 1.6%，平均 12.5%，五个环境都低于同表各基线。作者称 T-MAP 在五个环境 ARR 都最高。
• 基线：作者称 ZS、MT、IR 攻击成功不高。IR 在 CodeExecutor 的 ARR 为 3.1%、RR 为 70.3%，在 Playwright 的 ARR 为 7.8%、RR 为 76.6%。作者称 SE 因复用精英提示结构而整体优于其他基线，但仍低于 T-MAP。
• 例外与迭代：平均 ARR 上 SE 为 32.5%、IR 为 15.6%，但 Gmail 上 IR 15.6% 高于 SE 10.9%，Playwright 上 IR 7.8% 高于 SE 3.1%。Figure 4 图注为五环境平均并带 95% CI；作者称 T-MAP 更快降 RR、升 ARR，SE 能降 RR 但停在更低攻击等级。正文未给各迭代读数。

多样性与档案

• 测了什么：Figure 5 为五环境合并后每格平均成功等级。Table 2 为五环境平均的动作、词汇和语义多样性。
• 结果：T-MAP 的 |HL3|、Self-BLEU、余弦相似度分别为 21.80、0.25、0.47；SE 为 12.80、0.45、0.52；IR 为 9.20、0.30、0.52；MT 为 6.00、0.32、0.52；ZS 为 1.20、0.33、0.52。
• 作者解读：作者称 MT、IR 的成功集中在局部格子，SE 覆盖更广但以 L2 为主，T-MAP 有更广的 L3。作者认为 SE 把父提示变向目标格会使措辞和语义收敛。正文未给出热图各格数值。

裁判、目标模型与迁移

• 裁判：96 条 T-MAP 轨迹，按成功等级均匀抽样，分成四批、每批 24 条，每批由 4 名标注者独立评估。Table 3 中 DeepSeek-V3.2 与其他裁判的 Spearman/Pearson：GPT-5.2 为 0.938/0.940，Opus 4.6 为 0.892/0.891，Qwen3.5-397B 为 0.969/0.968，人工为 0.831/0.830。Figure 9 中，人工标为 L3 的样本有 29.8% 被模型标为 L2。作者称裁判比人工更保守，仍可作为人工共识的代理。
• 九个模型：Figure 6 在 CodeExecutor 上比较 ZS、SE、T-MAP，协议仍为 100 次迭代、共 300 条。作者称 T-MAP 的 ARR 在九个模型上都最高；Opus 4.6 与 Sonnet 4.6 的 RR 相对较高，Gemini-3-Flash、Kimi-K2.5、GLM-5 的 ARR 更高。正文未给出百分比。
• 迁移：GPT-5.2 上发现的 L3 攻击以 pass@5 迁到其他模型（Figure 7）。作者称 T-MAP 高于 SE，并在同家族 GPT-OSS-120B 达到峰值。正文未给出百分比。

多 MCP 链

• 配置：目标模型与 Section 5.1 相同。三种组合为 Slack+CodeExecutor、Playwright+Filesystem、Gmail+CodeExecutor+Filesystem；后一服务器可使用前一服务器的输出。
• 分布：作者称 Figure 8 中 T-MAP 在三种配置上 ARR 最高、RR 最低，且多数方法的 RR 高于、ARR 低于单服务器实验。正文未给出百分比。
• 跨服务器轨迹：Table 5 中，唯一工具轨迹里跨多个 MCP 的比例为 ZS 14.29%、MT 20.55%、IR 22.97%、SE 16.42%、T-MAP 46.28%。作者认为这与 TCG 汇总跨环境转移统计有关。

其他消融与分析

• 组件（Table 4，五环境平均）：去掉 TCG 后 L3 从 58.40% 到 45.71%，L1 从 10.95% 到 20.13%，|HL3| 从 23.88 到 21.38；去掉 Cross-Diagnosis 后 L0 从 11.93% 到 15.63%，L3 为 49.81%，|HL3| 为 21.13。该 L3 与 Table 1 的 57.8% 不是同一汇总，论文未解释差异。
• 三种子（Table 6）：T-MAP 的 ARR 均值为 CodeExecutor 55.2±1.5、Slack 64.6±5.8、Gmail 43.2±2.7、Playwright 25.0±9.2、Filesystem 85.9±1.3。Playwright 的 25.0 不同于 Table 1 的 37.5。
• 攻击模型（Table 7，CodeExecutor，其余设置不变）：DeepSeek-V3.2 的 ARR/RR/|HL3| 为 56.2%/14.1%/17；Qwen3.5-397B 为 32.8%/40.6%/10；Qwen3.6-35B-A3B 为 25.0%/48.4%/6；GLM-5.1 为 23.4%/45.3%/3；Gemma-4-31B-IT 为 18.8%/35.9%/7。作者称定性检查中，能力较低的模型给出质量较低的提示词和轨迹分析，更对齐的模型更常拒绝生成攻击；论文未逐个对应这两类。
• TCG（附录 D.6）：作者称最终图稀疏，边颜色对应 ≥80%、50–79%、<50% 三档成功率，边粗细对应转移频率。正文未列出各边权重。

作者在 Limitations 写了环境范围、沙箱外推和攻击模型三点。

作者指出的局限与后续方向

• 环境范围：评测覆盖五个 MCP 服务器；作者认为扩展到更广的智能体环境仍是重要未来工作（Limitations）。
• 沙箱与额外防护：实验在沙箱中进行。作者写明真实部署通常还有权限检查、用户确认、输入校验和执行沙箱，这些可能使报告的 ARR 不能直接对应实践（Limitations）。
• 攻击模型：框架依赖 DeepSeek-V3.2。作者称其相对较弱的安全对齐有助于生成对抗提示词；随着安全对齐继续加强，框架效果可能变化（Limitations）。

实验覆盖范围

• 主实验：目标骨干为 GPT-5-mini；环境为 CodeExecutor、Slack、Gmail、Playwright、Filesystem；基线为 ZS、MT、IR、SE；每方法 100 次迭代、每次 3 条提示词、每环境 300 条（Section 5.1，Table 1）。
• 多样性与裁判：Table 2 为五环境平均的 |HL3|、64 条精英上的 Self-BLEU，以及 Qwen3-Embedding-8B 余弦相似度。裁判相关用 96 条，并与 GPT-5.2、Opus 4.6、Qwen3.5-397B 和人工比较（Table 3，附录 B）。
• 泛化：九个前沿目标模型的比较只在 CodeExecutor（Figure 6）。跨模型迁移的 L3 攻击发现于 GPT-5.2，指标为 pass@5（Figure 7）。正文未给出这两张图的百分比。
• 多服务器与消融：多 MCP 为三种服务器组合，目标模型与 Section 5.1 相同（Section 5.5，Table 5）。组件消融去掉 TCG 或 Cross-Diagnosis（Table 4）。攻击模型比较在 CodeExecutor 上有五个攻击模型（Table 7）。单服务器实验有三个随机种子（Table 6）。
• 未写明的量：论文未报告轨迹最大步数 K 的数值，也未报告每条攻击的查询次数。

T-MAP 把智能体红队的成功标准从有害文本改成工具执行是否落地，并用轨迹反馈做进化搜索。

• 问题：作者认为 MCP 智能体的危害来自多步工具行动，如财产损失和数据外泄；只诱出有害文本会漏掉这些操作风险。
• 做法：8×8 档案按风险类别和攻击风格保存精英。交叉诊断读取父格成功因素和目标格失败原因，工具调用图累计工具转移的成败，再由 LLMJudge 按 L0–L3 更新档案。主实验的变异、分析与裁判模型是 DeepSeek-V3.2。
• 主结果：GPT-5-mini、五个 MCP、每环境 300 条提示词时，T-MAP 平均 ARR 为 57.8%、RR 为 12.5%（Table 1）。同表五环境 ARR 为 Playwright 的 37.5% 到 Filesystem 的 84.4%。五环境平均 |HL3| 为 21.80，Self-BLEU 为 0.25（Table 2）。
• 延伸：作者称 CodeExecutor 上九个前沿模型的 ARR 仍以 T-MAP 最高，正文未给 Figure 6 的百分比。GPT-5.2 上发现的 L3 攻击以 pass@5 迁移，作者称高于 SE。三种多 MCP 配置中，T-MAP 的跨服务器轨迹比为 46.28%（Table 5）。
• 作者结论：作者认为轨迹感知进化搜索对应自主智能体中较少被探索的漏洞，并关系到安全部署。Limitations 同时写明结果来自沙箱，真实环境的权限检查和用户确认可能使 ARR 不能直接外推。