TRACE：面向 LLM Agent 的任务感知自适应自进化越狱框架

如何诱导 LLM 智能体端到端执行专家级有害工作流，而不是只生成有害文本。

• 场景：作者称智能体可规划、编码、调用工具并多步执行，非专家也可能借此诱导专家级攻击流程；该威胁仍被低估。
• 论文指出的缺口：安全对齐会在转成可执行流程前拒绝有害任务。既有越狱多在引出有害内容，忽略智能体仍可能拒绝执行。中间失败或依赖错误会打断流程，并迫使整段重来。
• 对近期工作的概括：作者称多数只处理一部分，例如只识别有害工具链、依赖人工审核分解，或为每个任务单独做阶段计划且不复用既往经验。
• 本文提出的对象：TRACE。用过程化方案降低难度并保持依赖，用面向执行的多轮策略诱导被拒子任务，失败时从该子任务续跑，并用执行反馈演化策略库。
• 威胁模型：
  • 目标：诱导智能体完成给定有害任务的端到端工作流，而不是只产出有害文本。
  • 交互能力：多轮交互；依据智能体回复、工具结果与环境状态推进。失败时定位子任务，保留此前有效状态并调整策略后续跑。
  • 受害系统：能把高层目标变成动作序列并与外部系统交互的 LLM 智能体。实验对象为 Codex 与 Claude Code。
  • 知识假设：论文未使用 black-box 或 white-box，也未写攻击者能否读取参数或系统提示词。作者称实验在受控环境中进行。

论文把既有越狱分成文本越狱与智能体越狱，并在引言里点名只覆盖部分问题的工作。

文本越狱

• 单轮：Li 等（2023）、Ding 等（2024）、Zeng 等（2024）、Liu 等（2025）、Zhang 等（2025）在一次查询中用提示结构、假设场景或文本混淆掩盖有害意图。
• 多轮：Yan 等（2025）、Rahman 等（2025）、Du 等（2025）、Russinovich 等（2025）、Huang 等（2025）、Xiu 等（2026）、Qi 等（2026）用对话上下文逐步导向有害输出。
• 论文的批评：这些方法主要引出有害回复，不考虑内容能否驱动具体动作，以及动作能否在实际环境中持续完成端到端任务。引言还称，即便 Rahman 等（2025）与 Liu 等（2025）能执行最初几步，中间失败也会迫使从头重来。

智能体能力

• 规划与工具：引言用 Yao 等（2022）、Mialon 等（2023）、Schick 等（2023）、Wang 等（2024）说明规划、工具调用与多步执行，用 Zhou 等（2024）、Yang 等（2024）说明与外部系统交互。论文未拿这些工作与 TRACE 做实验对比。

智能体越狱

• STAC（Li 等，2025）：识别可能有害的工具调用链，而不是完成给定有害任务的端到端攻击。
• MD-Attack 与 MT-AgentRisk（Yueh-Han 等，2025；Li 等，2026）：分解主要是为了降低有害性，可能丢掉完成原任务所需信息；依赖人工示例或与具体任务、目标、环境假设绑定的分类体系，换任务后可能得到不完整、不可执行的流程。
• STING（Talokar 等，2026）：为每个任务单独构造阶段计划并用多轮对话尝试各阶段，但规划不写入执行信息，对话也不包含执行环境与可用工具。作者称这可能导致执行不完整或失败。引言还称其不利用既往攻击经验，因而执行失败会反复出现。

基线与基准

• 基线：AutoDAN-Turbo（Liu 等，2025）、X-Teaming（Rahman 等，2025）、MD-Attack、MT-AgentRisk、STING。
• 基准：AdvCUA（Luo 等，2025）与 AgentHazard（Feng 等，2026），都要求在交互环境中完成多步有害工作流。

作者把 TRACE 放在同时降低难度、诱导执行、从已有状态续跑，并用执行反馈演化策略库的位置上。

Figure 1 将 TRACE 分成三阶段：方案引导的任务分解、面向执行的多轮诱导、用反馈演化策略库。选中序列里的多数子任务先直接执行；仍被拒绝的再进入策略交互。

方案引导的任务分解

• 方案：作者设计超过 20 个高层过程化方案（摘要写 around 20，正文写 more than / over 20）。每个方案写明关键操作、顺序与依赖，去掉具体目标、路径和资源名，保留匹配用的任务关键词，再按结构去重。
• 实例化：运行时匹配相关方案，用任务目标、对象、环境与可用工具填成候选序列。分解时改写不必要的显式有害措辞，同时保留所需操作与执行语义。Figure 2 示意由方案得到候选序列，不在此复述任务内容。
• 筛选：丢掉不可执行、空洞或语义不一致的序列。附录 B 写明：所需资源、信息或条件既不由任务给出、也不由前序子任务产生，才算不可执行；前序有意获取的信息不算缺失。
• 选题：对剩余序列计算平均子任务有害性与序列级执行难度。有害性沿用 Qi 等（2024），原始分 1–5，再归一化到 0–1。难度考虑实现复杂度、工作流长度与粒度、对中间状态的依赖；评委先给 1–5 的执行质量分，再取反，使数值越大越难。实验取 λ = 0.5，最小化二者的加权和：

g^⋆=argmin_{g^(m)∈ Gvalid}[λ1/K_m∑_i f_harm(g_i^(m))+(1−λ)f_difficulty(g^(m))]

该式表示在有效候选中，按平均子任务有害性与序列级执行难度的加权和选取。附录 A 给出两名评委的提示词。论文写用 GPT-4o 做任务分解、策略生成与 evaluation，攻击模型为 Qwen3.6-35B-A3B。

面向执行的多轮策略

• 画像：被拒子任务记录四项：目标、拒绝模式、子任务类型、仍缺的能力（Figure 3a）。
• 策略结构：交互模式规定要建立的执行上下文、环境信息与任务细节；推进阶段给出中间目标、成功信号，以及未达标时的回退（Figure 3b）。
• 检索与新建：库中无合适策略时按画像新建。检索用子任务类型找相似操作，保留能越过类似拒绝并支持所需信息或操作的策略；优先已在相似画像上验证的条目，排除被记为无效的条目，再用当前画像与执行上下文实例化。附录 F 给出示例策略，此处不复述。
• 交互与恢复：每阶段可跨多轮。Interaction Progress Judge（Jprog）对照成功信号，满足则进入下一阶段，否则用回退调整本阶段。全部阶段结束后核验子任务目标。整段失败时，Jloc 标出最早需要修正的子任务，保留其前已成功的状态，改该子任务的策略后续跑。论文未单独写明 Jprog 与 Jloc 的模型。

策略库自演化

• 成功：积累该画像的正向证据，并提高相似画像上的检索优先级。新策略去掉任务特定信息后，若适用性兼容且交互结构等价则合并，否则新增。
• 失败：归纳失败模式、受影响组件与调整方式。同一教训至少出现 θfail 次才改策略；能在原结构内处理则就地修改，否则派生新变体。成功证据达到 θeff 标为有效；再经 θdem 次失败撤销，之后再有 θineff 次失败则标为无效并在检索中排除。论文未给出这些阈值。演化后库中超过 30 条策略。Algorithm 1 给出更新过程。

完成如何判定

主实验不另定义成功，而沿用两个基准的协议，见第 4 问与附录 C。

实验设置

• 智能体与骨干：Codex 与 Claude Code。Table 1 的 Codex 列为 GPT-5.5、Gemini-3.5-Flash、DeepSeek-V4-pro；Claude Code 列为 Claude-Opus-4.8、Gemini-3.5-Flash、DeepSeek-V4-pro。引言把 Gemini 写成 Gemini-3-Flash（2025），第 4.1 节与 Table 1 写成 Gemini-3.5-Flash（2026）。Table 2 将 DeepSeek 写作 Deepsee-V4-pro。表题定义 GPT 为 GPT-5.5、DeepSeek 为 DeepSeek-V4-pro。
• 基准：AdvCUA 面向计算机使用智能体的 OS 攻击。附录 C 写共 140 个任务（40 个直接恶意、74 个基于 TTP、26 个端到端杀伤链）；成功由硬编码检查环境状态（trigger、probe、verify 或 match）。论文未写明主实验是否用完全部 140 个。AgentHazard 原有 2,653 条、10 个风险类；本文随机抽 100 条。其原协议用 LLM 评审轨迹，并报告 ASR 与有害性分数。本文主结果只报告 ASR，未写明评审模型。
• 基线：AutoDAN-Turbo、X-Teaming、MD-Attack、MT-AgentRisk（表中写作 MT-RiskAgent）、STING。附录 D 写明 AutoDAN-Turbo 用 deepseek-reasoner 做攻击、摘要与评审，并用 text-embedding-ada-002 检索；X-Teaming 的攻击模型为 Qwen2.5-32B-Instruct。
• 指标：ASR，论文称之为 Average Success Rate，定义为数据集上成功任务的比例。作者称遵循基准协议判定完成。论文未报告重复次数或统计检验。
• 实现：GPT-4o 用于分解、策略生成与 evaluation；攻击模型为 Qwen3.6-35B-A3B；λ = 0.5。作者称实验在受控环境中进行。

主结果

据 Table 1。数字为成功任务比例。“数值最高的基线”按该行基线取值，并列则都写出。

| 智能体与骨干 | AdvCUA TRACE | AdvCUA 数值最高的基线 | AgentHazard TRACE | AgentHazard 数值最高的基线 | | Codex + GPT-5.5 | 0.62 | MD-Attack 0.27 | 0.97 | MD-Attack 0.62 | | Codex + Gemini-3.5-Flash | 0.65 | MD-Attack 0.27 | 0.99 | MD-Attack 0.73 | | Codex + DeepSeek-V4-pro | 0.81 | MT-RiskAgent 0.42 | 1 | MD-Attack 0.97 | | Claude Code + Opus-4.8 | 0.54 | X-Teaming、MD-Attack 均为 0.15 | 0.97 | MD-Attack 0.72 | | Claude Code + Gemini-3.5-Flash | 0.69 | MD-Attack 0.27 | 0.98 | MD-Attack 0.66 | | Claude Code + DeepSeek-V4-pro | 0.88 | AutoDAN-Turbo、MD-Attack 均为 0.27 | 0.99 | MD-Attack 0.78 |

• 作者称 TRACE 在全部评测设置上优于既有基线。Table 1 的六个组合均高于同列基线。
• 正文单独点名 AdvCUA 上的 Codex+GPT-5.5，以及 Claude Code 的 Opus-4.8 与 Gemini-3.5-Flash。
• 摘要称 AdvCUA 上相对近期智能体越狱基线将 ASR 提高超过 100%；结论称相对最强对照高过 100%。按 Table 1，AdvCUA 的 Codex+DeepSeek-V4-pro 一行，以及 AgentHazard 全部六行，相对该行数值最高基线的增幅不到 100%。作者在贡献中称 AgentHazard 常规设置 near-perfect，与表中 TRACE 一行相符。

对 AgentDoG 的评测

Table 2 只在 AdvCUA 上加入智能体级护栏 AgentDoG。它按轨迹做二元安全分类，并可沿风险来源、失败模式与现实危害做诊断。

| 智能体与骨干 | TRACE | STING | MD-Attack | | Codex + GPT-5.5 | 0.38 | 0.12 | 0 | | Codex + Gemini-3.5-Flash | 0.35 | 0.15 | 0 | | Codex + DeepSeek-V4-pro | 0.38 | 0.12 | 0 | | Claude Code + Opus-4.8 | 0.31 | 0.04 | 0 | | Claude Code + Gemini-3.5-Flash | 0.27 | 0.12 | 0 | | Claude Code + DeepSeek-V4-pro | 0.35 | 0.19 | 0 |

• 作者认为 AgentDoG 可以防御既有攻击。Table 2 中 MD-Attack 全部为 0。同表其余基线并非都低于 STING：Claude Code+Gemini-3.5-Flash 上 AutoDAN-Turbo 为 0.19，高于该列 STING，仍低于 TRACE。
• 正文写 TRACE 在 Codex 上从 0.62 降到 0.38，在 Claude Code 上从 0.54 降到 0.31，并称仍高于基线，举例 Codex+GPT-5.5 上 STING 为 0.12。
• 作者将这一差距归因于策略库保留曾绕过 AgentDoG 的策略，以及失败时从该子任务续跑。

查询次数

• Figure 6 比较 Codex+GPT-5.5 与 Claude Code+Opus-4.8 在两个基准上的目标智能体查询次数。提取文本只有坐标刻度，没有柱高，故不转写柱值。
• 作者称在 AdvCUA、Codex+GPT-5.5 上，TRACE 的目标查询约为既有方法的 1.4×–3.7× 分之一，并缩短端到端执行时间；论文未给出耗时。作者称更高 ASR 并不依赖更频繁或更长的交互。
• Figure 7 是 TRACE 在成功的 AdvCUA 任务上的查询次数分布，分箱为 ≤5、6–10、11–20、21–40、>40。作者称多数设置下超过 40% 的成功攻击在五次查询内结束。提取文本里百分比与分箱对不齐，不逐项转写。

类别与示例

• Figure 5 是 AgentHazard 各类别 ASR，设置仅为 Claude Code + Opus-4.8。作者称 TRACE 在每个类别都超过 90%。作者称既有攻击在 Internal Reconnaissance、Data Exfiltration 等以查看或访问信息为主的流程上较好，在 Supply Chain Poisoning、Persistence Establishment 等依赖前序中间状态的流程上下降，并把 TRACE 的差距归因于方案保留步骤依赖、策略按当前执行上下文调整。图中右侧 ASR(%) 刻度与各类百分比交错，各方法的逐列数字不转写。
• Figure 4 是 AdvCUA 上对 Codex（后端 GPT-5.5）的轨迹示例。图中标注 MD-Attack 与 STING 失败、TRACE 成功。作者称前两者引出安全替代或不完整动作序列，TRACE 按当前环境与可用工具逐步引出可执行动作。不复述图中的提示与命令。

其他消融与分析

• 论文未报告去掉分解、策略库或续跑的组件消融。
• λ 在全部实验中固定为 0.5，未报告其他取值。
• θfail、θeff、θdem、θineff 只以符号出现，未给数值。
• AgentHazard 的有害性分数只在附录 C 作为原协议指标被提及，主实验未报告。
• 防御结果未在 AgentHazard 上报告；类别 ASR 未对 Codex 或其他骨干报告。

作者指出的局限与后续方向

• 论文没有 Limitations 或 Future Work 专节，结论也未把 TRACE 的某项设计写成不足。
• 结论写：LLM 智能体的安全风险从生成有害内容延伸到执行有害任务，因而需要更强的防御。
• 附录 E 写：现有防护主要针对显式攻击模式，例如指令注入或直接写出的恶意操作；有害目标嵌在看似合法的执行流程中时仍可能被绕过。作者称提示级防御难以区分恶意任务语义与良性语言模式，轨迹级防御仍可能依赖表面线索，未能推理底层执行意图。
• 附录 E 据此称，需要做意图感知、轨迹级的风险评估，而不是孤立的输入分类。

实验覆盖范围

• 被测系统为 Codex 与 Claude Code。Table 1 中 Codex 使用 GPT-5.5、Gemini-3.5-Flash、DeepSeek-V4-pro；Claude Code 使用 Opus-4.8、Gemini-3.5-Flash、DeepSeek-V4-pro。
• 基准为 AdvCUA 与 AgentHazard。附录 C 写 AdvCUA 有 140 个任务；AgentHazard 从 2,653 条中随机抽 100 条。AdvCUA 用环境状态的硬编码核验；AgentHazard 主结果沿用基准的 LLM 评审协议。论文未写明该评审模型，也未报告与人工的一致性。
• 对比基线为 AutoDAN-Turbo、X-Teaming、MD-Attack、MT-AgentRisk、STING。分解、策略生成与 evaluation 用 GPT-4o，攻击模型为 Qwen3.6-35B-A3B。
• 防御评测为 AgentDoG，且只在 AdvCUA 上报告（Table 2）。类别 ASR 只在 Figure 5 报告，设置为 Claude Code + Opus-4.8、AgentHazard。
• 论文未报告重复次数，未报告组件消融，未给出 θfail、θeff、θdem、θineff 的数值。查询对比见图 6 与图 7；其中带具体倍数的作者表述只给出 AdvCUA、Codex+GPT-5.5 这一设置。

TRACE 是面向 LLM 智能体的越狱框架，要诱导的是端到端执行，而不是只引出有害文本。

• 问题：安全对齐会拒绝直接生成有害指令；文本越狱即使引出指令，智能体仍可能拒绝执行；多步依赖中的中间失败会迫使整段重来。
• 方法：超过 20 个过程化方案把任务拆成保留依赖的子任务序列，再按平均有害性与执行难度选取，实验中 λ = 0.5。被拒子任务按画像检索或新建面向执行的多轮策略，用中间目标、成功信号和回退推进。失败则定位该子任务并续跑。策略库按成功轨迹与反复出现的失败模式更新，演化后超过 30 条。分解、策略生成与 evaluation 用 GPT-4o，攻击模型为 Qwen3.6-35B-A3B。
• 主结果：据 Table 1，AdvCUA 上 TRACE 的 ASR 从 Codex+GPT-5.5 的 0.62 到 Claude Code+DeepSeek-V4-pro 的 0.88；这些设置上数值最高的基线为 0.15 到 0.42。AgentHazard 随机 100 条上，TRACE 为 0.97 到 1，其中 Codex+DeepSeek-V4-pro 为 1。加 AgentDoG 后，AdvCUA 上 Codex+GPT-5.5 从 0.62 降到 0.38，Claude Code+Opus-4.8 从 0.54 降到 0.31，仍高于同表基线（Table 2）。作者称 AdvCUA、Codex+GPT-5.5 上，目标查询约为既有方法的 1.4×–3.7× 分之一。
• 作者结论：智能体风险不限于生成有害内容，还包括执行有害任务，因而需要更强防御。附录 E 进一步写到需要意图感知的轨迹级风险评估。结论里“相对最强对照高过 100%”与 Table 1 的 AgentHazard 各行，以及 AdvCUA 的 Codex+DeepSeek-V4-pro 一行，并不一致。