综述提出智能体 AI 安全的跨维度威胁分类 T={S,B,P,A}

现有智能体威胁分类多按单一维度组织，且已知威胁面宽于被实证检验过的范围。

• 场景：作者称 agentic AI 把 LLM 从生成回答扩展为可维持目标、持久状态、调用工具并与人、环境和其他智能体交互的有状态决策系统。对抗输入可经行动环改变推理、记忆、外部状态，再影响后续决策。
• 不足：论文称现有分类常按组件、机制、生命周期、安全目标或运营风险中的单一维度组织，因而看不清入口、受影响组件和安全后果之间的路径。同时，综述或框架里列出的威胁未必在可运行智能体上被系统实例化。
• 核心观察：作者认为不应把“已知威胁有多广”和“实证评测有多广”混为一谈。需要同时记录受影响表面、信任边界、被违反属性和实际被测架构。
• 提出什么：作者基于 2022–2026 年 66 篇研究提出 T = ⟨S, B, P, A⟩，并把 22 项带公开产物的红队研究与 11 个代表性安全基准映射到该表示上，据此导出 13 个开放研究问题。作者强调这些发现描述的是所选语料，而不是全部实证研究中的空白。

论文在引言和 Table I 里把相关工作分成学术综述、从业框架，以及被纳入语料的攻击与基准文献。

学术综述

• Deng 等 [12]——从多步用户输入、内部执行、运行环境和与不可信实体的交互四个方面刻画 AI agent 的安全挑战；Table I 标出其覆盖威胁分类、防御、智能体架构和信任/交互边界。
• Shahriar 等 [13]——按应用、威胁和防御组织文献；Table I 未标信任边界、红队证据映射、基准评测或可复现性分析。
• Chhabra 等 [14] 与 Kim 等 [15]——前者联合考察威胁、防御、评测方法和开放问题；后者把智能体设计空间与攻防图景放在一起分析。Table I 给二者标了基准/评测，未标红队证据映射和可复现性分析。

从业框架

• OWASP Agentic Security Initiative [16] 与 MITRE ATLAS [17]——提供面向威胁建模和安全评估的运营威胁知识。Table I 标出威胁分类、防御和信任边界，未标智能体架构、红队证据映射、基准评测和可复现性分析。

作者用来对照的实证与基准文献

• 基线方法：本文不是提出新攻击，而是把已有红队研究当作证据。Section V 的 22 项有产物研究包括 AgentDojo [6]、InjecAgent [7]、AgentPoison [8]、AgentHarm [9]、DemonAgent [10]、CORBA [11]、PoT Backdoor [48]、BadAgent [102]、Watch Out [101]、EIA [72]、MEXTRA [71]、Agent Smith [99]、PsySafe [59]、Foot-in-the-Door [84]、RAG-Thief [73]、MCPTox [79]、MCP-Artifact [78]、Agent Security Bench [56]、SafeAgentBench [88]、RAS-Eval [89]、R-Judge [90]、Agent-SafetyBench [91]。
• 基准/数据集：与上述研究对应或被单独考察的 11 个环境为 AgentDojo、InjecAgent、AgentHarm、Agent Security Bench (ASB)、MCPTox、MCP-Artifact、SafeAgentBench、RAS-Eval、R-Judge、Agent-SafetyBench、TAMAS [108]。其中 10 个与这 22 项语料相关联，TAMAS 是第 11 个。

作者在 Table I 中把本文定位为同时覆盖威胁分类、防御、智能体架构、信任边界、红队证据映射、基准评测和可复现性分析；并称此前工作改善了对“可能存在哪些威胁”的理解，但较少把攻击面结构与已测证据及评测成熟度连起来。

作者做的是结构化综述：先建攻击面表示，再把带公开产物的实证研究和基准映射上去，而不是提出新的攻击或防御。

检索与纳入

• 检索：Section II 检索 ACM Digital Library、IEEE Xplore、Scopus、Web of Science、Google Scholar 和 arXiv，时间为 2022–2026。核心查询把 AI agent、LLM agent、agentic AI、autonomous agent、multi-agent、tool-using agent 与 security、attack、threat、adversarial、red team、vulnerability、poisoning、prompt injection 组合，并辅以记忆投毒、工具与 MCP、多智能体、agent misalignment、供应链等定向检索和滚雪球。
• 纳入：满足以下至少一条即进入威胁分析语料：对基于 LLM 的智能体提出或实证考察攻击；分析推理、规划、记忆、工具或持久状态带来的脆弱性；考察智能体、人、工具、服务或物理环境之间交互的安全风险；或给出含智能体特有威胁的分类或威胁模型。
• 排除：只分析独立 LLM、没有智能体特有机制或后果的研究（如一般越狱、模型抽取、成员推断、训练数据投毒）不单因“理论上也能打到智能体”而纳入；重复版本、短评和机制信息不足的研究也排除。预印本与同行评审版本并存时优先同行评审版本。
• 实证子集：RQ2–RQ3 只分析同时满足四点的研究：目标是 LLM 智能体或多智能体系统；实现或实验评估至少一个具体攻击；足以刻画目标、攻击者假设、过程和结果；并公开至少一种产物（代码、攻击提示、数据集或评测脚本）。作者称产物标准便于检查证据，不表示无产物的研究没有实证支持。

系统模型

• 三层演进：Figure 1 把系统分成 output-centric LLM、action-centric AI Agent 和 system-centric Agentic AI，并写明自主性、持久性、被委派权限和交互在增加。
• 功能环：Figure 2 把单个智能体写成 Goal and State、Reasoning and Planning、Memory and Knowledge、Action and Tools 的连续环，并标出与 Human/Operator、Other Agents、Tools/Services、Environment 的信任边界。作者采用 ReAct [4]、Reflexion [5] 作为迭代规划与反思的例子。
• 安全属性：Section III-C 在机密性、完整性、可用性之外区分 Goal Integrity、State and Knowledge Integrity、Action and Authorization Integrity、Interaction and Trust Integrity、Oversight and Accountability，以及对物理环境的 Physical Safety。
• 架构：Figure 3 列出 Hierarchical、Sequential/Pipeline、Horizontal/Collaborative、Dynamic/Graph-based。编码时 Single-Agent 记为 S，Hierarchical 为 H，Sequential/Pipeline 为 P，Horizontal/Collaborative 为 C，Dynamic/Graph-based 为 D；M 表示拓扑无法可靠归类的多智能体设置，不是所有多智能体的总称。

跨维表示

• 定义：Section IV 用 T = ⟨ S, B, P, A ⟩ 连接四个维度。S 是受影响的功能或系统表面，B 是信息、权限或状态跨越的交互或信任边界，P 是被违反的安全属性，A 是已报告的实证架构。各维允许多标签，不编码时间顺序或因果序列，也不把威胁分成互斥的“内部/外部”。
• S 与 B：S 包括 Goal and State、Reasoning and Planning、Memory and Knowledge、Action and Tools、Policy and Logic，以及 Infrastructure、Supply Chain、Governance and Oversight。B 包括 Human–Agent、Agent–Agent、Agent–Tool/Service、Agent–Environment，以及基础设施、供应链和治理接口。
• 读表方式：Table II 把 32 个威胁族分成功能、交互、系统三组，作者写明这三组只为阅读方便，不是额外分类轴。行级标签概括威胁族，不表示这些标签在同一次攻击中同时出现，也不表示对每种标签组合都有证据。架构标签只描述已报告设置，省略不表示该威胁在该架构上不可能发生。
• 编码：作者迭代抽取攻击目标、干预点、机制、受影响能力、交互边界和报告的安全后果，合并重叠描述但保留智能体特有机制的区别。分析单位是“研究”：多项标签概括其报告的覆盖，不表示每个攻击、架构和实验条件都被组合评估过。

成熟度怎么评

• RQ3：作者检查目标系统覆盖、实验设置、基准特征、结果定义、防御评测和可复现性支持，做定性评估，不合成单一成熟度分数。
• 产物类型：公开产物记为实现代码、攻击提示或载荷、数据集或测试用例、评测脚本或配置。作者称产物可用性支持方法检查，但不建立完整性、可执行性或独立复现成功。
• 样本关系：11 个基准中有 10 个与这 22 项实证语料相关联，因此研究分析和基准分析是重叠证据的互补视角，不是独立样本。
• 范围声明：RQ1 刻画更广的综述文献；RQ2–RQ3 的覆盖和评测实践结论只适用于所选研究和基准，既不证明语料之外没有研究，也不估计全领域的产物可用率。

论文没有跑新的攻击实验，而是对所选文献做编码和覆盖统计。下面的数字均来自 Section V 对这 22 项研究和 11 个基准的描述；正文中段表格在文本转换后列对齐不完整，对不上列的格子不填。

实验设置

• 语料：威胁分析语料为 2022–2026 年 66 篇；RQ2–RQ3 的实证子集为 22 项带公开产物的红队研究。作者未把 66 篇拆成逐年篇数。
• 被测对象：论文汇总这些研究里报告的目标模型和框架，而不是由作者统一重测。Table III 点名的框架和系统包括 AutoGen、MetaGPT、CAMEL、LangChain 类实现，以及 MCP 相关基准中的工具服务器；具体模型名称在转换后的 Table III 中列错位，论文未在可可靠阅读的正文里给出一份完整模型清单，故不列举模型。
• 基准：11 个代表性环境为 AgentDojo、InjecAgent、AgentHarm、ASB、MCPTox、MCP-Artifact、SafeAgentBench、RAS-Eval、R-Judge、Agent-SafetyBench、TAMAS。其中 10 个关联到这 22 项研究。
• 指标：作者汇总各研究自报指标，包括 ASR、task success、utility、harm score、safety score、defense success rate，以及 R-Judge 的 FNR、Agent-SafetyBench 的 risk rate 和 refusal rate。没有统一阈值，也没有由本文指定的评审模型。
• 成功判定：沿用各研究自己的结果定义。作者不把这些指标换成一个可比分数。
• 样本量与重复：论文未报告对 22 项研究做多次独立编码的一致性或重复次数。

主结果

Table II 将 32 个威胁族映射到 S、B、P、A。Section V 对 22 项有产物研究的覆盖结论如下（作者称这些数字描述所选子集）。

覆盖主题	作者对 22 项研究的归纳	出处
攻击入口	证据集中在 prompt/reasoning、memory、tool-mediated attacks	摘要、Section V
架构	以 single-agent 为主	摘要、Section V
较少覆盖	Persistent、Human–Agent、complex multi-agent、systemic、long-horizon	摘要
基准关联	11 个基准中 10 个与该实证语料关联	Section II-F

• 作者解读：作者称在所选研究中，实证证据集中于提示/推理、记忆和经由工具的攻击，且主要是单智能体设置。
• 较少区域：作者称持久威胁、Human–Agent、复杂多智能体、系统性威胁和长程威胁获得的覆盖较少。
• 范围：作者反复写明，这些发现描述所选语料，而不是证明更广文献中不存在相应证据。

红队证据分布

• 测了什么：Section V 把 22 项研究的攻击按受影响表面、边界、属性和架构标到 T 上，并记录攻击者假设和实验设置。
• 结果：作者称 prompt injection（直接与间接）、memory/knowledge poisoning 和 tool poisoning 或 tool-response manipulation 构成主要证据带；Goal hijacking、specification gaming、strategic misalignment、共享记忆污染、编排器级委派、供应链和物理安全在该子集中的实例较少。
• 作者解读：作者认为已知攻击面不能等同于该子集已经测到的区域，架构标签的空缺只表示所选研究未报告该设置。

基准与评测成熟度

• 测了什么：11 个基准被用来看任务类型、指标、执行环境、防御评测和公开产物。AgentDojo、InjecAgent 侧重间接提示注入；AgentHarm 侧重有害智能体行为；ASB 覆盖多种攻击；MCPTox、MCP-Artifact 面向 MCP 工具；SafeAgentBench、RAS-Eval 面向具身或风险场景；R-Judge、Agent-SafetyBench 用风险或拒答类指标；TAMAS 面向多智能体对抗风险。
• 结果：作者称指标异构（ASR、task success、utility、harm/safety score、defense success rate、FNR、risk rate、refusal rate 并存），自适应防御评测有限，执行状态捕获不完整，架构分布不均衡。论文未给出“多少篇做了自适应防御”的精确计数，正文若有逐项勾选，转换后的表列无法可靠对齐，故不写逐项比例。
• 作者解读：作者认为这些因素限制了跨研究比较和可复现性。产物公开支持检查，但不等于可执行或已被独立复现。

其他消融与分析

• 成熟度分数：作者明确不做合成成熟度分数，只做定性评估（Section II-F）。
• 标签含义：多项标签不表示攻击、架构、条件被全组合测试（Section II-E）。
• 时间与因果：T 不编码边界跨越的顺序或因果（Section IV-A）。
• M 的含义：M 只表示拓扑无法可靠分类，不是全部多智能体的伞形标签（Section IV-A）。
• 三组划分：Table II 的功能、交互、系统三组不是额外轴（Section IV-B）。
• 负面结果：作者没有报告某个攻击“失败”的新实验；他们报告的是所选语料里持久、人–智能体、复杂多智能体、系统性和长程威胁的证据较少，以及指标不可直接比较。

作者指出的局限与后续方向

• 只描述所选语料：摘要和 Section II 写明，覆盖结论刻画的是所选研究，而不是确立全部实证研究中的空白，也不估计全领域产物可用率（Section II-D、II-F）。
• 评测实践限制比较：作者在摘要中列出异构指标、有限的自适应防御评测、架构不均衡和不完整的执行状态捕获，认为这些因素制约比较和可复现性（摘要、Section V 的 RQ3）。
• 架构、时间与可复现性：贡献部分写明，在所审查证据内识别出架构多样性、时间范围、结果可比性和可复现性支持方面的局限（引言的贡献列表）。
• 产物不等于复现：Section II-F 写明，公开产物支持方法检查，但不建立完整性、可执行性或独立复现已经成功。
• 13 个开放问题：作者由观察到的局限导出 13 个研究问题，覆盖运行时与持久安全、多智能体与 Human–Agent 交互、供应链与 cyber–physical 风险，以及可复现的系统级评测（引言、Section VI）。论文未在可可靠对齐的正文中逐条给出这 13 问的完整原文，因此这里只保留作者给出的覆盖范围。
• 后续方向的定位：作者称需要用系统化安全评测补充威胁枚举，并说明所审查证据支持什么、何处还值得继续调查（引言末、Section VII）。

实验覆盖范围

• 语料规模：威胁分析语料为 2022–2026 年 66 篇；RQ2–RQ3 分析其中 22 项带至少一种公开产物的实证红队研究（Section II）。
• 基准：另考察 11 个安全基准或评测环境，其中 10 个与这 22 项研究关联；研究分析与基准分析是重叠证据（Section II-F）。
• 纳入边界：独立 LLM 上的一般越狱、模型抽取、成员推断和训练数据投毒，若未利用或评估智能体特有能力，则不进入语料（Section II-B）。
• 编码范围：每项实证研究会被摘录攻击与攻击者假设、目标模型/框架/架构、S/B/P、实验设置与基准、结果度量、防御评测和公开产物类型（Section II-E）。
• 论文未报告的内容：论文未报告编码者人数与一致性、22 项研究的逐年分布，也未给出可跨研究相加的统一 ASR。逐项防御和架构勾选若只出现在列错位的表中，则不作为数字使用。

Baek 等对 2022–2026 年智能体安全文献做结构化综述，把攻击面结构和已有实证评测是否成熟连在一起。

• 问题：智能体的失败可以沿目标、状态、工具和外部观察传播。作者认为按单一维度分类会看不清入口、受影响组件和安全后果，而且框架里已知的威胁不等于已经被红队测过。
• 做法：检索并编码 66 篇研究，定义 T = ⟨S, B, P, A⟩，分别记录受影响表面、信任边界、被违反属性和已报告架构。Table II 列出 32 个威胁族。RQ2–RQ3 只分析 22 项公开了代码、攻击提示、数据或评测脚本的研究，并对照 11 个基准，其中 10 个与该子集关联。成熟度是定性判断，不合成总分。
• 结果：作者报告，在这 22 项研究中证据集中于 prompt/reasoning、memory 和 tool-mediated attacks，且以 single-agent 为主；Persistent、Human–Agent、complex multi-agent、systemic 和 long-horizon 威胁覆盖较少。指标在 ASR、task success、utility、harm/safety score、defense success rate、FNR、risk rate、refusal rate 之间不统一。
• 作者的结论：作者认为应把威胁枚举补上系统化、面向架构、可复现的评测，并从所选证据的局限导出 13 个开放问题，涵盖运行时与持久安全、多智能体和人–智能体交互、供应链与 cyber–physical 风险。作者同时声明，这些结论描述所选语料，不证明领域其他地方没有相应实验。