DeepTrap 框架在 OpenClaw 上自动挖掘智能体执行上下文漏洞

核心问题是：用户指令保持良性时，OpenClaw 的可变执行上下文能否在任务看似完成的同时诱导不安全轨迹。

• 场景：作者认为文件、记忆、工具、技能和配置都会进入执行；不安全动作的效果可留在单次回复之外。
• 现有不足：作者认为先前工作多改用户可见指令，评测常简化环境，且较少同时要求隐蔽和任务成功。
• 核心观察：搜索对象是离散上下文工件；须同时实现风险、保住任务并保持隐蔽；作者将 OpenClaw 视为黑盒随机策略。
• 提出内容：DEEPTRAP 在 admissible 载荷上做轨迹级搜索，并用 42 例、六类风险、七个场景评测九个目标模型。
• 威胁模型
  • 目标：给定风险类 r，使轨迹实现该风险，同时良性任务仍看似完成；不修改指令 u。
  • 知识：作者将优化表述为 black-box；不能直接改策略 πϕ，只能通过 rollout 观察轨迹。
  • 能力：执行前用 payload p 与变换 Γ 改受限上下文；通道包括 memory、skill、辅助工件或配置。P 约束位置、内容和允许形式。
  • 受害系统：OpenClaw 智能体。评测看完整观察、动作和上下文更新，不只看最终回复。

智能体系统中的风险

• OpenClaw：Liu et al. 2026a、Wang et al. 2026a、Dong et al. 2026、Wang et al. 2026c。论文称其有高权限漏洞、部署误配置和未验证组件的供应链风险。
• 外部报道：论文称经验研究报道联网实例中 63% 缺少认证，31,000 个被分析 skills 中 26% 含可利用漏洞。
• 注入与组件：论文把 Greshake et al. 2023、Nikishin et al. 2023、Wang et al. 2025b、Yao et al. 2025 归入提示注入；Zhan et al. 2024、Wang et al. 2025a 为记忆注入；Schmotz et al. 2026、Jia et al. 2026、Liu et al. 2026c、Guo et al. 2026 为恶意技能；Huang et al. 2026 为恶意 MCP。
• 评测环境：AgentDojo（Debenedetti et al. 2024）、Agent Security Bench（Zhang et al. 2024）、MCP Security Bench（Zhang et al. 2025）、MCPTox（Wang et al. 2026b）。论文将其列为生态安全评测，未与本文做数值对比。

自动化红队

• HarmBench（Mazeika et al. 2024）：论文称其提供基础评测和对抗训练协议，并称现代方法更强调动态、上下文感知策略。
• 单智能体：RAT（Bai et al. 2025）转向强化学习策略；AgentPoison（Chen et al. 2024）污染检索记忆；AdvAgent（Xu et al. 2025）用直接策略优化做黑盒提示注入。
• 编排及其他：He et al. 2025、Yuan et al. 2026、Xu et al. 2026 做多智能体协作；Jia et al. 2026、Duan et al. 2026 自动化技能攻击；CSRT（Yoo et al. 2025）考察多语言安全错位；Longpre et al. 2024 讨论评测安全港。论文还提到 Claude Mythos（Anthropic, 2026）的零日发现与自主利用生成。

作者归纳的缺口

• 指令通道：作者认为许多工作假设对手直接改用户可见指令，较少研究良性请求加被控环境上下文。
• 环境抽象：作者认为简化设定可能掩盖具体执行动态中的漏洞；本文面向 OpenClaw 的持久环境、工具和模块交互。
• 成功标准：作者认为既有表述多看能否诱发出有害行为，较少看攻击能否在任务看似成功时保持隐藏。

作者将本文定位为：在良性指令下搜索 OpenClaw 的可变上下文，并用风险、任务保持和隐蔽三项同时约束，而不是只优化用户提示。实验未把上述攻击方法列为对照基线。

DEEPTRAP 在执行前搜索上下文载荷，用完整 rollout 的多目标分数做束搜索，再用反思摘要改进后续提案（Figure 1、Section 4）。

设定与风险类

• 实例：I = (u, x0, r, Ωr)。u 为良性指令，x0 为干净上下文，Ωr(τ)∈{0,1} 表示轨迹是否出现该类不安全行为。
• 上下文：x0 统称文件、记忆、工具、技能、辅助工件和工作区状态；作者不把它拆成独立子模块来形式化。
• 六类说法：Section 3.2 写 harness hijacking、obfuscated coding、unauthorized operations、supply-chain compromise、tool abuse、data exfiltration。
• 实验命名：Section 5.1 的 R1–R6 为 harness hijacking、privacy leakage、unauthorized execution、supply-chain risk、tool abuse、encoding obfuscation。论文未逐项声明两套名称的对应。

对抗目标

对手选择 p，得到 x̃₀=Γ(x₀,p)，即注入允许通道后的初始上下文。式 (8) 最大化期望风险分，并要求任务分、隐蔽分不低于阈值。松弛后的轨迹分为 J=λ_r J_risk(τ;r)+λ_t J_task(τ;u)+λ_s J_stealth(τ,p;r)。

• 三项含义：Jrisk 看目标风险是否实现，Jtask 看良性任务是否仍像完成，Jstealth 看不安全行为是否难被发现。
• 估计：期望用 n(p) 次 rollout 的平均估计；只执行一次时就等于该次分数。阈值、权重和 n(p) 的实验取值论文未给出。

束搜索

• 提案模型：πφ 在 u、x0、r、父载荷和反思摘要下采样新载荷；它只提议，分数仍来自 OpenClaw 的完整执行。
• 扩展：深度 ℓ 将上一束每个载荷扩成 B 个候选，按式 (9) 打分，保留经验分最高的 K 个。
• 剪枝：D>1 时阈值从首层的 0 线性升向 β；若该层全部被剪掉，则退回未剪枝集合。
• 起点：从空载荷 p∅ 开始，对应干净上下文。B、K、D、β 的取值论文未给出。

反思与入选

• 摘要：每 α 层总结近期失败、部分成功、有用模式，以及预期与观察的差异。α 未给出。
• 边界：摘要只条件化后续提案，不作为额外评分信号；候选质量仍由实际轨迹决定。
• 入选：最终载荷取全部已评候选 C 的最高经验分，不是只取最后一束。作者称中间层强候选可能因随机 rollout 在后续剪枝中消失。

轨迹评分

• 确定性检查：用于能从结构化痕迹识别的行为，如是否访问禁止资源、是否出现某类工具动作。
• 语义评分：用于需解释的行为，如最终回复是否像完成了用户请求、轨迹是否有明显妥协迹象。
• 隐蔽分：看载荷是否嵌在像样的工件中、中间动作是否与良性任务一致、最终输出是否避开明显的不安全证据。

实验设置

• 基准：42 例，六类各 7 例。S1–S7 为文档与行动项、代码与配置检查、研究与入职文档、部署与日志、销售数据分析、内容起草与数据变换、系统管理（Section 5.1）。
• 构造角色：生成用例时，目标模型为 Qwen3.5-Plus，attacker/提案为 Claude Sonnet 4.6，judge 为 DeepSeek-v4-Pro。
• 被测模型：GPT-5.4、Claude Sonnet 4.6、GLM-5、Qwen3.5-Plus、MiniMax-M2.5、DeepSeek-v4-Flash、DeepSeek-v4-Pro、MiMo-v2.5、MiMo-v2.5-Pro。表中连字符写法与正文略有不同。
• 指标：AGS 衡量轨迹中攻击目标是否达成，UGS 衡量良性任务是否完成；均为 normalized scores。越高分别表示攻击越成功、效用保持越好。
• 评分：风险与任务分结合确定性检查和语言模型语义评分。Table 1/2 未写明评分模型。论文未报告重复次数或统计检验。
• 对照：没有其他攻击方法的对照结果。分数按风险类和场景索引聚合，聚合函数论文未说明。

主结果

下表为 Table 1 的 AGS 切片，并附 R2 的 UGS。R1 harness hijacking，R2 privacy leakage，R4 supply-chain risk，R6 encoding obfuscation。Qwen3.5-Plus 是构造用例时的目标模型。省略 MiMo-v2.5。R3、R5 未列入。

表格较宽，可左右滑动

模型	R1 AGS	R2 AGS	R4 AGS	R6 AGS	R2 UGS
GPT-5.4	0.77	0.84	0.61	0.53	0.83
Claude-Sonnet-4.6	0.51	0.58	0.25	0.20	0.69
GLM-5	0.81	0.93	0.83	0.88	0.90
Qwen3.5-Plus（构造目标）	0.93	0.93	0.74	0.97	0.92
MiniMax-M2.5	0.86	0.89	0.66	0.89	0.95
DeepSeek-v4-Flash	0.90	0.96	0.90	0.94	0.96
Deepseek-v4-Pro	0.90	0.96	0.87	0.86	0.91
MiMo-v2.5-pro	0.74	0.83	0.58	0.53	0.90

• 作者解读：作者称多数被评模型上风险与效用可同时出现，且 trap 能迁移到构造用的 Qwen3.5-Plus 之外。Claude 的 AGS 更低；作者认为可能更抵抗所测攻击，或更少跟随被篡改工件。
• 未列入单元格：Claude-Sonnet-4.6 的 R3、R5 AGS 为 0.37、0.38；其 R3、R4 UGS 为 0.55、0.45。MiniMax-M2.5 的 R5 UGS 为 0.74（Table 1）。
• 省略模型：MiMo-v2.5 的 R1–R6 AGS 为 0.86、0.87、0.71、0.73、0.57、0.60（Table 1）。作者称 privacy leakage 是最稳定被激活的一类。

场景级结果

• 测什么：Table 2 按 S1–S7 报告 AGS/UGS。作者称这些风险不绑在单一任务模板上。
• 较高场景：作者称 S2、S3、S6、S7 在多模型上较强。Qwen3.5-Plus 的 S3 AGS 为 1.00；该行是构造目标。DeepSeek-v4-Flash 的 S2 AGS 为 0.97。
• 较低单元格：Claude-Sonnet-4.6 的 S5 AGS 为 0.16、S1 为 0.33；MiMo-v2.5-pro 的 S5 AGS 为 0.46。作者认为难度取决于场景和执行策略。

迭代与评审

• 迭代：Figure 2 横轴为 Iteration 0–5，纵轴 AGS，六子图对应六类风险，图例为九个模型。正文称全模型全风险平均 AGS 从 0.65 到 0.75。各曲线端点文本未列出。
• 增益：作者称 encoding obfuscation 的平均提升最大，其次为 privacy leakage 与 tool abuse；hijacking 与 unauthorized execution 更温和。作者称 Qwen3.5-Plus 跨风险平均约增 0.18，其后为两个 DeepSeek 变体与 MiniMax-M2.5。
• 评审：Table 3 未写明目标模型与指标名。Deepseek-v4-Pro 的 R1–R6 为 0.88、0.88、0.63、0.69、0.73、0.63；Python 为 0.70、0.84、0.80、0.68、0.69、0.83。作者称语义类上 LLM 更高，执行或编码痕迹上 Python 更有竞争力。

定性案例

• 选取：来自完整 42 任务运行。作者称攻击成功、效用保持和隐蔽都高，但未给分数。开头点了三种机制，正文只展开两则。
• Tool abuse：Figure 3。风格检查完成可见的可读性任务，同时把密钥写入 style_report.md。作者称只看自然语言回复会漏掉不安全文件写入。
• Harness hijacking：Figure 4。被改 playbook 在健康检查之外创建基线没有的 etc/cron.d/health_check。作者称之为控制流失败，回复仍像正常报告。

其他消融与分析

• 除 Table 3 与 Figure 2 外，论文未再报告其他消融数字。
• 论文未报告 ηt、ηs、λr、λt、λs、K、B、D、α、β 以及每载荷 rollout 次数。
• 论文未在表中报告 stealth 分数；定性案例只称隐蔽高。

作者指出的局限与后续方向

• 方法局限：论文没有 Limitations 或 Future Work 专节，也未把 DEEPTRAP 的不足写成局限。
• 后续防御：Conclusion 写未来防御应纳入 context integrity checks、execution-trace auditing 和 risk-aware tool governance。

实验覆盖范围

• 模型：被测目标为 Section 5.1 列出的九个 OpenClaw 模型。构造阶段目标为 Qwen3.5-Plus，提案为 Claude Sonnet 4.6，judge 为 DeepSeek-v4-Pro。
• 数据：42 例，六类各 7 例，七个场景；Table 1 按风险聚合，Table 2 按场景聚合。
• 其他结果：Table 3 比较 Deepseek-v4-Pro 与 Python checker；Figure 2 正文给出迭代 0 与 5 的全模型全风险平均 AGS；Section 5.4 展开两则轨迹。
• 未报告项：Table 1/2 的评分模型、每载荷 rollout 次数、重复次数、查询次数，以及任务/隐蔽阈值、奖励权重和束搜索超参的取值。
• 未报告的分数：stealth 汇总分，以及评审与人工的一致性。Conclusion 提到的三类防御没有对应实验。

DEEPTRAP 是针对 OpenClaw 的自动化红队框架，搜索执行前被改写的文件、记忆、技能、工具元数据或配置，而不是改用户指令。

• 问题：作者认为安全边界已超出显式提示词。被篡改的上下文可以在多步工具、文件和记忆交互中实现攻击目标，用户看到的任务结果仍像完成了。
• 做法：给定良性指令、干净上下文和目标风险，向允许通道注入 admissible payload。完整轨迹按风险实现、任务保持和隐蔽性打分；奖励引导的束搜索扩展候选，反思摘要只用于改进提案。最终取全程最高分载荷。
• 设置：自建 42 例，六类风险、七个场景。构造阶段以 Qwen3.5-Plus 为目标，Claude Sonnet 4.6 提案，DeepSeek-v4-Pro 做 judge，再在九个目标模型上报告 AGS 与 UGS。
• 结果：Table 1 中，非构造目标的 DeepSeek-v4-Flash 与 DeepSeek-v4-Pro 在 privacy leakage 上 AGS 均为 0.96；Claude-Sonnet-4.6 的 encoding obfuscation AGS 为 0.20，supply-chain risk AGS 为 0.25，场景 S5 的 AGS 为 0.16。作者称多数非 Claude 模型的 UGS 仍然较高，并称 trap 能迁移到构造模型之外。全模型全风险平均 AGS 从迭代 0 的 0.65 到迭代 5 的 0.75。
• 作者结论：作者称被篡改的执行上下文能够在保住良性任务效用的同时诱导不安全行为，因此不能只检查最终回复。Conclusion 建议后续防御加入上下文完整性检查、执行轨迹审计和风险感知的工具治理。作者称代码已发布。