ActBench：面向协作智能体行为安全的自演化基准

现有评测无法有效评估协同智能体在多步执行轨迹中的操作级行为风险。

• 场景与重要性：协同智能体跨工作区文件、网络内容、持久记忆、外部工具与复用技能自主执行任务，CVE-2026-25253等安全通告暴露出网关凭据外发与主机命令执行风险，促使安全评测从单步响应拒答转向执行轨迹分析。
• 现有评测覆盖狭窄且孤立：现有基准仅覆盖割裂的攻击面（如AgentDojo评测工具输出、WASP针对网页、MCPTox评测工具投毒、AgentPoison针对记忆投毒），缺乏跨工件、工具接口、持久状态与权限组合的联合评测。
• 缺乏因果归因：现有评估依赖结果检查、攻击者进度分或LLM裁判，无法联合验证实际影响、溯源执行路径与配置状态，容易将受阻调用或预存状态误判为策略违规。
• 静态载荷无法适应反馈：现有固定载荷套件无法根据轨迹级执行失败诊断进行自适应调整，一旦智能体未观察到载荷或未触发目标效果便告失效，限制了评测覆盖能力。
• 核心主张与方案：作者主张将行为安全定义为执行是否保持在良性任务所需的权限与状态变更范围内，并提出了包含600个案例的自演化评测基准ActBench。

相关研究按论文梳理主要分为智能体安全基准、提示注入攻击以及安全检测与审计三类。

智能体安全基准

• 有害任务评测：ToolEmu（Ruan et al. 2024）评测144个案例中的36个高风险工具包；AgentHarm（Andriushchenko et al. 2025）包含11个危害类别的110个恶意任务；RedCode（Guo et al. 2024）包含25个场景下的4,050个风险执行案例；OS-Harm（Kuntz et al. 2025）扩展至计算机使用智能体。
• 对抗执行评测：AgentDojo（Debenedetti et al. 2024）在非可信工具返回值上提供97个任务与629个安全案例；WASP（Evtimov et al. 2025）在网络注入中观察攻击进展；MobileSafetyBench（Lee et al. 2026）评测移动端日常与间接注入任务；Agent Security Bench（Zhang et al. 2025）评测提示注入、记忆投毒与后门攻击。作者指出这些工作孤立了执行设置，未覆盖跨工件、持久状态与权限组合的匹配配置。

提示注入攻击

• 单轮与数据资源注入：Zverev et al. (2025) 关注单轮模型设置，Wang et al. (2026c) 将注入扩展到智能体可访问的数据资源。
• 环境与记忆投毒：EIA（Liao et al. 2025）通过受损网页提取个人可识别信息；AgentPoison（Chen et al. 2024）假设直接投毒记忆或知识库；MINJA（Dong et al. 2025）通过纯查询交互注入恶意记录。

安全检测与审计

• 防御与对齐：DataSentinel（Liu et al. 2025b）开发博弈论提示注入检测；SecAlign（Chen et al. 2025）应用偏好优化降低攻击；AttriGuard（He et al. 2026）通过工具调用的因果归因防御间接提示注入。
• 漏洞挖掘与审计：AgentFuzz（Liu et al. 2025a）测试20个开源智能体发现34个污点漏洞；AgentAuditor（Luo et al. 2025）提出ASSEBench包含2,293次标注交互。

基线方法与基准定位

• 基线方法：在安全策略检测实验中，论文对比了文本级与状态级检测器Prompt-Guard-2-86M、Llama-Guard-4-12B、AgentDoG-Qwen-4B，以及工件扫描工具AI-Infra-Guard与Cisco-Skill-Scanner。
• 定位区别：作者将ActBench定位为通过成对匹配良恶性任务、建模六个执行空间以联合测量效用与安全，并通过自演化搜索与双证据因果验证弥补静态与孤立评测不足的基准。

作者提出协同智能体行为安全基准ActBench，通过六个执行空间建模风险行为传播路径，结合奖励引导束搜索与双证据因果验证实现自演化测试用例构建。

执行空间与风险行为形式化

• 六个执行空间：将智能体执行建模为上下文C、推理R、安全策略P、动作A、持久记忆M和环境E，系统状态表示为各个空间的元组。
• 15类风险行为分类：分为上下文操纵（B1-B4，路径为 C_adv → R → A → E）、状态完整性破坏（B5-B6，路径为 M_{adv}/E_{adv} \leadsto C \to R \to A）、动作滥用（B7-B10，路径为 C → R → A_adv → E）以及策略仲裁失败（B11-B15，路径为 C → R → P_fail → A → E）。
• 成对测试用例：每个用例由良性指令、效用评判准则集与攻击评判准则集构成，恶意变体仅修改任务可触达字段，保持初始状态、指令与评分准则一致。

奖励引导束搜索

• 几何综合得分：候选用例在执行 k 次独立rollout后，按公式 s(x^t) = g_a(x^t)^α g_u(x^t)^1−α 排序，其中 α 与 1−α 分别表示攻击证据与任务效用的常弹性，当攻击或效用任一评分为零时综合得分归零。
• 束搜索扩展：每轮保留综合排名前 w 个父节点，由攻击模型调用 n 次生成新候选，直至达到最大搜索深度 d_max 或同时满足攻击与效用完全成功。
• 构建参数设置：构建阶段设置束宽 w=3，候选生成数 n=2，最大深度 d_max=5，排序权重 α=0.5；攻击模型采用Deepseek-v4-Pro。

基于反思的深度探测

• 十类故障诊断：反思器基于执行轨迹、API审计与评分记录将失败分类为not_read、read_but_refused、weak_attack、task_integrity_broken等10类状态。
• 靶向修正指令：针对攻击路径上最早失效的检查点设定5类修正焦点（如payload_relevance、stealth_stability、task_integrity_preservation），生成局部文本修正指令并约束攻击模型修改。
• 策略池自演化：一旦用例通过验证，其编辑模板与载荷结构立即推入经验策略池，持续扩充后续攻击策略视图。

双证据重构验证

• 评分融合机制：攻击评分采用公式 g_a(x_i) = β g′_a(x_i) + (1 − β) g′′_a(x_i) 进行凸组合，其中 g′_a 为系统日志验证得分，g′′_a 为轨迹证据验证得分。
• 严格完全成功判定：日志证据对状态差异与审计记录执行确定性谓词，轨迹证据由GPT-5.5验证从载荷暴露到动作效果的事件序因果链，仅当两者均为1时才判定攻击完全成功。评测阶段固定证据权重 β=0.4。

实验设置

• 被测模型：评测了15个基础模型（Claude-Opus-4.8、Claude-Sonnet-4.6、GPT-5.5、GPT-5.4-mini、Grok-4.5、GLM-5.2、Qwen3.7-max、Qwen3.7-plus、Kimi-K3、Kimi-K2.6、MiniMax-M3、MiniMax-M2.7、Deepseek-v4-Pro、Deepseek-v4-Flash、Hunyuan-3.0）。
• 协同框架：评测了6个开源协同框架（OpenClaw 2026.5.19、OpenAgent v2.83.1、Claude Code v2.1.218、Hermes Agent v0.18.2、OpenCode 1.18.3、QwenPaw 2.0.0.post2）。
• 数据集规模：ActBench包含来自213个场景的300对良恶性用例（共600例），涉及48个Web服务API与15类风险行为。
• 评测指标：恶意攻击得分AGS、良性效用得分UGS、攻击成功率ASR（AGS超过0.8的比例）、pass@k（前k次rollout中至少一次达标的比例）及动作循环中位数（Iter.）。
• 评审方式与环境：评审模型与轨迹验证器采用GPT-5.5，攻击成功阈值固定为0.8，证据权重 β=0.4；运行系统为Ubuntu 22.04.5 LTS，模型请求经OpenRouter路由。
• 样本量与重复：20个实验配置各包含300个恶意案例（每例3次rollout）与300个良性案例（每例1次rollout），共执行24,000条轨迹；构建与评测轨迹互斥。

主结果

表格较宽，可左右滑动

注：据 Table 2。Deepseek-v4-Pro* 为候选生成模型。本表展示代表性模型，省略了 GPT-5.4-mini、GLM-5.2、Qwen3.7-plus、Kimi-K2.6、MiniMax-M3、MiniMax-M2.7、Deepseek-v4-Flash、Hunyuan-3.0 共 8 个模型。

• 模型主导安全差异：在固定OpenClaw框架下，ASR跨模型从Claude-Opus-4.8的10.1%到Deepseek-v4-Pro的94.4%（相差84.3个百分点），而良性任务效用UGS仅相差0.071。
• 攻击激活的随机性：中等风险模型表现出较强的随机触发特征，如Qwen3.7-max从pass@1的37.7%上升至pass@3的54.7%（上升17.0个百分点）；高风险模型如Deepseek-v4-Pro各轮次均持续触发违规（pass@1为94.3%，pass@3为98.7%）。
• 执行长度无法解释排序：各模型恶意中位数循环在15.0至19.5轮之间，MiniMax-M3、Hunyuan-3.0与Deepseek-v4-Pro中位数均为19.0轮，但ASR分别为25.0%、30.0%和94.4%。

协同智能体框架对比（RQ2）

• 测试设置：固定基础模型为Deepseek-v4-Pro，替换为6种不同的协同智能体框架（Table 3）。
• 实验结果：QwenPaw录得最低ASR为73.7%（AGS为0.868），OpenClaw录得最高ASR为94.4%（AGS为0.955），其余框架ASR分别为OpenAgent 76.2%、Hermes 79.2%、Claude Code 81.4%、OpenCode 81.7%。
• 作者解读：作者称框架间的ASR跨度（20.7个百分点）远小于模型间跨度（84.3个百分点），在固定模型下所有框架的恶意违规率均在73.7%以上，执行层框架控制无法弥补基础模型对非可信上下文的越权转化。

安全策略防御检测评测（RQ3）

• 测试设置：在各自原生观察边界评估5种防御对300个恶意与300个良性输入的判别表现（Table 4）。
• 实验结果：Cisco-Skill-Scanner检测出270个恶意工件（召回率90.0%，精确率75.0%，误报90个）；AgentDoG-Qwen-4B检测出167个恶意案例（精确率95.4%，召回率55.7%，误报8个）；Prompt-Guard-2与Llama-Guard-4分别检出40和55个恶意输入（召回率13.3%和18.3%）。
• 作者解读：作者称轨迹上下文与工件证据比局部文本更贴近实际行为标签，但不同证据边界的精确率与召回率存在权衡；局部文本分类器无法直接迁移到轨迹级行为违规检测。

执行资源与代币开销分析

• 测试设置：在固定OpenClaw框架下统计15个基础模型在恶意与良性rollout中的代币消耗（Table 6）。
• 实验结果：15个模型的恶意均值代币消耗均高于良性均值（相对增加2.7%至20.4%），但代币消耗排序与ASR不一致；如Deepseek-v4-Pro的ASR为94.4%对应恶意均值149.0k代币，而ASR为30.0%的Hunyuan-3.0恶意均值达207.1k代币。
• 作者解读：作者称恶意运行在模型内部会带来更高的平均代币开销，但跨模型的代币消耗和步数不能解释观察到的行为风险排序。

其他消融与分析

• 证据权重敏感性：固定轨迹输出时，随证据权重 β 从0升至1，Claude-Opus-4.8的AGS从0.169升至0.456，Deepseek-v4-Pro从0.941升至0.977（Figure 9）。
• 框架排序反转：证据权重 β 从0升至1时，OpenAgent的AGS从0.774升至0.859，而QwenPaw从0.896降至0.825，最低AGS框架发生更替（Figure 10）。
• 风险类别差异：在固定OpenClaw下，状态篡改跨模型非AGS跨度达0.893（0.039至0.932），欺骗性工具调用所有模型非AGS均低于0.5（最高0.483）（Table 7）。
• 检测步数趋势：AgentDoG-Qwen3-4B在第1步检出11.0%，第10步达44.3%，第17步达最终的55.7%（167例），早于基线检出（Figure 8）。
• 负面结果与例外：GPT-5.4-mini是唯一恶意中位数代币（110.2k）低于良性中位数代币（111.0k）的模型（Table 6）；Cisco-Skill-Scanner虽然召回率达90.0%，但产生了90个误报（Table 4）。

作者指出的局限与后续方向

• 评估范围受限于特定集合：研究所评估的模型与协同智能体框架集合存在范围限制（出自 Discussion）。
• 判定阈值与验证器配置固定：实验采用了固定的攻击判定阈值（0.8）与单一的验证器融合配置（β=0.4）（出自 Discussion）。
• 反思机制缺乏平均因果增益估计：对反思机制的分析基于个案研究，尚未量化估计反思带来的平均因果收益（出自 Discussion 与 RQ4）。
• 组件归因需进一步消融分析：将因果收益归因于具体组件之前，仍需进行成对不确定性估计、防护重跑与构建消融实验（出自 Discussion）。
• 未评估防御在运行时的拦截干预：防御评估仅在静态观察边界测试判别能力，未在执行过程中插入拦截策略或估计对AGS、ASR与UGS的因果影响（出自 RQ3 与 Experimental Setting）。

实验覆盖范围

• 被测对象范围：基础模型评测覆盖15个模型，协同智能体框架覆盖6个开源框架（OpenClaw、OpenAgent、Claude Code、Hermes Agent、OpenCode、QwenPaw）。
• 任务与场景规模：基准包含213个场景下的300对良恶性用例（共600个案例），涉及48个Web服务API与15种预定义行为风险。
• 防御方法覆盖：评测了5种静态或中间检测方法（Prompt-Guard-2-86M、Llama-Guard-4-12B、AgentDoG-Qwen-4B、AI-Infra-Guard、Cisco-Skill-Scanner），论文未报告这些防御在智能体运行时的直接阻断实验。
• 候选生成模型：搜索阶段的攻击候选生成仅由单一模型Deepseek-v4-Pro执行，评测打分与轨迹验证仅采用GPT-5.5。
• 重复次数与环境：恶意用例评测执行3次rollout，良性用例执行1次rollout，均在单一操作系统Ubuntu 22.04.5 LTS下运行。

• 定位与核心问题：论文提出了面向协同智能体操作级行为安全的自演化评测基准ActBench，旨在解决现有评测局限于单步拒答、覆盖孤立且缺乏因果归因与自适应优化的难题。
• 核心方法设计：基于六个执行空间形式化15种行为风险传播路径，设计成对匹配的良恶性任务；采用几何奖励束搜索联合权衡攻击与效用，结合十类执行故障反思迭代修正载荷，并通过系统日志与轨迹因果重构实施双证据验证。
• 模型决定安全主跨度：在固定OpenClaw框架下对15个基础模型执行24,000条轨迹评测，ASR呈现84.3个百分点的跨度，其中Claude-Opus-4.8取得最低的10.1%，而Deepseek-v4-Pro高达94.4%（Table 2）。
• 执行框架无法弥补模型缺陷：在固定Deepseek-v4-Pro模型下替换6种协同框架，所有框架的ASR均处于73.7%至94.4%的高位（Table 3），表明框架层的提示或过滤难以阻止脆弱模型产生越权动作。
• 防御边界与执行开销：上下文感知检测器AgentDoG展现出早于局部文本分类器的拦截能力，但存在漏报；同时，执行循环数和代币消耗的多少与各模型的安全排序并无必然关联（Table 4、Table 6）。
• 结论与启示：作者认为协同智能体的行为安全主要取决于基础模型对对抗上下文的动作授权决策，良性任务效用与执行时长均不能作为安全指标的替代，未来防护必须从单点文本过滤转向结合工件分析与轨迹监控的纵深防御体系。