Agent 安全 · 论文

本研究提出了面向 AI 智能体的系统级外部监控与行为分析框架 AgentSpy。

• 论文定位：论文系统评估了多模型安全路由与基于信号的防御机制在分布偏移下的有效性，指出流行评测中后验选择基准所造成的评估误导。
• 要解决的问题：传统路由评估常在测试数据上事后挑选最佳单模型，在分布偏移下为固定基线注入了人为优势，构成了 deployer 无法实现的虚假下限。
• 关键方法：提出在训练折严格冻结基准模型与收缩因子的诚实留出协议；推导超额危害分解与多维门槛表面；在智能体与技能注入环境中测试预执行路由上限、自适应模板攻击与动作级策略。
• 核心实验发现：
  1. 在 HELM Safety 类别留出下，后验基准的选择代价为 0.045 至 0.113（Table II），与路由全额劣势相当；在平稳划分下仅为 0.003 至 0.030。
  2. 在诚实基准下，路由器在 82% 至 91% 的池单元中直接收缩为固定基准模型，危害差异中位数为 0.0000（Section IV）。
  3. AgentDojo 智能体网格中预执行路由预言机增益至多 0.0105（E43）。
  4. 针对性自适应攻击使 gpt-5.4 表达性标记率下降 19.6 点（E54b），使门控控制器的有效性取决于后备模型漏洞。
  5. 四项动作级防御测试取得 0/130 判定成功，但模式对齐后有效样本仅 10 个（Clopper–Pearson 上界 0.308，Table XVI），且未见机械强制阻断标记。
• 作者结论与启示：作者认为安全路由在应对未见类别时的防御收益微弱，安全评估必须使用未见测试标签的诚实基准并公布成对数据；防御重心应从脆弱的输入分类转向外部动作级强制隔离。