Agent 安全 · 论文

该论文评估了基于大语言模型的 Web 智能体在利用历史交互轨迹进行记忆增强时的安全脆弱性。

SkillPoison 提出了一种针对自进化智能体经验到技能形成过程的攻击范式，通过组织已验证的成功经验诱导技能过度泛化。

• 论文定位：论文研究企业多租户 AI 智能体共享向量记忆库时，由于嵌入空间语义接近而导致的跨用户记忆非对抗性泄漏与主动利用风险。
• 要解决的问题：现有智能体记忆系统通常将用户数据混存在同一向量库中并通过软元数据过滤，作者指出这打破了多租户物理隔离，使得普通余弦相似度检索便可将他人的隐私记忆注入当前用户会话。
• 方法核心：形式化跨用户可采纳性失效，构建覆盖 4 级组织距离（T0–T3）与 4 种敏感业务场景的基准集，对比被动泄漏与基于常识角色构造的主动桥接攻击，并评估多层缓解机制。
• 核心实验结果：
  1. 在 MiniLM-L6-v2 池化检索下，同团队 T0 被动泄漏率为 70% [40%, 89%]，同部门 T1 和跨部门 T2 达 90% [60%, 98%]，而跨公司 T3 降至 10% [2%, 40%]（Table 3）。
  2. 主动构造记忆在 MiniLM 下实现 90–100% 的 top-k 命中率，平均检索分数比有机基线提高 +0.416 至 +0.511（Table 2）；在薪酬场景下仅需领域常识即达 90% 命中率，逼近逐字抄袭上限的 100%（Table 10）。
  3. 端到端检索生成导致 Gemini 2.5 Flash 回答污染度升至 5.00/5（满分 5 分，干净基准为 1.00），Claude Sonnet 4.5 达 4.67/5，且受污染回答被判定为同等或更有用（Table 5）。
  4. 后检索硬所有权门控（M3）将攻击命中率降至 0% 并将两款模型的回答污染度完全恢复至 1.00/5（Table 7、Table 8），平均检索延迟开销仅增加约 1.4 ms（Table 14）。
• 作者结论与启示：作者认为在共享向量库中仅凭语义相似度无法界定数据访问权限，当共享范围扩大至恶意成员时元数据过滤亦会失效；系统设计者必须在向量存储、嵌入及检索后实施分层防御，并联合评估检索架构与下游模型。

• 论文定位：论文提出了 StegoMemory，系统评测大语言模型智能体持久化记忆被用作跨会话隐写隐蔽通信信道的安全风险。
• 解决的核心问题：现有安全评估主要关注显式有害内容与提示词注入，忽视了攻击者利用良性交互在记忆中隐写编码并跨会话重构机密的信息流威胁。
• 方法核心要点：通过主副任务配对与两会话隔离协议，测试 7 种隐写机制在 13 个模型中的编码、记忆写入持久化及后续良性检索恢复全流程，并配合任务完成与安全合规监视。
• 主要实验发现：
  1. 在全基准 14,000 次试验中，20.1% 实现了合成机密的确切匹配恢复，且其中 71.4% 同时通过任务完成与独立安全监视（占全试验的 14.4%）。
  2. 13 个模型中有 12 个显示信息损耗集中在记忆写入持久化阶段而非检索阶段（写入阶段存活率为 29.8%，检索可恢复为 25.4%）。
  3. 模型低拒答率不等于高正确编码率，较弱模型在未拒答时大量产生格式错误编码（全模型平均格式错误率为 23.5%，拒答率为 20.6%）。
• 作者结论与防御启示：作者认为持久化记忆应被视作安全边界而非被动存储介质，单靠表面响应监视无法保证信息流安全，防御应优先部署在记忆写入接口处，实施出处追踪、规范化与跨会话信息流审计。

该论文系统研究并量化了通过共享持久工件在具有独立私有内存的 LLM 智能体之间发生自传播的“工件介导传播”攻击风险。

本文研究了持久化个人智能体面临的隐蔽记忆注入威胁，提出了一套兼顾写入、隐蔽与跨会话生效的自动化生成框架与全周期评测基准。

本文系统分析了真实世界 AI 智能体 Harness 上下文组装机制的安全性。

• 定位：论文研究了计算机使用智能体（CUA）中由持久化工件自主生成引发的内部供应链安全风险。
• 核心问题：现代 CUA 依赖自主编写并复用技能等持久工件来扩展能力，若底层模型受到供应链攻陷，可能在良性任务中生成带潜伏载荷的自合成工件，使得恶意行为无需外部新输入即可在后续任务中跨步激活。
• 方法设计：提出 SYNCHAIN 框架，通过面向持久化的定向 SFT，将恶意逻辑潜伏编码在良性工件的结构冗余中；工件被纳入系统扩展状态后，通过状态转移实现严格的延迟激活。
• 核心实验发现：在 OpenClaw、Codex 和 Claude Code 三个框架下，SYNCHAIN 在 Chain-1 无防御设置下取得 97.78%–98.89% 的平均 ASR，在 GuardAgent 下仍保持 87.78%–93.33%；在 Chain-2 取得 72.59% 的平均 ASR，显著优于适配基线 SkillJect 和 DemonAgent。
• 传播边界与衰减：在更长任务链中，受上下文截断和记忆总结等信息瓶颈影响，Chain-4 与 Chain-5 的 ASR 分别回落至 6.67% 与 1.11%，表明跨任务传播存在天然的马尔可夫衰减边界。
• 作者结论与启示：作者认为，持久性改变了智能体的安全边界，传统的单步输入过滤和输出审查无法防御内部工件传递的风险，未来需构建结合工件签名、权限约束与执行轨迹审计的来源感知防御。

• 论文定位：该研究探讨了基于 harness 架构的智能体在持久记忆机制下所面临的新型跨会话安全与隐私风险。
• 研究问题：现有提示注入多局限于单次会话，而传统后门攻击往往依赖较强的访问权限；论文研究在攻击者无法直接访问智能体的前提下，嵌入外部源的恶意指令能否诱导智能体将其持久化并引发跨会话隐私泄露。
• 攻击方法：提出的 PMPA 采用两阶段流程，在注入阶段将包含过渡句、记忆写入指令和条件恶意规则的三组件载荷置于外部良性内容中，诱导智能体在问答时写入持久记忆；在触发阶段，用户执行正常工作区任务时激活存储的恶意规则，实现隐私窃取。
• 核心实验发现：
  1. 在全场景平均下，OpenClaw 的 ISR 与 C-ASR 分别达到 73.7% 和 55.5%，Claude Code 对应达到 66.9% 和 81.7%，且良性任务 Utility 均保持在 80% 以上（摘要及 Table 1）。
  2. 文本模态的攻击效果高于多模态输入，OpenClaw 上文本输入的 ISR 达到 99.4 ± 0.8%，而图像与 PDF 的 ISR 分别为 54.5 ± 2.2% 与 67.2 ± 11.6%（Table 2）。
  3. 日历场景在两个系统上均取得突出的跨会话攻击效果，Claude Code 与 OpenClaw 的 C-ASR 分别达到 96.7 ± 4.7% 和 87.8 ± 9.5%（Table 3）。
  4. 三明治提示词防御能有效降低图像与 PDF 的注入率（如 Claude Code 图像 ISR 从 65.6% 降至 2.2%），但在日历场景中一旦记忆被投毒，Claude Code 的 C-ASR 仍维持在 96.7% 不变（Table 6）。
• 作者结论与启示：作者认为持久记忆机制打破了单任务交互的安全边界，未经验证的外部数据可能使智能体形成长期的恶意潜伏行为；作者指出当前的提示级防御难以抵御已持久化的记忆投毒，智能体安全亟需从架构与记忆管理机制层面设计更有效的防护方案。