OpenAI · 论文

本文系统分析了真实世界 AI 智能体 Harness 上下文组装机制的安全性。

• 研究定位：该论文针对基于单次交互的大模型安全评估假定，提出了一种通过多交互任务拆解与重组来提取被拒绝能力的攻击范式。
• 要解决的问题：现有多阶段防御主要依靠对单次请求中完整有害意图的拦截，当攻击者将任务分解为孤立技术细节并保留在外部环境中时，前沿模型的单次拒绝机制无法防止底层能力的泄露与组合利用。
• 核心方法设计：提出能力洗钱攻击，以本地未对齐小语言模型作为编排器，结合结构化便签与看门狗脚手架，向无状态对齐前沿模型发起目标脱敏的技术咨询，随后在本地验证并拼装完成端到端任务。
• 主要实验结果：在网络安全基准 CyBench 上，Gemma-4-31B 配合 GPT-5.5 恢复了 8/14（57%）的差距候选任务，配合 Opus 4.8 恢复 7/9（78%）；在 BountyBench 上分别恢复 3/9（33%）与 2/3（67%）；在生物攻击链评测中，咨询支持使 Gemma-4-31B 平均量规分由 75.3 提升至 83.1。
• 能力边界发现：能力提升受编排器自身的推理与状态保持能力制约，同量级的 Muse-Glimmer-30B 在真实漏洞任务上取得 0 恢复率；生物链条中具两用特征的上游步骤增益明显，而直接涉及武器化的下游释放步骤几乎无增益。
• 作者结论与建议：作者认为单次交互层面的对齐无法保障系统级安全，防御体系必须从独立的单次请求过滤，转向能够跟踪请求来源、跨会话推演功能依赖关系的组合感知监控架构。

• 定位：论文研究了计算机使用智能体（CUA）中由持久化工件自主生成引发的内部供应链安全风险。
• 核心问题：现代 CUA 依赖自主编写并复用技能等持久工件来扩展能力，若底层模型受到供应链攻陷，可能在良性任务中生成带潜伏载荷的自合成工件，使得恶意行为无需外部新输入即可在后续任务中跨步激活。
• 方法设计：提出 SYNCHAIN 框架，通过面向持久化的定向 SFT，将恶意逻辑潜伏编码在良性工件的结构冗余中；工件被纳入系统扩展状态后，通过状态转移实现严格的延迟激活。
• 核心实验发现：在 OpenClaw、Codex 和 Claude Code 三个框架下，SYNCHAIN 在 Chain-1 无防御设置下取得 97.78%–98.89% 的平均 ASR，在 GuardAgent 下仍保持 87.78%–93.33%；在 Chain-2 取得 72.59% 的平均 ASR，显著优于适配基线 SkillJect 和 DemonAgent。
• 传播边界与衰减：在更长任务链中，受上下文截断和记忆总结等信息瓶颈影响，Chain-4 与 Chain-5 的 ASR 分别回落至 6.67% 与 1.11%，表明跨任务传播存在天然的马尔可夫衰减边界。
• 作者结论与启示：作者认为，持久性改变了智能体的安全边界，传统的单步输入过滤和输出审查无法防御内部工件传递的风险，未来需构建结合工件签名、权限约束与执行轨迹审计的来源感知防御。