Agent 安全 · 论文

• 定位与目标：本文针对智能体支付协议 AP2，研究商户利用商品描述影响智能体决策的推理层攻击面，并提出了协议层绑定防御机制 A-VIP 与评测基准 AP2-WhisperBench。
• 要解决的问题：现有支付协议的密码学签名仅能证明交易未被篡改，但未约束生成交易的决策推理；商户在商品描述中植入不含违规指令的事实性断言即可左右购物结果，且生成的购物车完全符合协议校验。
• 方法要点：A-VIP 将用户签名意图转变为权能授权。针对凭据泄漏（Vault Whisper），引入 DDFC 使用单次会话令牌替代用户标识符；针对购物车篡改（Branded Whisper），通过快照进行实体与展示的算术与标识比对；针对事实性诱导（Selection Whisper），通过与最低价基准比对将未授权支出露出给用户确认。
• 关键实验发现：
  1. 在 AP2 默认的 Flash-Lite 预览模型上，Vault 与 Branded 攻击成功率分别达 90% 与 56%（Table 3）；Selection 攻击在 GA 后续版本上达 73.3%（Table 3）。
  2. 事实性操纵在 17 个 Google 模型上成功率为 23.3% 至 73.3%（Table 4），在多厂商 27 个模型汇总达 71.8%（Section 7.4），仅 claude-opus-5 出现较低成功率（1.2%）。
  3. A-VIP 结构化检查以零假阳性闭环拦截了全部 7 类购物车篡改，并在 68 个被操纵购物车中 100% 露出了未授权支出（Table 11）。
  4. 辅助内容扫描器在 Intel i7 CPU 上单核达 1,932 次/秒，8 线程达 10,328 次/秒（Appendix C）。
• 作者结论与启示：作者指出模型抵御能力与模型规模、厂商或定价无直接对应关系，支付协议设计者无法依赖下游模型自觉防御，必须在协议层将凭据、购物车与支出严格绑定到用户初始授权上。

• 一句话定位：本文研究了多模态模型中对抗输入在被从上下文中移除或掩蔽后，其攻击影响能否通过后续 token 的 KV 缓存持久存在。
• 要解决的核心问题：现有智能体安全部署假定攻击严格依赖恶意输入在提示词中的实时呈现，上下文管理或安全过滤将其移除后即可消除风险；作者质疑了该假设在保留 KV 状态机制下的有效性。
• 方法要点：提出了持久性攻击概念及 P-VMI 方法，通过结合首轮良性锚点监督与掩蔽后经由保留 KV 缓存反向传播的目标损失，使用 APGD 直接优化输入以将恶意指令隐蔽写入后续缓存。
• 核心实验结果：
  • 在 Qwen3-VL-8B-Instruct 上，P-VMI 在注意力掩蔽下仍能达成最高约 90% 的目标成功率（Figure 4 中 party 达 0.92），而未优化的原始 VMI 成功率为 0%。
  • 在上下文压缩保留摘要 KV 缓存的设定下，即使图像仅在首轮出现且后续对话被丢弃，平均成功率仍达 70% 至 89%（Figure 7）。
  • 缓存交换因果消融显示固定文本时仅对抗缓存能触发攻击，且残差流单一线性方向能以 0.91 的合并 AUC 预测攻击成败（Figure 8）。
• 作者的结论与启示：作者认为仅从提示词中移除不可信输入是不充分的，保留的 KV 状态构成了可被利用的攻击面；完全重新计算 KV 缓存虽能阻断该通道，但会牺牲保留缓存的效率收益，亟需针对保留状态安全性的新型防御机制。

SkillPoison 提出了一种针对自进化智能体经验到技能形成过程的攻击范式，通过组织已验证的成功经验诱导技能过度泛化。

• 论文定位：本文针对端到端 GraphRAG 系统，形式化了辅助模式级实体这一攻击面，并提出了基于跳衰减影响的投毒攻击方法。
• 解决的问题：现有知识图谱投毒主要聚焦于节点与边等实例级组件，忽视了离线索引阶段生成的语义摘要、层次边与预计算分值等辅助结构在控制平面上的脆弱性。
• 方法核心：作者提出跳衰减影响（HDI）算法，利用代表性查询集沿图谱传播衰减影响以筛选高价值节点，并通过 3S 框架（语义注入、虚假边添加、预计算分值篡改）实施针对性攻击。
• 主要实验结果：
  1. 在 HotpotQA 与 2WikiMultiHopQA 问答基准上，HDI 在各配置下达到 88.17%–94.44% 的 ASR，其中在 HippoRAG2 搭配 2WikiMultiHopQA 上取得最高 94.44% ASR（Table 1）。
  2. 攻击展现出 1:N 的放大杠杆，模式杠杆率（SLR）达到 3.41–6.00，在 HippoRAG2 上仅修改 0.016% 的结构（49 个）即达到 94.44% ASR（Table 2）。
  3. 篡改结构在困惑度过滤与改写检测下的规避率超过 99%，系统检测率保持在 0.1% 以下（Table 3）。
• 作者结论与启示：作者指出，辅助模式级实体因系统派生属性而享有隐式信任并缺乏运行时校验，构成了现有 GraphRAG 防御的结构性盲区；未来亟需发展结合溯源追踪与鲁棒聚合的协同防御机制。

• 研究定位：该研究针对持久状态化 AI 智能体的检查点与回滚（C/R）机制，探讨了状态还原过程中的系统安全性。
• 核心问题：随着智能体运行周期延长，C/R 成为从故障中恢复的关键手段；但现有机制仅关注状态本身的正确恢复，忽略了跨越恢复边界的安全依赖，导致恢复后的执行可能进入历史中从未合法共存的状态。
• 方法要点：作者将现有 C/R 归纳为框架、工作区和 OS/VM 三类恢复边界，提出了包含多进程与外部世界的执行模型；形式化定义了执行连续性概念，提炼出内部覆盖不全（SF1）、内部状态不一致（SF2）、外部状态不匹配（SF3）、无约束非确定性重放（SF4）和未记录外部效应（SF5）五类故障模式；并设计了集收集、分析、检查与原生验证于一体的多智能体分析管线。
• 关键实证结果：
  1. 在 TerminalBench 与 AgentBench 的 1735 次执行中，SF1 和 SF4 最普遍，出现率分别达 67.2%（1166 次）与 67.7%（1174 次）；SF5 因评估任务多为本地操作仅占 2.3%（40 次）（据 Table II）。
  2. 针对系统级沙箱的 E2B 未观察到 SF1 与 SF2；而仅恢复工作区文件的 Hermes 和 Cline 暴露出大量 SF2 故障，在两基准上分别出现 240 次与 249 次（据 Table II）。
  3. 在包含 96 个持久外部动作的微基准中，调整执行与提交顺序均无法解决恢复鸿沟，先执行后提交与先提交后执行的失败率分别为 93.8%（90 次）和 96.9%（93 次）（据 Table IV）。
  4. 构建的 3 个真实端到端攻击与 30 个基于恶意 skill 的测试用例均攻击成功，且未被现有恶意 skill 检测工具拦截。
• 作者结论与启示：作者指出正确恢复检查点内容并不等同于安全的执行恢复，回滚极易破坏支撑安全决策的上下文与依赖关系；未来的智能体恢复机制必须将恢复视为跨组件的安全边界，通过显式状态绑定、事务一致性与幂等协调机制保障恢复安全性。

本研究系统揭示了大模型智能体技能推荐场景下的虚构技能名称安全风险，将其形式化为一种新型供应链抢注攻击。

本文研究了持久化个人智能体面临的隐蔽记忆注入威胁，提出了一套兼顾写入、隐蔽与跨会话生效的自动化生成框架与全周期评测基准。

• 定位：CodePoisonRAG 是一项针对检索增强代码生成（RACG）系统的黑盒上游知识投毒攻击研究，探索攻击者能否通过单一任务对齐工件定向诱导漏洞代码生成。
• 问题：针对现有投毒攻击依赖非针对性 CVE 样本、需要单查询多样本注入且无法自由匹配任务与弱点的问题，研究在黑盒且低投毒率下定向植入特定 CWE 的可行性。
• 方法：选取良性任务代码保持签名与逻辑，通过漏洞注入替换关键净化步骤为 passthrough 形成完整 source-to-sink 污点链，再叠加语义误标虚假安全注释以兼顾检索相关性与生成诱导。
• 主要结果：
  1. 在 12,053 条良性库中仅引入 85 个工件（投毒率 0.700%），所有工件在 3 个模型上均 100% 进入 Top-3 检索上下文（Table II）。
  2. 无防御场景下在 Qwen 3.5 9B、Code Llama 13B 和 DeepSeek-Coder-V2 16B 上的 ASR 分别为 0.80、0.93 和 0.80（Table III）。
  3. 在 CodeGuarder 安全知识注入防御下，三模型 ASR 仍保持在 0.40、0.71 和 0.60（Table III）。
  4. 在共有的 4 类 CWE 上，Code Llama 13B 的平均 ASR 达到 0.97，高于现有 CVE 投毒基线的 0.67（Table IV）。
• 结论与启示：作者认为，RACG 系统的知识库构成了关键攻击面，攻击者无需访问模型即可实现针对性漏洞传播；现有的提示期安全知识注入能缓解但无法消除投毒影响，强调了在检索知识被采纳前进行完整性与安全性验证的必要性。

• 论文定位：重新审视 Ken Thompson 针对编译器的 Trusting Trust 攻击，探索恶意评测基准能否在自修改 AI 代码智能体的自我进化循环中植入持久后门。
• 研究问题：在攻击者无法直接篡改智能体代码或底层模型的前提下，检验仅通过提供包含特定测试诱导的投毒基准，能否使智能体在后续版本中持续向中立编程任务输出安全漏洞。
• 方法设计：以 DGM、SICA 和 Hyperagents 为研究对象，构建在合规配置下无法通过、唯有引入不安全实现才能解题的代码基准，迫使智能体在自诊断与自演化过程中生成脆弱代码工具或通用系统指令。
• 主要实验结果：
  1. 在 CertCheck 投毒基准下，配备 Qwen3.5-397B 的 DGM（修改提示词版本）与配备 Claude Sonnet 4.5 的 Hyperagents 在 10 个中立任务（N=30）上的漏洞生成率均达到 30/30（Table 1）。
  2. 在 HTTPS 仅附带出现的复杂保留任务中，受污染智能体的漏洞率最高达到 15/15，仅在 URL 隐式提及条件下略有微调（Table 2）。
  3. 在 JWTVerify 投毒基准下，DGM、SICA 和 Hyperagents 在 16 个中立保留任务（N=48）上的漏洞率分别为 43/48、15/48 和 35/48（Table 4）。
  4. 遭受投毒的智能体在通用安全基准 CWEval+CWE-295 下继续演化 8 至 21 代后，DGM、SICA 和 Hyperagents 的漏洞率仍分别维持在 27/30、30/30 和 30/30，未能自发去污染（Table 3）。
• 作者结论与启示：作者认为基准投毒能跨代侵染自修改智能体且具备较强转移性与持久性；防御者在设计自进化系统时不能默认外部基准可信，必须在脚手架与自改进流程中引入不受性能评分裹挟的机制性安全约束。

• 研究定位与核心问题：论文针对大模型智能体在执行前依据语义匹配分配技能的机制，分析了无需显式指令即可偏置技能选择的隐式攻击面，指出现有显式提示注入易被审查识别的问题。
• 核心方法设计：提出了双端协同操纵方法 ISM，通过跨请求频次与任务相关性提取任务线索以扩大覆盖面，注入罕见技术钩子拉开与同领域技能的区分度，并利用四大语义关系桥进行受限改写，使提示词自然化并规避人工与检测器审查。
• 主要实验结果：
  1. 在 8 个选择器模型与 4 个任务领域中，ISM 将宏观平均目标选择率从 Native 的 15.2% 提升至 63.5%（绝对提升 48.3 个百分点，Table 1）。
  2. 在匹配对比中，ISM 达到 73.5% 的选择率，仅比显式引导 Explicit Steering（83.3%）低 9.8 个百分点（Figure 7(a)）。
  3. 人工评审对 ISM 的拦截率仅为 2.9%（显式引导为 91.4%），5 个大模型审查器的平均通过率达 82.9%（Figure 8, Table 5）。
  4. 现有规则防御中，Prompt Guard 2 与 PIGuard 防御后 ISM 的目标选择率仍分别残留 47.8% 和 46.9%，且伴随 26.5% 和 37.5% 的良性误报率（Figure 9）。
• 结论与启示：作者认为，技能选择环节决定了哪项功能进入智能体的下游执行流，应将其视作关键的安全边界；单纯依赖文本级检测或显式指令识别无法有效防御基于语义匹配的隐式操纵，未来的智能体安全架构需从选择完整性出发设计联合防御机制。