Anthropic · 论文

• 论文定位：该研究是针对开源与闭源代码智能体harness原生安全机制的系统性实证分析与基准评测。
• 核心问题：针对代码智能体harness安全机制实现状态不透明、在对抗环境下防护能力及对合法开发效用影响缺乏定量评估的问题展开研究。
• 方法体系：作者构建了包含10类安全机制的分类法，通过研究人员与LLM独立评审审计了40款harness的400个单元格；进一步提出包含23个任务的HARNESSSECURITY-BENCH，在隔离容器中利用确定性预言机评测6款harness在开启与关闭机制下的表现。
• 关键实验发现：
  • 在GLM-5.2基线与6款harness测试中，开启auto-approve使总体任务效用从77.1%升至95.4%，但ASR从29.2%升至95.6%（Table 6）。
  • 网络隔离（NI）与只读模式（RO）大幅降低攻击效果，总体ASR分别降至0.8%和0.8%，但分别带来24.5和34.0个百分点的效用损失（Table 6、Table 7）。
  • 命令白名单（CAL）将ASR降至50.0%且效用仅微降1.5个百分点；命令黑名单（CDL）将ASR降至1.3%，同时因阻断破坏性操作使效用提升5.2个百分点（Table 6）。
• 绕过路径与安全风险：案例分析显示，限制共享能力会同时误伤合法操作，且仅限制特定直接命令仍可通过受信任的解释器等替代路径绕过控制（Section 6.3）。
• 作者建议与启示：作者建议harness提供商发布机制级说明并暴露运行时生效设置以增强可验证性，针对受保护资源测试所有替代访问路径，并在评估安全机制时综合权衡攻击效果、任务效用与资源执行开销。

AgentHazard 是针对计算机使用智能体执行层安全构建的评估基准，重点探究多步工具调用下局部合理动作累积引发的危害。

• 核心定位与挑战：智能体具有持久状态与直接操作环境的权限，现有基于单轮提示词或静态代码生成的安全评估无法捕捉由多步交互逐步拼凑而成的有害行为。
• 基准构建流程：设计了涵盖 10 种风险类别与 10 种攻击策略的分类框架，通过在合法任务上下文中嵌入有害约束，结合沙箱真实执行过滤、多模型评判与人工审核，提炼出 2,653 个高质测试用例。
• 智能体框架高攻击成功率：在全轨迹评测中，Claude Code 搭载 GLM-4.6 时 ASR 达到 82.90%（平均有害得分 7.05），搭载 Qwen3-Coder 时 ASR 为 73.63%；IFlow 下 Qwen2.5-Coder-32B-Instruct 的 ASR 达到 74.70%（Table 2）。
• 静态防护模型有效性受限：主流独立防护分类器在首轮输入时的检出率均低于 5%，即使拼接全部任务步骤，表现最好的 Llama-Guard-3-8B 不安全检出率也仅为 27.03%（Table 3）。
• 危害随交互步数逐步升级：多轮累积评测显示，Qwen2.5-Coder-32B-Instruct 在 IFlow 和 OpenClaw 中的 ASR 从第 1 轮到第 3 轮上升约两倍（Table 4），作者认为有害行为具有高度轨迹依赖性。
• 作者结论与启示：作者指出模型层对齐无法可靠保障自主智能体的安全性，单纯依靠任务前文本过滤不足以阻断风险，未来亟需发展具备轨迹感知能力与运行时拦截机制的智能体防御方案。

• 定位与目标：EvoRiskBench 是针对工作空间智能体在间接提示注入（IPI）下的运行时安全风险提出的可执行演化评测基准，旨在解决传统评测对智能体协作入口覆盖不全以及难以系统捕获实际执行后果的问题。
• 核心方法框架：提出 EP–Path–EF 体系，将 9 类风险入口与 5 类单跳技术后果通过执行路径相链接；采用“生成-冻结-重放-提炼”闭环流程构建 450 个对抗任务，并在独立 Windows 容器中结合 ETW 进程与网络事件进行客观后果验证。
• 主评测结果：在 3 款模型与 3 款 Harness 构成的 9 种配置（共 4,050 次执行）中，整体攻击成功率（ASR）为 37.46%，整体任务成功率（TSR）为 60.44%。
• 最高风险配置：DeepSeek-V4-Pro-0813 搭配 Codex 的 ASR 达到 68.44%，反映出当前工作空间智能体在面对非受信输入时容易被利用产生实际破坏，作者指出仅配置工作空间不足以保证安全自主执行。
• 模型与 Harness 效应：模型间 ASR 差距达 54.37 个百分点（DeepSeek-V4-Pro-0813 为 58.81%，Claude Opus 5 为 4.44%），远大于 Harness 间 5.41 个百分点的差距，且 Harness 的防护效果依赖于所配模型。
• 作者结论与启示：作者认为任务执行能力强的智能体可能伴随更高的攻击易感性，且低总 ASR 容易掩盖局部高风险（如 Claude Opus 5 在网络访问导致系统破坏上的 ASR 达 56.67%），因此必须将模型与 Harness 作为整体系统协同开展运行时安全防御。