红队 · 论文

• 论文定位：该研究是针对开源与闭源代码智能体harness原生安全机制的系统性实证分析与基准评测。
• 核心问题：针对代码智能体harness安全机制实现状态不透明、在对抗环境下防护能力及对合法开发效用影响缺乏定量评估的问题展开研究。
• 方法体系：作者构建了包含10类安全机制的分类法，通过研究人员与LLM独立评审审计了40款harness的400个单元格；进一步提出包含23个任务的HARNESSSECURITY-BENCH，在隔离容器中利用确定性预言机评测6款harness在开启与关闭机制下的表现。
• 关键实验发现：
  • 在GLM-5.2基线与6款harness测试中，开启auto-approve使总体任务效用从77.1%升至95.4%，但ASR从29.2%升至95.6%（Table 6）。
  • 网络隔离（NI）与只读模式（RO）大幅降低攻击效果，总体ASR分别降至0.8%和0.8%，但分别带来24.5和34.0个百分点的效用损失（Table 6、Table 7）。
  • 命令白名单（CAL）将ASR降至50.0%且效用仅微降1.5个百分点；命令黑名单（CDL）将ASR降至1.3%，同时因阻断破坏性操作使效用提升5.2个百分点（Table 6）。
• 绕过路径与安全风险：案例分析显示，限制共享能力会同时误伤合法操作，且仅限制特定直接命令仍可通过受信任的解释器等替代路径绕过控制（Section 6.3）。
• 作者建议与启示：作者建议harness提供商发布机制级说明并暴露运行时生效设置以增强可验证性，针对受保护资源测试所有替代访问路径，并在评估安全机制时综合权衡攻击效果、任务效用与资源执行开销。

• 定位与核心问题：论文提出了面向协同智能体操作级行为安全的自演化评测基准ActBench，旨在解决现有评测局限于单步拒答、覆盖孤立且缺乏因果归因与自适应优化的难题。
• 核心方法设计：基于六个执行空间形式化15种行为风险传播路径，设计成对匹配的良恶性任务；采用几何奖励束搜索联合权衡攻击与效用，结合十类执行故障反思迭代修正载荷，并通过系统日志与轨迹因果重构实施双证据验证。
• 模型决定安全主跨度：在固定OpenClaw框架下对15个基础模型执行24,000条轨迹评测，ASR呈现84.3个百分点的跨度，其中Claude-Opus-4.8取得最低的10.1%，而Deepseek-v4-Pro高达94.4%（Table 2）。
• 执行框架无法弥补模型缺陷：在固定Deepseek-v4-Pro模型下替换6种协同框架，所有框架的ASR均处于73.7%至94.4%的高位（Table 3），表明框架层的提示或过滤难以阻止脆弱模型产生越权动作。
• 防御边界与执行开销：上下文感知检测器AgentDoG展现出早于局部文本分类器的拦截能力，但存在漏报；同时，执行循环数和代币消耗的多少与各模型的安全排序并无必然关联（Table 4、Table 6）。
• 结论与启示：作者认为协同智能体的行为安全主要取决于基础模型对对抗上下文的动作授权决策，良性任务效用与执行时长均不能作为安全指标的替代，未来防护必须从单点文本过滤转向结合工件分析与轨迹监控的纵深防御体系。

这篇论文研究了自进化大语言模型智能体中因吸收不安全经验而导致的持久性策略失效——技能错误进化（Skill Misevolution）。