在AgentDojo与STAC上离线重放时序验证，通用规约检出超70%攻击但良性触发率达29.3%，强化溯源可防历史投毒。
研究工具调用智能体多步安全策略的形式化时序验证及现有基准支撑能力。
梳理了智能体护栏、攻击评测基准与时序验证工具，强调本文立足离线重放。
将轨迹映射为事件流并采用MFOTL与强化溯源机制进行离线验证。
通用规约检出超70%但误报近30%，参数化与强化溯源显著优化区分度。
作者指出了离线重放与语义盲区局限，度量时序仅在合成日志验证。
形式化验证可有效识别多步攻击，但其有效性高度依赖轨迹的可信历史记录。
作者对AP2开展Whisper决策攻击与A-VIP防御，事实操纵在gemini-3.1-flash-lite达73.3%。
协议层签名能验证交易未篡改，但无法约束做决策的推理过程，导致商户文本可操纵智能体行为。
现有研究涵盖智能体支付安全、提示注入基准及模型输入输出防御，但缺乏意图与决策的协议层绑定。
A-VIP将意图视为权能授权，通过会话令牌解耦凭据、结构化比对绑定购物车，并对未授权超支触发确认。
评测覆盖17个Google模型及跨厂商模型，实测记录到事实操纵普遍有效，A-VIP成功拦截结构篡改。
作者指出同价替换无法拦截、确认依赖用户审查及扫描器误报等局限，未来可探索多轮社工与密码学证明。
论文揭示了AP2协议决策层受操纵的风险，提出结构化与权能绑定防御A-VIP，并发布评测基准。
论文在三套语料上实测规则与LLM裁判，发现裁判间错误相关且等效层数仅1.2–1.4，跨机制组合达1.86–2.09层（STRICT）。
论文检验动作门禁堆叠中各层错误相乘的独立性假设，并评估各层对整栈的实际贡献。
论文梳理了防御堆叠故障关联、大模型协同错误、冗余工程及运行时拦截架构等相关研究。
论文提出乘积等效层数指标nmult，并在脱敏设定下对规则与多模型裁判构建堆叠评测框架。
论文在汇聚语料与分项实验中测试了等效层数、单层增益背离、混淆假说及复核规则影响。
作者指出机制采样单一、全栈删失及无人工层等局限，实验仅覆盖至特定语料及静态门禁。
论文实测发现大模型裁判间错误显著相关，作者主张按机制选型并在整栈层面度量防护增益。
APEX在执行边界基于预编译授权契约与探针防御间接提示注入，在5个基准上取得0% ASR，在SkillInject上为0.56%。
在LLM智能体执行边界拦截由异构能力单元和组合攻击引入的未经授权动作与未背书信息使用。
梳理了内容过滤、任务对齐、策略控制、数据溯源及蜜罐防御，指出其缺乏执行边界统一判定。
通过预编译DAG授权契约，在执行边界以WRAP验证参数证据、PLANT检测探针并实现安全恢复。
在6个基准上对比13种基线，5个基准达成0% ASR，自适应攻击下均保持0% ASR。
局限在于契约保真度依赖、动态委托支持不足及长视距编译挑战；实验覆盖3种模型与6个基准。
APEX在执行边界基于预编译授权契约实施证据门控与欺骗探针，在多基准上达成近零ASR。
Uber 团队提出企业级智能体检测系统 ADR，在 ADR-Bench 上实现零误报与 0.800 F1，并在生产部署中拦截凭据泄漏。
解决企业 MCP 智能体缺乏语义遥测、规则难以泛化及大模型全量检测成本高的问题。
梳理了智能体安全基准、智能体防御系统及自动化红队研究，指出其在 MCP 覆盖与自适应上的不足。
通过 Sensor 重建因果遥测，结合 Tier 1/2 分级检测与 Explorer 进化红队实现闭环防护。
在 ADR-Bench 上达 0 误报与 0.800 F1，在 AgentDojo 达 0.962 F1，并完成了生产环境部署验证。
作者指出需拓展多智能体与网关防护，实验覆盖了两个基准、三类基线与企业端点部署。
提出了端点因果遥测、两级在线分流与离线红队闭环的 ADR 系统，并在生产环境中验证了有效性。
论文提出 multi-CaMeL 防御，在 MultiAgentDojo 上将平均 ASR 从 12.9% 降至 0.0%。
单个智能体的控制流完整性无法在分层多智能体系统中直接组合，非可信数据跨边界会被下游智能体当作可信指令而劫持控制流。
论文梳理了间接提示注入防御、多智能体协作与安全性、以及控制流完整性与信息流控制等方向的研究。
提出 multi-CaMeL 协议，将智能体间调用拆分为可信指令与非可信变量两个通道，并由解释器在运行时保持溯源。
在 MultiAgentDojo 与 AssetOpsBench 上测试 5 款模型，multi-CaMeL 将 ASR 降至 0.0% 且效用代价较小。
局限包括仅限树状拓扑、继承了 CaMeL 解释器的隐式依赖缺陷；未来可扩展至非树状架构并建立更强信息流保证。
论文针对多智能体中单体防御不组合的边界清洗问题，提出 multi-CaMeL 协议彻底阻断了 MultiAgentDojo 上的注入攻击。
论文用VAL框架对比防御，在自建测试集上VAL栈获0.000 ASR且保持1.000良性效用，直觉栈良性效用为0。
论文旨在解决智能体防御缺乏理论保证来源的问题，提出VAL框架以区分行为运气与结构约束。
论文梳理了验证自治等级、文本与工具级防御以及智能体评测基准，将本文定位为先验分类坐标轴。
通过扩展VAL规则分级防御，并构建确认门与参数沙箱组合的结构栈，以平台记录和形式规范约束动作。
实验在自建集和AgentDojo等多基准上对比结构栈与直觉栈，揭示相同零值背后的效用鸿沟与稳定性差异。
作者指出了受害者模型较少、评定者无人类参与等局限；实验覆盖了三个模型和多个基准测试套件。
论文证明相同ASR不等于相同安全保证，VAL结构栈在保持效用的同时提供超越模型行为运气的防御。
研究者提出基于生成器反演保真度与阈值校准的真实图像认证方法，在1% FPR下能防御 ϵ=8/255 的PGD扰动。
针对生成器演进导致检测准确率下降及对抗脆弱性，论文提出通过反演保真度与阈值校准对真实内容进行健全认证。
论文讨论了主动水印与元数据、被动特征与重构检测器、视频时序检测以及扩散反演技术，并明确了本文与基线的区别。
论文通过整流流动反演计算四维融合真实性指数，并依据生成样本及攻击样本离线校准安全与防御双阈值进行认证或弃权。
实验显示基线检测器在PGD攻击下准确率跌破2%，而校准阈值保持1% FPR；Reddit图像可认证比例随生成器演进下降超14倍。
作者指出反演计算开销高、无法覆盖黑盒模型与私有微调、防御阈值仅限已知攻击类别，以及视频未建模时序动态等局限。
论文提出基于反演保真度与阈值校准的健全认证框架，在对抗扰动下维持错误率界限，并指出真实内容可认证性随生成器演进而萎缩。
作者针对长流程智能体构建分阶段注入基准，提出PAA方法在边界动作前实现86%召回与6-8%误阻率。
长流程智能体面临分阶段间接提示注入威胁，需在动作生效前进行边界动作审计。
梳理了自动化注入、智能体安全基准及运行时审计，指出前人缺乏动作级统一拦截评测。
PAA将动作分解为要素并双重归因取值与决策来源，结合代码检验与模型裁决判定阻断。
PAA在两语料全基准上达86%召回率与6-8% FBR，显著优于基线。
作者指出了离线重放、无自适应对抗等局限，实验覆盖了2个系统与8个场景。
论文针对长流程注入提出边界动作审计与PAA，在保持低误阻的同时实现高拦截率。
研究发现ClawHub有705个全clean技能含违规指令，实测34.7%命令后果类文档未记载，OATS拦截了全部违规尝试。
发布时恶意检测无法替代运行时动作许可控制，且文档静态分析无法约束智能体动态重构生成的实际执行操作。
相关研究涵盖注册表扫描与供应链攻击、运行时LLM防护栏、系统引用监视器与轨迹保证，论文定位在动作级轻量拦截。
设计确定性解析器映射命令后果类别，结合分车道信任账本与风险容忍度推导晋升阈值，在工具调用前无模型介入地判定操作。
在6.6万技能库及实机智能体中，测出705个clean技能含违规指令，智能体34.7%命令后果脱离文档，OATS拦截了全部违规动作。
作者指出了非动作型危害盲区、单命令语法规避与依赖自审计等局限，实验也主要集中于单模型单日及单一注册表快照。
论文论证了发布时恶意扫描无法替代运行时动作许可控制，提出了轻量确定性控制门OATS，展示了双层防御组合的必要性。
论文形式化认证机理编辑：在Transformer的448维扰动下移除半径达0.0091，并证明黑盒测试无法保证移除。
解决现有机理编辑仅靠测试集验证无法覆盖连续输入空间、且黑盒测试无法在理论上排除微小存活区间的问题。
涉及解释性形式化验证、模型编辑偏差界与统计遗忘、黑盒不可行性理论以及几何信息流控制等相关研究。
通过SMT精确求解与CROWN边界传播，结合凸包松弛与双副本孪生编码，数学证明连续区域内的技能移除与非干涉。
在玩具MLP至Transformer上评测了认证半径、干预幻觉、手术与引导对比以及特征非干涉，反驳了黑盒测试的完备性。
作者指出方法受限于可判定规则假设、模型规模瓶颈与证明器松弛，后续需向真实语言模型与离散提示词扩展。
提出机理编辑形式化认证框架，证明编辑在连续区域生效且黑盒测试无法保证移除，为安全编辑提供数学证明。
研究智能体跨轮遗忘约束的 GHOST，GPT-5.5 在 SCARBench 达 11.5% GHOST 率，双层防御降至 0。
研究长程智能体在良性多轮交互中恢复任务时遗忘早期安全约束的 GHOST 失效模式与治理危害。
涵盖长上下文指令保持、智能体安全基准与防御、无限时界安全分析及通用记忆与自我修正基线。
基于条件风险理论证明，提出耦合在线语义约束恢复与执行前确定性审计修复的双层防御框架。
在 7 个模型上评测 SCARBench，GPT-5.5 的 GHOST 率达 11.5%，STAR-Guard 消除违规。
作者指出防御保证依赖前端正确性、干预影响完成度等局限，并指明机理与规则表达等后续方向。
揭示 GHOST 跨轮约束遗忘风险，构建 SCARBench 基准并通过 STAR-Guard 双层防御消除违规。
COBRA 通过事前分支能力约束与代理拦截，在 STEER-Bench 上将攻击成功率降至 0% 并保留 97% 良性效用。
动态网页促使计划产生分支，导致攻击者可通过操控数据诱导智能体执行危险分支（分支转向攻击）。
梳理了 CUA 概率性防御、Dual-LLM 等系统级架构、MCP 安全及现有评测基准，指出 DFI 防御的缺失。
提出 COBRA 架构，结合离线计划能力约束、运行时分支解析中枢及确定性 HTTP/MCP 代理拦截。
在 STEER-Bench 及 4 个外部基准中将 ASR 降至 0%，在 OSWorld-MCP 上保留实用任务完成能力。
作者指出其在未体现在网络请求的视觉数值、自由文本语义、非 HTTP 接口及对站点描述的依赖等局限。
提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
作者提出基于冻结内部表征读取的TACIT检测智能体轨迹；在6个基准上Qwen3-4B Multi-layer平均macro-F1达86.2%（Table 1）。
解决开源 Guard 模型在智能体轨迹上难以有效检测不安全工具使用与多步交互风险的问题。
涉及智能体轨迹安全基准、安全 Guard 模型以及基于模型内部表征的安全检测与干预三类研究。
提出 TACIT，从冻结骨干网络的中间层读取表征并通过线性探针、集成或多层聚合输出安全评分。
在 6 个基准上评测了检测性能、留一泛化能力、与 SFT 结合效果及训练与推理效率。
作者指出流式检测需动作级评测与闭环校准，且需构建平衡两类风险的基准；实验覆盖 6 个离线基准与 2 类模型。
提出基于内部表征的智能体轨迹安全检测方法 TACIT，揭示工具风险表征特性并在多项基准上提升检测表现与效率。
在Claude Code上测试表明审批与执行动作存在六类解绑失效，基于HMAC的Approval Token可消除委托与时序洗白但无法防范效果偏离。
研究编程智能体套件中人类审批与底层工具执行动作脱钩的审批洗白问题，分析六类凭证绑定失效模式。
对比智能体授权机制、测量基准与混淆代理研究，指出现有工作均未覆盖全部六类凭证绑定失效。
形式化准入与效果偏离条件，构建六维分类学，提出七字段 HMAC 权能凭证 Approval Token 进行预执行验证。
在 Claude Code 上实测六类场景基线 BGR，并通过 118 次离线重放和实时烟雾测试验证防御效果与局限。
指出跨套件泛化、效果偏离拦截、真实感知评测与密钥保管等局限，列明实验覆盖范围。
系统揭示编程智能体审批洗白风险，提出七字段权能防御机制，证实其能消除身份时序偏离但难防副作用偏离。
论文提出特征方向漂移机制解释潜意识学习，并设计探针空间走廊正则化在蒸馏微调中约束漂移以抑制隐蔽特征转移。
论文试图阐明潜意识学习在微调中的累积机制，并提供针对性的训练时控制方法。
论文梳理了潜意识学习载体、数据分布与样本选择、特征方向与微调安全控制四类相关工作。
论文通过低秩几何形式化特征方向漂移，并提出探针空间走廊正则化约束微调时的特征漂移。
论文测试了局部与多步累积漂移，并评估了走廊正则化在两类任务上的控制效果。
论文指出了单样本效应未确定等局限，其实验覆盖停留在特定模型与固定探针坐标。
论文将潜意识学习归结为特征方向漂移的持续累积，并提出走廊正则化在微调中控制隐蔽特征转移。
分片机制将多项标准分配给独立调用，在相同总预算下改善评判模型与专家的一致性，并防御展示攻击。
单次调用承担过多判定任务会导致注意力瓶颈和决策失据，产生可被展示变化操纵的脆弱性，分片机制旨在解决该过载问题。
论文围绕可扩展监督、大模型评判偏差、奖励过度优化与分解验证四类研究展开，并与全预算单调用等基线严格对照。
论文将多项评估标准切分为不相交的分片子集独立评判，并在面对自适应攻击时在分片内加入对立辩护人提供平衡论据。
实验覆盖研究复现、法律、临床试验和代码等多个基准，证实分片能改善专家一致性并防御展示攻击，而辩论能抵御自适应攻击。
论文指出分片在模型已有处理容量的场景下无额外收益，且自适应防御引入了假拒绝代价，实验评测集中在特定模型与任务中。
论文揭示决策负载是大模型监督的独立瓶颈，提出分片与辩论机制有效分离注意力与平衡证据，在多项高难度基准上实现稳健评判。
形式化跨不关联身份分解攻击并评测10种策略，在1%对照拦截上限下实际防御单次ASR仍达97.64%且重试后升至100%。
探究跨不可关联身份分解攻击下状态化防御的安全与效用边界。
梳理了组合攻击、状态化监控及经典系统安全三类相关工作。
形式化理论边界并构建平衡可执行协议，证明防守边界由分组决定。
实验验证了合规防御ASR普遍超97%，重试与反馈可使ASR达99%以上。
作者指出了流量分布和任务类型局限，实验仅覆盖请求通道与离散画像。
证明跨身份分解攻击突破状态化防御边界，合规下ASR仍超97%。
作者评估发现安全监视器多拦截模型已拒答的请求；在Gemma-4-31B-IT回答的L1间接请求上，四种守卫召回率仅.04–.55。
现有安全监视器评测未区分模型是否答复，导致监视器大多只拦截模型已拒答请求，在模型答复的弱明确度请求上召回率大幅走低。
相关工作涵盖安全监视器评测、重述对拒答的影响、守卫鲁棒性与内部表征，作者强调此前工作仅单独研究模型而未联合评估监视器。
作者构建三级明确度梯级与回答条件化评估协议，测试表征导向，并提出包含双侧梯级与无害蒸馏的守卫微调方案。
实验覆盖四种文本守卫与三种内部探测器，在两款目标模型上均显示监视器在被回答请求上的召回率低于拒答请求。
作者指出了目标模型与守卫种类单一、依赖合成梯级等局限，实验也仅覆盖特定规模的英文单轮请求与固定微调超参。
论文发现安全监视器大多拦截模型已拒答请求，指出明确度偏差是共性原因，并通过双侧梯级微调提升回答请求的召回表现。
在分布偏移下，事后最佳单模型基线产生 0.045 至 0.113 的选择代价，诚实评分下安全路由在多数池单元退化为固定模型选择。
测试集后验基准在分布偏移下夸大固定模型表现，使安全路由评估产生虚假下限。
现有研究揭示了路由同样本评估偏倚与退化现象，本文系统量化安全分布偏移下的代价与防御脆弱性。
建立诚实留出评估协议，推导超额危害分解恒等式，并评估门槛表面与动作防御。
分布偏移下后验基准产生大额偏差，诚实评估下路由收益微弱且识别信号易被操纵。
作者指出了语料范围、评测器偏差与离线假设等局限，实际实验覆盖至 7 个公开语料。
论文揭示安全路由评估在分布偏移下的虚假下限，指出防御重心应转向外部动作级强制。
