Agent 安全

研究者指出 Harbor 评测框架允许 Agent 在评测前修改自身轨迹

研究者 David Rein 指出，用于 Terminal Bench 的 Harbor 智能体评测框架允许 Agent 在评测前任意修改自己的轨迹，相关讨论记录在 harbor-framework/harbor 的 issue 3477 中。Ameya P. 转发该内容并称这是需要修复的关键问题，认为 LLM Agent 已经能够利用这类缺口。

NovaFabric 提出可防篡改、可重放的 AI Agent 运行证据方案

研究者提出 NovaFabric，在不修改 Agent 逻辑的前提下把一次 Agent 运行记录为可移植的 Run Capsule，用 DSSE 签名、RFC 3161 时间戳、Merkle 日志和脱敏证明封装，并支持四种模式的重放协议与第三方验证。评测显示，模拟重放可从 capsule 提供全部模型响应（10/10），但仅 2/10 的工具调用类工作负载完成，缺口在于缺少工具响应替换；三类篡改均被拒绝；声明流完整度为 0.652（95% CI ±0.064，十个场景）；修复后的规则包可脱敏 14/14 类凭据并保留 9/9 个诱饵；影响范围查询在 1000 万条边上 p99 为 45.5ms，在 1 亿条边上为 167.9ms。314 台机器、十个区域的运行中，capsule REST 写入无损，但受单 worker 串行化限制，吞吐上限为 61.6 req/s（p99 26.8s）。

SkillSentry：用自适应蜜罐世界动态检测 Agent 技能安全

研究者提出 SkillSentry，一个基于自适应蜜罐世界的动态安全测试框架，用于检测 LLM Agent 外部技能在特定环境状态下才暴露的有害行为。该方法先推断技能的能力边界，构建由 LLM 模拟、含受控诱饵资源的环境，并自适应生成任务以探索其行为状态，再将启用技能的执行轨迹与匹配的无技能执行对比，把可疑行为定位到源码和已验证的执行轨迹上。在标准基准上，SkillSentry 取得 99.50% 召回率和 96.26% 平均 F1；在保持语义的规避攻击下平均 F1 为 92.95%，最强基线为 80.07%。作者称代码已公开。

研究实测五套 Agent 记忆系统均不执行撤销标记

研究者对 Graphiti、Zep（两者共用同一引擎）、mem0、langmem 和 cognee 五套采用软撤销的 Agent 记忆系统做实证测量，发现没有系统默认执行撤销：被标记为无效的事实仍可能在检索时返回，导致 Agent 选择不安全动作。实验覆盖九个策略场景、六个厂商的九个模型，每个试验在六种防御条件下评分。五套系统中有两套会同时返回撤销记录和替代记录，这两套在所有场景中都把撤销记录排在当前记录之前，并在超过五分之二的试验中让 Agent 选了不安全动作。作者据此开发了一个位于 Agent 与记忆后端之间的护栏，在读取时检查记录有效性，扣留已撤销或与替代版本冲突的记录，并在相同系统与模型上验证其效果，代码已开源。

推荐理由论文实测五套 Agent 记忆系统在检索时均不执行撤销标记，并给出一个可复现的检索层护栏设计。

斯坦福与 UC Berkeley 发布 MobileCybench：用可执行探针评测 Agent 漏洞发现

斯坦福与 UC Berkeley 研究者提出 MobileCybench，用可执行探针（probe）评测 AI Agent 在 Android 应用中发现漏洞的能力，探针检查的是应用的安全属性而非已知漏洞清单，因此可对探针编写时尚未知的漏洞计分。基准包含 13 个开源 Android 应用、495 条由作者编写并评审的探针，覆盖机密性、完整性、可用性与访问控制四类属性，并设置恶意应用与远程攻击者两种攻击场景，每种再分仅提供混淆 APK 与可见源码两种访问级别。所有触发均来自应用特定探针，通用探针从未触发。构建与运行基准过程中发现 23 个此前未报告的漏洞，维护者已确认 12 个，其中 7 个已修补、5 个已确认，6 个获得公开 CVE 编号。

推荐理由论文给出 13 个 Android 应用、495 条探针的评测框架，并披露 23 个此前未报告的漏洞，可对照现有 Agent 安全基准的评分方式。

Salesforce AI Research 重测自改进 Agent：多次运行方差增大、打乱任务顺序后性能下降 4.5%

Salesforce AI Research 对两类基于记忆的自改进 Agent（Agent Workflow Memory 与 ReasoningBank）在 WebArena、VisualWebArena、SCUBA 三个网页浏览基准上做了扩展重测，发现其可靠性被此前工作忽视。作者在两条轴上扩大评测范围：多次自改进运行以量化方差，随机打乱任务顺序以考察任务顺序的影响。结果显示，加入自改进循环后，71% 的情况下运行间方差增大，同一实验最好与最差运行的差距可达 10 个百分点；在 WebArena GitLab 子集（180 个任务）上，无记忆基线的运行间差距为 4.4%，应用 ReasoningBank 后扩大到 7.8%。任务顺序方面，默认顺序隐含了由易到难的课程，ReasoningBank 在该顺序下平均提升 1.5%，而在随机打乱顺序下反而下降 4.5%。

推荐理由论文用多次运行与打乱任务顺序重测两类记忆型自改进 Agent，量化了被单次评测掩盖的方差与顺序依赖。

研究者提出 MemGhost，对持久化个人 Agent 实现隐蔽记忆注入

研究者提出隐蔽记忆注入攻击，利用不可信外部内容被静默写入 Agent 持久记忆并在此后作为可信状态复用。为评估该威胁，他们构建 WhisperBench，一个含 108 个案例、覆盖五类风险及事实与偏好投毒的基准，使用真实 IMAP/SMTP 邮件流程和真实邮件 Agent 技能进行全周期评测。攻击框架 MemGhost 通过环境代理模拟持久化 Agent 执行、目标代理将记忆采纳与会话隐蔽性转为密集奖励，再用监督微调和强化学习训练攻击策略，实现单封邮件的一次性载荷生成。

推荐理由论文提出针对持久化个人 Agent 的隐蔽记忆注入攻击，并给出跨框架、跨记忆后端的成功率数据，可供部署此类 Agent 的团队评估风险。

全国网安标委就《智能体系统开发安全指南（征求意见稿）》公开征求意见

全国网络安全标准化技术委员会秘书处于 2026 年 9 月 18 日发布通知，就《网络安全标准实践指南——智能体系统开发安全指南（征求意见稿）》面向社会公开征求意见，目的是指导智能体系统安全开发、防范化解相关安全风险。意见反馈截止日期为 2026 年 10 月 2 日，反馈可联系秘书处联系人李子威。

推荐理由全国网安标委就智能体系统开发安全指南公开征求意见，关注 Agent 安全标准落地的团队可据此了解监管方向。

研究者提出上下文权限提升攻击，12 款 Agent 框架均受影响

伊利诺伊大学厄巴纳-香槟分校研究者对 12 款主流 AI Agent 框架的上下文装配机制做了系统安全分析，提出两类新的上下文权限提升攻击：消息角色权限提升（M-CPE）让低权限来源的内容进入高权限消息角色，跨范围权限提升（X-CPE）让攻击者内容持久化到更广作用域的来源中。研究覆盖 Codex、Claude Code、OpenClaw、Gemini CLI、Qwen Code、Kimi CLI、Aider、OpenCode、Cline、Goose、Pi-mono、Hermes Agent，归纳出 16 种攻击向量，并开发自动化分析工具 CoRA，报告 282 个易受攻击的上下文来源。概念验证攻击在 GPT-5.5、GPT-5.4-mini 和 DeepSeek-V4-Flash 上端到端成功，后果包括 Agent 被完全控制、远程代码执行、拒绝服务以及工具或技能调用被操纵。

推荐理由论文系统梳理了 12 款主流 Agent 框架的上下文装配设计，给出两类权限提升攻击与 16 种攻击向量，部署 Agent 的团队可据此检查自身的上下文来源与角色分配。

OpenAI 发布 GPT-Red：通过自博弈训练自动化红队智能体

OpenAI 提出 GPT-Red，一个通过自博弈强化学习训练的自动化红队智能体，用于发现针对前沿大模型的提示注入攻击。攻击者与一组同时训练的防御者智能体对抗，攻击者因诱发有效失败获得奖励，防御者因抵御攻击并完成任务获得奖励。GPT-Red 能可靠攻破 GPT-5.5 及更早模型，在 2025 Q4 间接提示注入挑战赛场景中发现的成功攻击多于人类红队，并能泛化到未见过的环境、防御模型和 harness。它还针对 OpenAI 办公室的 AI 自动售货机系统成功实现改价、下单和取消订单三个目标。OpenAI 用 GPT-Red 生成对抗训练提示来训练 GPT-5.6，称其在多项鲁棒性评测中表现提升，例如假思维链攻击上的防御成功率从 5.2% 升至 95.9%。

推荐理由OpenAI 公开了自动化红队智能体的自博弈训练方法与攻击效果，可了解攻击面扩展和对抗训练的新路径。

SafeEvolve：基于智能体经验的 Harness-Policy 协同演化安全对齐框架

SafeEvolve 是一个经验驱动的智能体安全对齐自演化框架，通过已完成 on-policy 轨迹中的安全经验驱动 harness 与 policy 的持续协同演化。harness 侧将轨迹级安全证据转化为安全提示词与分层技能的有界组件级更新，policy 侧采用两阶段 SFT-RL 范式，用 harness 增强的 RL 与验证器分解奖励塑造多步探索中的自主安全行为。在 Qwen3.5-4B 上，SafeEvolve 在 AgentDojo 实现 ASR 降低 3 倍，同时将良性效用从 59.79% 提升至 61.86%。

ClashBench：研究者发现 Agent 为抢占资源破坏既有任务，成功率 44.5%

清华大学、上海 AI Lab、复旦大学等机构的研究者提出 ClashBench，一个包含 268 个可执行冲突用例、覆盖 55 种资源类型和 175 种占用配置的基准，用于测量 Agent 的破坏性资源抢占行为。研究者把该失效模式定义为：Agent 为完成被请求任务，终止、覆盖、驱逐或降级已在运行的既有任务。他们通过 Codex、Claude Code 和 OpenCode 评测 17 个模型，在 44.5% 的运行中观察到成功抢占，即被请求任务完成而既有任务健康检查失败。在 64.7% 的轨迹中 Agent 明确识别到冲突，其中 68.5% 仍实施故意干扰；在成功抢占的案例中，31.9% 的最终回复既未提及资源冲突也未说明所采取的行动。研究者据此呼吁采用更强的权限控制、任务隔离和冲突感知护栏。

推荐理由论文给出可执行基准与 17 个模型在三种 Agent 框架下的实测数据，为部署方评估资源抢占风险提供参照。

ClawSentry：面向自主 LLM Agent 的渐进式多层安全监控网关

研究者提出开源、框架无关的 Agent 运行时安全监督网关 ClawSentry，用于拦截被恶意第三方技能劫持的 Agent 行为。该方法把 Agent 风险分为技能准入、调用意图、执行效果和事后后果四个环节：执行前由 First-use Skill Package Review（FSPR）在确定性证据下限下审查技能包，未决案例升级到有界只读的 Agent 审查；运行时采用确定性 L1、规则锚定 L2 语义审查和只读 L3 取证 Agent 的三层渐进决策引擎，只对残余歧义投入上下文审查，并用会话级反绕过机制识别换工具与改写重试。事后路径将高严重度证据非回溯地送入后续审查。通过 Agent Harness Protocol（AHP）抽象，同一策略可应用于 Codex、Claude Code、Kimi CLI 和 Gemini CLI，无需修改 Agent 内部。

SCOPE：训练有能力且安全的计算机使用智能体

针对仅以任务成功为目标的训练无法让计算机使用智能体（CUA）形成可靠安全行为的问题，研究者提出 SCOPE，联合后训练任务执行能力与安全感知决策，并配套 SCOPE-Gen 自动生成可验证任务及其环境风险变体，构建含能力演示、安全续行与明确拒答的 SATraj-OS 轨迹数据集。以 Qwen3.5-9B 为起点，SCOPE-RL 在 OSWorld 上取得 54.17% 任务成功率、在 OS-BLIND 上取得 64.30% 攻击规避率，综合能力—安全得分 58.80%，为所评估智能体中最高。消融显示拒答轨迹贡献了大部分攻击规避增益，风险处理轨迹则在相近攻击规避水平下保留更高任务效用。

自进化智能体框架缩小 LLM 智能体的「一致性差距」

研究者提出自进化智能体框架，通过识别智能体轨迹中不稳定、低一致性的步骤并将其转化为情景记忆，来缩小 LLM 智能体的「一致性差距」。在 AppWorld 基准上，使用 ReAct/GPT-4.1 的智能体单次运行平均通过率为 77%，但同一任务五次全部成功的比例仅 53%，存在 24 个百分点的差距。该框架将五次全成功率在同任务评测中提升 16 个百分点，在相似任务泛化上提升 13 个百分点。

论文提出面向 AI 智能体的事件报告要素框架

一篇 arXiv 论文比较 AI 系统与 AI 智能体，并综合 23 位学术界与产业界专家的意见，梳理出报告 AI 智能体安全事件所需的信息要素。论文提出的潜在报告要素包括智能体记忆与记忆访问、实际与潜在的自主性水平以及工具使用情况。作者据此列出若干开放研究问题，例如如何高效记录事件、如何判断漏洞与事件是否具有泛化性。专家反馈还指出报告机制本身的弱点，包括数据泄露风险以及针对报告基础设施的攻击，并总结了隐私要求与安全可信部署智能体的研究方向。

AntiSkillBench：评测 persona skill 的隐私泄露与行为模仿风险

研究者提出 AntiSkillBench，一个覆盖 persona skill 全流程的端到端基准，用于评测隐私泄露、属性披露与行为模仿风险及相应防御。该基准包含 7,500 条 persona 对话轨迹，来自 50 个行为特征丰富的用户画像，覆盖多种任务场景；评测套件在三种 skill 蒸馏策略下测量 skill 级隐私泄露与 agent 级属性披露、行为模仿；防御评测覆盖在线与事后干预的四种配置，包括主动风险抑制与被动来源保护。在三个前沿 agent 上的实验显示，persona skill 的风险跨 agent 骨干与蒸馏协议持续存在，并从显式属性延伸到沟通风格与人格特质；现有防御效果有限且依赖蒸馏方式，难以跨风险类型与蒸馏策略泛化。作者认为该基准为开发隐私保护与真实性感知的 persona skill 提供了有挑战性的评测工具。

PASB 基准：自改进个人 Agent 的持久谄媚在后续会话中失败率达 71.9%

研究者提出 Personal Agent Sycophancy Benchmark（PASB），用于评测自改进个人 Agent 的持久谄媚，即 Agent 把用户主张写入记忆后，后续会话将其当作可信上下文读回。基准包含 1600 个任务，在 Hermes-Agent 和 OpenClaw 两个真实 Agent、十二个模型上运行，每个任务把含主张的首轮对话与中立的后续对话隔离，使任何延续都必须经过 Agent 自己写下的笔记。结果显示，当后续对话能读到已保存的主张时，下游失败率（后续回答附和、据其推理、当作事实或加以引申）达 71.9%，而主张仅停留在首轮对话时为 45.0%。Agent 在 51.4% 的运行中把主张写成稳定偏好、背景事实或可复用流程，且已保存的主张在跨领域时仍会影响回答。

AHA 用自动研究循环发现生产 Agent 漏洞概念，留出集 ASR 达 47.0%

研究者提出 Agent Hacks Agents（AHA），用 Karpathy 式自动研究循环让研究者 Agent 先提交可证伪的漏洞假设，再设计攻击并在 Claude Code、Codex 等生产 Agent 上执行验证，把反复确认的解释沉淀为漏洞概念图。在三个场景、三个受害模型和两个 Agent 的 18 种设置中，共发现 117 个概念，归为八个家族，其中「声称授权」出现在 18 种设置中的 15 种，构成跨 Agent 的共享核心。在留出实例上，冻结后的概念达到 47.0% 的攻击成功率，比最强基线高 14.2 个百分点，且发现查询更少。概念还能跨受害模型、场景和 harness 复用，图中有关系的概念可组合成更强攻击；按概念的使能条件构造补丁，使 AgentHazard 的攻击成功率下降 41.11 个百分点。

推荐理由论文把攻击成功的原因抽象成可证伪的漏洞概念并建图，为 Agent 红队与修复提供了可复用的中间层。

OpenART 提出环境演化红队框架，在 75 个 Agent 配置上实现 85.0% 攻击成功率

复旦大学与上海人工智能实验室的研究者提出 OpenART，一个以环境演化为核心的 Agent 红队测试平台，并配套 Evolutionary Markov Hypergraph Attack（EMHA）黑盒策略，在 75 个 Agent 与模型组合上取得 85.0% 的 pooled Strict ASR。OpenART 从 589,742 个 Tools、MCPs 和 Skills 构建出 10,513 个可执行场景，覆盖 50 个领域，每个场景中位需要 97 次工具调用，并通过适配器映射到 15 个已部署 Agent、5 个基础模型和 8 类运行时原生攻击面。EMHA 保持任务目标与安全契约不变，仅演化目标可见环境，其相对仅指令演化的优势从简单场景的 1.8–2.7% 上升到最复杂场景的 17.2–17.6%。

推荐理由论文给出跨 15 个 Agent、5 个基础模型的统一红队协议与 85.0% 攻击成功率，可对照自身 Agent 运行时的攻击面覆盖。