Kairos：面向 LLM Agent 系统边界的事务性安全执行

间接提示注入下，只能允许或拒绝的监视器必须在证据齐备前裁决。

• 场景：作者称智能体的效用依赖以主体权限广泛读取、在主机上执行并访问网络；摄入内容与用户指令进入同一上下文，模型不能稳定区分指令和数据。仓库内容、入站渠道和记忆文件已被用于外泄、偏离意图和持久化，且有的攻击只用了合法授予的权限。
• 已有方法：提示词与模型层防御降低跟随注入的可能，作者称没有结构保证。框架层防御在动作上强制策略，但需要定制或修改 harness，且只相对已声明的工具接口调解，智能体写下并运行的脚本在其范围外。系统层方法或只观察，或在动作发生时阻断并终止。
• 观察：单个动作上，合法工作与攻击第一步常常相似，区分位于轨迹后段。Fig. 1 中，策略不能为来自不可信内容的写入背书，直接拒绝又会损害合法搭建；监视器需要暂扣该写入，让智能体在暂存状态上继续，直到后果可见且效果尚未不可逆。
• 做法：KAIROS 是未修改、不透明智能体隔离边界上的引用监视器。策略决定它能担保的效果，其余暂扣，由权限有界的 oracle 依据轨迹放行或拒绝。隔离保证效果只能经监视器离开；该放行哪些效果依赖策略与 oracle，作者称后者只能测量、并非保证。
• 威胁模型：
  • 目标：使智能体用自身权限外泄敏感数据、把不可信值注入可信参数、在没有可信请求时改变状态，或留下影响后续会话的持久化。
  • 知识：攻击者控制操作者未声明为可信的摄入内容，做间接提示注入；自适应，知道设计、策略和 oracle，不能直接控制智能体或其模型。
  • 边界：主体及其任务、操作者及其策略、带隔离层的主机和监视器在攻击者范围外。本文聚焦间接注入，并假设操作者与主体重合；二者分离时也可考虑直接注入。
  • 范围外：逃出隔离层、隐蔽信道、可用性，以及仅由回复文本造成的伤害。使用前沿模型时，到提供商的信道视为内部信道，并假设提供商不与攻击者共谋；模型在隔离环境内运行时可去掉该假设。

提示词与模型层

• Spotlighting（Hines 等人，2024）把不可信内容标成数据；prompt sandwiching 在其后重复用户任务。作者称在 AgentDojo 上，这类防御或把攻击率维持在接近无防御基线，或使智能体无法工作。
• Instruction hierarchy（Wallace 等人，2024）把指令源顺序编码进权重；检测器在工具输出到达前分类注入文本，NeMo Guardrails（Rebedea 等人，2023）过滤进出文本。作者称它们只处理文本，不观察对系统的影响。
• LlamaFirewall 的 AlignmentCheck（Chennabasappa 等人，2025）对照用户目标审计轨迹。作者称它与本文 oracle 最相似，但没有溯源，也不能暂扣或回滚。

框架层

• CaMeL（Debenedetti 等人，2025）把特权规划器与被隔离模型分开。Costa 等人（2025）等在规划器或智能体通信中传播信息流标签。作者称这在标签代数内是 sound 的，但规划器一读不可信内容，后续动作都继承该标签，任务所需动作也会被拒绝。
• Progent（Shi 等人，2026）由语言模型从任务导出工具调用策略并在执行中细化，扩展留给用户；没有人工时，其批准步骤也拒绝。AgentSpec、因果依赖上的 Datalog 和 FORGE 的概率谓词同样写在工具名与参数上。
• AgentArmor 从轨迹建依赖图并做类型检查；AttriGuard 把不可信观察改成第三人称报告后重放，若不再提出该调用则阻断。作者称其单次调用语义更细，但依赖智能体配合，覆盖限于已声明接口；FORGE 排除原始套接字、标准 I/O 和 shell。多数在调用当时允许或拒绝。

事务、回滚与系统监视

• Cordon、Atomix、SagaLLM 把工具调用收成事务，可逆变更放影子状态，外部效果暂存到校验。GoEX、故障容忍沙箱和 AgentGit 在效果发生后用补偿、快照或检查点恢复。作者称事务边界在工具分发或框架内，提交依据进度、失败或操作者决定，而不是值的溯源。
• AgentSight（Zheng 等人，2025）用 eBPF 关联 LLM 流量与系统活动，检测而不强制，加密流量可见性依赖特定 TLS 库。AgentSentinel 在动作发生时阻断并终止；ActPlane 在操作系统层做可编程策略。
• gVisor、Firecracker、E2B、Daytona 等隔离保护主机。作者称所考虑的攻击仍落在沙箱已授予的文件与网络权限内，被注入的智能体是 confused deputy。

信息流

• 标签遵循 Denning（1976）的格模型。HiStar、Flume 在内核进程上强制信息流；TaintDroid（Enck 等人，2014）等动态污点跟踪穿过不配合的代码。

• 作者称 TaintDroid 最接近，但它插桩所跟踪的运行时。KAIROS 只看无法检查内部的组件的输入输出，标签按设计是近似的。

• 基线方法：Spotlighting、prompt sandwiching、PI detector、Progent、CaMeL。AgentDojo 上全部在作者自己的 harness 中运行；AgentDyn 与 AutoDojo 上除 KAIROS 外采用基准公布值。CaMeL 未列入 AgentDyn，作者称因为它在任务开始前固定程序。

• 基准/数据集：AgentDojo、AgentDyn、AutoDojo。

作者把工具接口强制与 KAIROS 视为互补：前者语义更细、覆盖相对接口，后者在隔离边界取得完整覆盖，语义在解决时重建。提交取决于溯源和 oracle 对有序轨迹的决定。

KAIROS 把隔离做成机制、把授权做成策略：未修改、不透明智能体的每个外发效果都先到监视器；监视器不必在效果被提出时决定，只需在它不可逆之前决定。

效果、轨迹与保证

• 事件：监视器在智能体外，只看见穿过 I/O 层的事件。通道为 file、net、ctrl，对应可跨会话留存的受调解状态、边界外的其他方，以及发出任务并接收结果的主体。事件含通道、方向、操作、外部对象和内容，不区分工具调用、脚本或系统操作。智能体内部的临时文件不调解。
• 效果：外发且一旦放行就外部可见的事件是效果，如写文件、unlink 或网络请求。对每个效果，监视器根据此前整条轨迹选择 RELEASE、REFUSE 或 DEFER。外部可见序列按放行时刻排序，可以不同于提出顺序。
• 三条保证：不论智能体如何行为、监视器如何决定，离开隔离环境的每个效果都经过监视器；效果在放行前不会不可逆；被拒绝的效果永不外部可见。假设调解通道是唯一对外通道，主机与监视器正确，且模型提供商不与攻击者共谋。TCB 是隔离层、监视器和主机。

暂扣与推测执行

• 三种处置：RELEASE 发出效果；REFUSE 永久抑制并通知智能体；DEFER 暂时抑制。文件上的状态效果可写到仅智能体可见的副本。不立刻需要响应的对外请求可在边界停住，智能体在占位结果上继续；需要响应的请求必须在发出前决定。与主体的文本往来不暂扣。
• 推测范围：从第一次推迟起，后续效果进入同一范围，必须在任何被扣效果或其派生内容对外可见之前一起解决。放行即提交，范围内获准的标签变为永久；拒绝则丢弃暂存状态、停住的请求和这些标签。对外部观察者，放弃一次推测与从未提出不可区分。
• 不回滚上下文：不透明智能体的上下文无法回滚，其中仍可能留有从未发生的效果的占位。拒绝时必须通知智能体，避免它把未发生的效果当成已完成。

标签、策略与 oracle

• 两轴：完整性是 untrusted ⊑ trusted，机密性是从 public 到 critical 的敏感级，合并时取保守端。策略事先声明可信源、敏感位置与各方的许可；主体任务是否可信也由策略声明。其余内容视为不可信且公开。
• 边界重贴：监视器看不到值如何穿过模型。可信值集与敏感值集只随入站事件增长，智能体自己的输出不能加入可信集。效果中的值只有能从可信集导出才算可信；敏感值出现在效果中则视为携带敏感数据。写入位置继承此前读过内容的合并标签，以免在效果或会话之间洗白。作者假设被注入的智能体完全跟随注入，但不故意变换值以掩盖来源；故意变换时只剩 confinement。
• 三问与公式：先看操作者规则是否禁止，禁止则拒绝。再要求引导效果的值（目的地、收件人、所运行命令，不是每一个值）都能从已读可信值导出，且携带数据的敏感级不超过目标许可。受调解状态位置有最高许可。决定是 δ(σ_i−1, e_i)：规则禁止为 REFUSE，策略能担保为 RELEASE，否则为 DEFER。阻塞效果无法暂扣，oracle 在发出前决定。
• 有界 oracle：可以是操作者、另一策略引擎，或另一次模型调用。它看到任务、策略、被推迟效果及其溯源、轨迹，以及作为证据的不可信内容，对每个推迟效果返回放行或拒绝。它不能推翻拒绝；全部拒绝时，监视器退化为只放行策略所承认效果的严格监视器。oracle 被假设为善意但不保证正确，自身是提示注入目标，不属于 confinement 的 TCB。

原型与评测中的事件

• 通道：智能体跑在 Cloud Hypervisor microVM 中。工作目录是 OverlayFS 的只读下层，修改进入上层，经 FUSE 与 virtio-fs 在主机用户态执行。出站流量经防火墙转到 mitmproxy 并在代理上终结 TLS。写与 unlink 可暂存；改变状态的请求可停住；GET 视为阻塞。发往模型提供商的流量解密、记录后放行。控制通道是 vsock 上的终端。客户机根文件系统及其中的工具安装和凭证不在调解范围内。
• 一次一个范围：OverlayFS 每个挂载只有一个可写上层。再需要暂扣的效果、即将离开边界的占位派生内容，或任务结束，都会先解决当前范围。写前日志用于回滚；提交合并进工作目录，中止则丢弃并通知智能体。
• 匹配：可导出性实现为规范化后相等，小写并去掉空白。敏感判断是规范化 token 是否出现，偏向推迟。策略未点名的对方在所有配置中都推迟。评测中，oracle 在每次解决推测范围时调用一次，策略推迟的阻塞请求在发出前调用；无法解析的输出和失败调用计为 REFUSE。溯源写来源说明，不写 untrusted 这类标签，因为语言模型会把标签读成裁决。

实验设置

• 智能体：默认 GPT-4.1（脚注 gpt-4.1-2025-04-14），温度 0，任务中性系统提示。AgentDojo 另测 Qwen3.6-35B（Qwen/Qwen3.6-35B-A3B）与 Llama-3.3-70B（meta-llama/Llama-3.3-70B-Instruct）。AgentDyn 用 GPT-4o，AutoDojo 用 GPT-4o-mini。Banking 配对实验用 Qwen3.5-35B-A3B、Qwen3.5-27B、Qwen3.5-9B。
• 基准：AgentDojo 四套件、97 个用户任务、629 个注入案例，攻击为 important_instructions。AgentDyn 三领域 60 个开放任务、560 个案例。AutoDojo 扩展四套件中的三个，389 个案例，用 LLM 把每条注入改写六轮。
• 基线：Spotlighting、prompt sandwiching、PI detector（微调分类器）、Progent（辅助模型为 GPT-4.1）、CaMeL（强制其安全策略；特权与隔离模型为该组智能体）。AgentDojo 全部在作者 harness 中运行；后两个基准除 KAIROS 外用公布值。
• 指标：ASR 是注入案例中攻击者目标被完成的百分比。Ub 是无攻击时完成的用户任务百分比，U 是注入案例中完成的用户任务百分比。NRP 定义为 Ub × (1 − ASR)。作者称它同等加权攻击成功率与效用。
• oracle 与次数：Table I 的三种智能体上，KAIROS 的 oracle 与 Progent 的策略模型都是 GPT-4.1。oracle 无工具、温度 0，无法解析或调用失败计为 REFUSE。每配置运行一次，被阻断的动作没有用户批准作为回退。
• 适配：基准把工具模拟为内存对象，没有可调解的隔离边界。作者用适配器把模拟工具调用转成出入事件；策略为每个工具声明是否可逆、哪个参数是目的地，且不设拒绝规则，以免 ASR 反映事先知道的攻击。

主结果

AgentDojo 上 KAIROS 与无防御、CaMeL 的对比如下。oracle 均为 GPT-4.1。据 Table I。

表格较宽，可左右滑动

智能体	无防御 ASR	KAIROS ASR	KAIROS Ub	KAIROS NRP	CaMeL ASR
GPT-4.1	47.0%	2.7%	85.1%	82.8	0.2%
Qwen3.6-35B	28.3%	1.3%	84.6%	83.5	0.4%
Llama-3.3-70B	32.3%	2.4%	32.3%	31.5	0.0%

• 作者称三种智能体上 KAIROS 的 NRP 都最高。无防御 Ub 分别为 82.7%、87.0%、29.8%（Table I）。作者称 GPT-4.1 的 Banking 与 Workspace 没有成功攻击；Table V 中该模型 KAIROS 的 Travel ASR 为 7.9%，Slack 为 2.9%。
• CaMeL 的 ASR 更低，但 Ub 为 38.0%、40.4%、26.5%。Progent 的 NRP 为 69.2、77.7、29.3，为次高（Table I）。GPT-4.1 上 Spotlighting 的 ASR 为 49.2%，高于同表无防御一行。
• 作者称 Llama 即使无防御也很少完成任务。KAIROS 拒绝注入效果并通知智能体后，其攻击下效用为 34.0%，无防御为 24.6%（Table I）。

开放任务与自适应攻击

• AgentDyn、GPT-4o：KAIROS 的 ASR 为 1.7%，U 为 37.1%，Ub 为 51.7%，NRP 为 50.8（Table II）。无防御公布值为 ASR 37.8%、U 55.5%、Ub 53.3%。作者称跨过一次暂扣的任务保留 90% 效用，跨过两次或更多保留 62%。Progent 的 ASR 同为 1.7%，但 U 为 5.8%；PI detector 的 U 为 0.6%、Ub 为 0.0%。CaMeL 未列入。
• AutoDojo、GPT-4o-mini：针对 KAIROS 改写的注入成功率为 8.8%，无防御公布值为 52.4%；Ub 为 65.3%，NRP 为 59.6（Table III）。Progent 为 ASR 7.7%、NRP 58.3。提示词层 ASR 为 36.3% 与 46.8%；PI detector 为 15.4%，Ub 为 47.4%。
• 作者称仍成功的攻击针对把权限委托给文档的任务，oracle 把文档中的指令读成用户授权。该攻击者是黑盒，只能观察攻击是否成功，作者称结果是自适应攻击成功率的下界。除 KAIROS 外，这两张表的对照是基准公布值。

策略、严格监视器与模型配对

• 谁在决定：Figure 5 与 Section IV-C（AgentDojo、GPT-4.1）中，策略直接放行 83% 的良性效果和 72% 的攻击下效果。良性运行里 oracle 只拒绝它决定的效果中的 1 个，作者称这是唯一假阳性；攻击下 oracle 拒绝超过一半被推迟的效果。多数推迟来自策略无法把效果中的值追溯到可信源。
• 严格监视器：关掉推迟和 oracle 后，策略不能担保的效果一律拒绝。作者称 ASR 落在单次运行波动内，论文未给出该 ASR；良性效用从 85.1% 到 42.7%，攻击下效用从 69.5% 到 34.7%（Section IV-D）。作者称安全来自策略，效用来自推迟和 oracle。
• 模型配对：Table IV 在 AgentDojo Banking 上独立变化智能体与 oracle。同模型时 NRP 从 27B 的 93.1 到最小模型的 68.8。作者称 9B 智能体在各 oracle 下 NRP 最低（68.8 到 81.2），所有配对仍比无防御高 18.0 到 52.4 个百分点；9B oracle 使 27B 与 9B 智能体的 NRP 降低 10.7 到 12.5 个百分点，35B 智能体不是这样。35B 与 27B oracle 相差不超过 1.7 个百分点。

其他消融与分析

• Table V，GPT-4.1、KAIROS 分套件 ASR/U：Banking 0.0%/82.6%，Slack 2.9%/61.0%，Travel 7.9%/74.3%，Workspace 0.0%/60.0%；均值是四套件的非加权平均，与 Table I 对应。
• Table VI，Qwen3.5-35B 智能体配 9B oracle：ASR 1.4%、Ub 93.8%、NRP 92.5；配 35B oracle：ASR 1.4%、Ub 87.5%、NRP 86.3；无防御 ASR 22.9%、NRP 62.6。
• Table VI，Qwen3.5-27B 无防御 ASR 53.5%、NRP 40.7；配 35B 或 27B oracle 时 ASR 0.7%、NRP 93.1。Qwen3.5-9B 配 9B oracle：ASR 0.0%、Ub 68.8%、NRP 68.8。
• Token 开销：良性运行 17.7%，攻击下 33.6%，作者称全部来自 oracle 调用（Section IV-E）。文件通道 200 个周期、4 KB、重复三次，每周期 9.62 ms，论文写大约 1.9 ms/操作；50 个允许请求上代理平均 1.15 ms。引言与 Section III-D 写约 1.2 ms/请求。
• 作者转述 CaMeL 约为单模式智能体输入 token 的 2.8 倍、输出的 2.7 倍，AttriGuard 约为两倍 token、三倍延迟；这两项不是本文复测。

作者指出的局限与后续方向

• 语义差距（Section V）：边界上看到的是文件操作和请求，不是工具名与参数角色；事件上的策略只能表达工具策略的一个子集，表达不了的必须推迟。作者写，现有基准把每个动作暴露为命名工具调用，且没有由各自合法步骤组成的攻击，衡量这一类防御需要动作对应真实系统效果的基准。
• 溯源精度（Section V）：与可信值逐字节相同的攻击者值会得到同一溯源；智能体变换值后不再被认出。对对象声明的敏感度，在数据被移到另一对象再读出后不保留。作者称把已读数据的标签传播到此后每个效果，会在第一次不可信读取之后推迟后续效果中的绝大部分。
• oracle 通道（Section V）：攻击者只能经 oracle 的视图施加影响，被审内容仍可能说服 oracle。作者称熟悉 oracle 及其视图的攻击者可以比黑盒攻击者更有效地优化内容，因此这些结果不构成攻击成功率的上界。作者认为收紧不可信内容的通道可能降低该向量，但不能把它消掉。
• 重复推迟（Section V）：oracle 放行一个效果时只对该效果去密级，同一不可信值的后续效果会再次推迟。作者称这造成开放任务上的效用损失。按谱系划分轨迹需要两个值何时同源的形式定义，作者称字符串匹配单独给不出。
• 授权假设（Section V）：评测跟随既有基准的注入案例；作者称概念上的适用范围更宽，但故意变换值以掩盖来源不在授权假设内。面对这类完全对抗的智能体时，只剩 confinement。

实验覆盖范围

• 被测智能体为 AgentDojo 上的 GPT-4.1、Qwen3.6-35B、Llama-3.3-70B，AgentDyn 上的 GPT-4o，AutoDojo 上的 GPT-4o-mini；Banking 套件另有 Qwen3.5 三个规模的智能体与 oracle 配对（Section IV，Table I–IV）。Table I 的 oracle 固定为 GPT-4.1。
• 对照为 Spotlighting、prompt sandwiching、PI detector、Progent、CaMeL。AgentDyn 不含 CaMeL。AgentDyn 与 AutoDojo 上除 KAIROS 外的数字为基准公布值（Table II、III 脚注）。
• AgentDojo 为 97 个用户任务、629 个注入案例；AgentDyn 为 60 个任务、560 个案例；AutoDojo 为 389 个案例、改写六轮。每配置运行一次，无人工批准回退（Section IV-A）。
• 基准经适配器把模拟工具调用转成事件，评测不走 microVM 边界（Section IV-A）。开销另在 200 个文件周期（重复三次）和 50 个允许请求上测量（Section IV-E）。评测策略不声明拒绝规则。
• 论文未报告严格监视器的 ASR 数值，只写它落在单次运行波动内（Section IV-D）。作者写 AutoDojo 攻击者是黑盒，结果是自适应成功率的下界（Section IV-A）。Section IX 写模型经固定标识访问，提供商可能更新标识背后的模型，结果未必能精确复现。

KAIROS 是放在未修改、不透明 LLM 智能体隔离边界上的引用监视器，用来约束间接提示注入所能留下的外部效果。

智能体可以执行任意代码。工具调用和自写脚本在边界上都变成同一类文件与网络操作。声明式策略看引导效果的值是否来自可信源、携带数据是否允许到达目的地，能担保就放行，规则禁止就拒绝；其余效果被暂扣，智能体在暂存状态和占位响应上继续，权限有界的 oracle 只裁决策略推迟的那些效果。oracle 被假设为善意，但不保证正确，也不属于隔离所依赖的可信计算基。

• AgentDojo、GPT-4.1、oracle 同为 GPT-4.1：ASR 从 47.0% 到 2.7%，Ub 为 85.1%（无防御 82.7%），NRP 为 82.8，高于同表 Progent 的 69.2。CaMeL 的 ASR 为 0.2%，Ub 为 38.0%（Table I）。
• 同一基准上，Qwen3.6-35B 与 Llama-3.3-70B 的 KAIROS ASR 为 1.3% 与 2.4%，NRP 为 83.5 与 31.5；二者的 oracle 仍是 GPT-4.1。
• AgentDyn、GPT-4o：ASR 1.7%，攻击下效用 37.1%（无防御公布值 55.5%），NRP 50.8。AutoDojo、GPT-4o-mini：自适应 ASR 8.8%（无防御 52.4%），NRP 59.6。关掉推迟后，AgentDojo 良性效用为 42.7%。
• 作者称安全主要来自策略，效用来自把决定推迟到更多轨迹可见之时。作者把这种边界监视器看作监督自主智能体的基础，且不限于提示注入；故意变换值以掩盖来源时，授权假设不再成立，只剩 confinement。