T-MAP：用轨迹感知进化搜索对 LLM Agent 做红队测试
T-MAP: Red-Teaming LLM Agents with Trajectory-aware Evolutionary Search
论文速读
据论文全文整理（AI 生成），以原文为准
韩国研究团队提出 T-MAP，一种轨迹感知的 MAP-Elites 进化搜索方法，用于对集成 MCP 的 LLM Agent 做红队测试。
- 现有 red-teaming 主要针对 LLM 的文本有害输出，无法捕捉 agent 通过多步工具执行（如 MCP 生态）才出现的漏洞。这类漏洞往往需要复杂规划和特定工具调用序列才会暴露，对自主 agent 的安全部署很重要。
- 作者提出 T-MAP，一种轨迹感知的 MAP-Elites 进化搜索方法。它维护风险类别×攻击风格的多维 archive，通过四步循环：Cross-Diagnosis 从父/目标轨迹提取成功与失败因素，结合 Tool Call Graph（TCG）指导变异，执行后更新 TCG 边级统计，再由 LLM judge 评估轨迹并更新 archive。
- 在 CodeExecutor、Slack、Gmail、Playwright、Filesystem 五个 MCP 环境上，T-MAP 平均 ARR 达 57.8%，高于 ZS、MT、IR、SE 等基线，并发现更多不同成功工具轨迹且语义/词汇多样性更高。对 GPT-5.2、Gemini-3-Pro、Qwen3.5、GLM-5 等前沿模型仍有效；在 Multi-MCP 链式设置中跨服务器轨迹比例达 46.28%，高于基线的 14–23%。
- 评估仅覆盖五个 MCP 服务器，扩展到更广 agent 环境是未来工作；实验在沙箱中进行，真实部署常有权限检查、用户确认、输入验证等额外防护，ARR 未必直接迁移到实践；框架依赖 DeepSeek-V3.2 作为攻击模型，其较弱的安全对齐有助于生成对抗提示，随模型安全对齐提升效果可能变化。
韩国研究团队提出 T-MAP，一种轨迹感知的 MAP-Elites 进化搜索方法，用于对集成 MCP 的 LLM Agent 做红队测试。该方法通过 Cross-Diagnosis 从执行轨迹中提取成功与失败原因，并维护一张 Tool Call Graph 记录工具间转移的成功率，引导生成既能绕过护栏、又能通过真实工具调用实现有害目标的攻击提示。在 CodeExecutor、Slack、Gmail、Playwright、Filesystem 五个 MCP 环境中，T-MAP 平均攻击实现率（ARR）达 57.8%，高于 Zero-Shot、Multi-Trial、Iterative Refinement 和 Standard Evolution 等基线，并在 GPT-5.2、Gemini-3-Pro、Qwen3.5、GLM-5 等前沿模型上保持有效。
推荐理由论文把攻击成功从文本层面推进到工具执行层面，并给出跨 MCP 环境与前沿模型的攻击实现率，可供 Agent 部署方评估工具链风险。