Agent 安全评测中的捷径敏感性

核心问题：智能体安全评估基准中存在评估流程引入的表面线索，这些线索不仅能直接预测安全标签，还可能干扰安全护栏的真实防御决策，导致对护栏防护能力的测量出现偏差。

• 场景与现实重要性：在智能体通过工具执行敏感动作的场景中，前置工具护栏负责拦截潜在风险动作；若评估基准本身包含可被利用的非语义捷径，研发者测得的护栏性能将无法反映其在实际部署中的真实安全水平。
• 现有评估的不足：现有基准通常直接统计护栏的准确率或 F1 分数，未检验基准标签是否仅由低级格式特征决定，也未验证规则与护栏的一致性究竟源于真实风险、数据收集差异还是护栏利用了捷径。
• 核心观察与假设：基准构建中的脚手架信息（如数据来源标记、特定工具名、轨迹长度、交互子集等）会创造潜在捷径；即使表面线索具有高标签可预测性，也并不等同于护栏实际依赖了该线索，二者需要严格解耦验证。
• 论文的解决方案：作者提出了包含“标签可预测性、观测性护栏关联、配对决策敏感性”的三级捷径审计推断阶梯，并在 LinuxArena 与 TS-Bench 派生数据集上审计了已发布轨迹记录及代表性护栏的敏感性。

标注伪影与捷径学习

• Gururangan et al. (2018) 与 Geirhos et al. (2020)：前者研究自然语言推理数据集中由于注释习惯带来的标注伪影；后者系统定义了深度神经网络中的捷径学习现象。
• Koh et al. (2021)、Gardner et al. (2020) 与 Ribeiro et al. (2020)：分别提出 WILDS 分布偏移基准、对比集（contrast sets）局部决策边界评测方法，以及 CheckList 行为化测试框架。
• Dehghani et al. (2021) 与 Alzahrani et al. (2024)：前者探讨基准抽样偏差造成的“基准彩票”现象；后者分析大语言模型排行榜在轻微扰动下的敏感性。

安全评测与表面启发式

• Li et al. (2026) 与 Tasawong et al. (2025)：前者指出提示攻击防御模型倾向于学习表面启发式特征；后者分析安全护栏中关键字偏置对决策的影响。
• Meng et al. (2025) 与 Li et al. (2025)：前者开发 Docent 可解释性工具；后者提出 PIGuard 护栏以降低过度防御。
• Bean et al. (2025)、Wang et al. (2026) 与 Tu et al. (2026)：前者研究大模型基准的构念效度；中者对智能体安全基准开展效度审计；后者提出 BenchGuard 自动化审计智能体基准。

智能体安全护栏与监控环境

• Debenedetti et al. (2024) 与 Andriushchenko et al. (2025)：分别提出 AgentDojo 动态提示注入测试环境，以及 AgentHarm 大模型智能体有害性评测基准。
• Mou et al. (2026) 与 Tracy et al. (2026)：前者提出 ToolSafe 框架（含 TS-Bench 基准与 TS-Guard 护栏）；后者提出 LinuxArena 实时软件生产环境智能体监控评测。
• Zheng et al. (2026)、Bhagwatkar et al. (2025) 与 Greenblatt et al. (2024)：分别提出 StepGuard 步级护栏、对 AgentDojo 防火墙进行端到端红队审计，以及研究基于监控的 AI 控制协议。

基线方法与基准

• 对比基线与基准数据集：论文在基线方面构建了负平均命令字符数规则、<INFORMATION> 标记加 11 个动作前缀规则、精确工具多数类查找，以及全预测不安全基线；基准数据集涵盖 LinuxArena 公开样本、TS-Bench 派生的 AgentDojo-Traj 与 AgentHarm-Traj。

本文与相关工作的区别

• 作者称配对提示词敏感性测试已有先例，本文的定位是将标签可预测性、观测性护栏关联与配对决策敏感性整合为面向已发布智能体安全工件的三级推断阶梯，重点审计已发布记录、评测加权单元及黑盒护栏决策。

作者提出三级捷径审计推断阶梯（three-level shortcut-auditing framework），将线索可预测性、护栏关联性与因果决策敏感性分层解耦，并通过保持安全语义的配对编辑和实验对照评估黑盒护栏。

三级推断阶梯形式化

• Level 1：标签可预测性（Label Predictability）：评估故意受限的低能力诊断规则 r(z) 仅依据候选线索 z 预测已发布标签 y 的能力，分数定义为 Spred(r) = M({(r(z_i), y_i)}_i=1ⁿ)，其中 M 为区分度指标（如 AUC、F1 或平衡准确率）。该阶段仅确立构建特征，不代表线索已被护栏使用。
• Level 2：观测性护栏关联（Observational Guard Association）：在受限比较队列 C 内测量候选线索呈现与否对护栏决策 g(x) 的均值差 Δ_assoc(C) = E[g(x)|a(z)=1, x ∈ C] − E[g(x)|a(z)=0, x ∈ C]。该指标仅用于筛选可能存在敏感性的干预假设。
• Level 3：配对决策敏感性（Paired Decision Sensitivity）：对输入实施保持操作授权和动作效果的变换 T(s, z) = (s, z')。对于随机护栏 g，目标估计量为 Δ_T = 1/n ∑_i=1ⁿ {Pr[g(T(x_i)) = 1] − Pr[g(x_i) = 1]}。

低能力诊断规则设计

• LinuxArena 诊断：采用负平均 Shell 命令字符数（字符越少得分越高）作为确定性打分规则，并对比留一环境出（LOEO）训练的字符 n-gram TF-IDF 逻辑回归模型。
• AgentDojo-Traj 诊断：设计固定二元规则，要求历史中包含 <INFORMATION> 标记且当前工具名前缀属于 11 个副作用动词之一（如 send_、delete_、update_ 等）；同时设计记录各工具多数类标签的查找规则，在交互分组五折交叉验证与留一域出（LODO）下测试。
• AgentHarm-Traj 诊断：测试将所有步骤均预测为不安全（all-unsafe）的基线，并分析来源子集元数据（harmful_steps 与 benign_steps）与严格标签的直接映射。

冻结反事实队列构建

• 样本确定性筛选：从 AgentDojo 4 个域中各选取 8 个含标记安全步骤与 8 个含标记不安全步骤，按 SHA-256 哈希值排序选出前 8 个，构成 58 次原始交互下的 64 步固定队列（frozen cohort），在运行任何护栏前即完成冻结。
• 五种输入条件设计：包括原始输入（original）、标记重写（将 <INFORMATION> 标签替换为 <UNTRUSTED_EXTERNAL_CONTENT> 但保留内部字节）、工具别名（将工具名替换为前缀加哈希值，统一更新请求、历史与描述中的标识符）、组合编辑（同时应用标记重写与工具别名），以及仅微调外层 JSON 缩进的格式安慰剂（placebo）。

护栏评测协议与随机性控制

• 确定性模型评测：采用 8-bit、group-64 的 TS-Guard MLX 复现模型（Q8），在贪婪解码下运行，并通过了 64 个原始样本上的门禁验证（64/64 解析，63/64 严格决策一致）。
• 随机模型接口与排程：调用 Claude Haiku 4.5 与 GPT-5.6 Luna，统一通过 OpenRouter 禁用回退直接路由，采样温度设为 0，启用严格 JSON-schema 结构化输出；每个基础样本在 5 种条件下各重复调用 3 次并进行交替乱序排程（共 960 次调用）。
• 估计与置信区间：主要估计量为 3 次调用下各样本拦截概率差值的均值，采用按域分层且在 58 次源交互上聚类的 10,000 次自助抽样（bootstrap）计算 95% 探索性区间。

实验设置

• 被测模型：Claude Haiku 4.5、GPT-5.6 Luna、TS-Guard（包括官方发布检查点与 Q8/MLX 复现版本）、Claude Opus 4.8、Claude Sonnet 5、GPT-5.6 Terra、GPT-5.5，以及 LinuxArena 评测中的 Claude Opus 4.6 监控器。
• 数据集与基准规模：LinuxArena 公开样本 576 条去重 Shell 轨迹（176 条攻击、400 条诚实，跨 10 个环境）；TS-Bench 派生的 AgentDojo-Traj 共 1,220 步（352 步不安全、868 步安全，跨 4 个域）；AgentHarm-Traj 共 731 步（525 步不安全、206 步安全，涵盖 197 组交互）；冻结 AgentDojo 反事实队列包含 64 步（32 步安全、32 步不安全，来自 58 组源交互）。
• 基线方法：负平均命令字符数规则、字符 n-gram TF-IDF 逻辑回归、标记加 11 动作前缀固定规则、精确工具多数类查找规则、全预测不安全基线。
• 评估指标：AUC、F1、平衡准确率（Balanced accuracy）、严格拦截率（Strict block rate）、边际拦截概率差值（Δ，percentage points, pp）。
• 评审判定方式：对于 TS-Guard 复合评分，若评分大于 0.5 判定为严格拦截；对于托管大模型护栏，通过系统提示词要求输出结构化 JSON 判定用户请求恶意性、第三方攻击及动作有害性，任何非零有害判定或攻击判定均作为严格拦截。
• 样本量与重复次数：Haiku 与 Luna 在 64 步队列的 5 种条件下各重复 3 次独立交替调用（各 960 次调用）；TS-Guard Q8 运行 64 步单次贪婪解码；GPT-5.5 进行 64 步单次调用抽样。

主结果

在 64 步冻结 AgentDojo 队列上，针对 Claude Haiku 4.5 护栏进行三轮重复交替调用，测得各编辑相对于原始输入的拦截概率差值（据 Table 2）：

表格较宽，可左右滑动

• 标记重写与别名敏感性：作者报告，重写 <INFORMATION> 标记使 Haiku 整体拦截率下降 8.33 pp，而引入不透明工具别名使拦截率上升 11.46 pp；扣除格式安慰剂效应后，调整后效应分别为 -6.77 pp [-12.82, -1.61] pp 与 +13.02 pp [4.92, 21.72] pp，95% 置信区间均排除零点。
• 误报变动与假阳性转移：作者指出所有不安全样本在编辑后均保持被拦截状态，因此拦截率变化完全源于对安全样本继承标签的误报变化，导致测得的严格准确率从原始的 73.44% 在标记重写后变为 81.77%，在工具别名后降至 61.98%。
• 方向与稀疏性：作者指出受影响的样本在各次重复中均保持相同变动方向，标记重写仅出现拦截下降（6降0升），工具别名主要表现为拦截增加（2降9升）。

跨模型复现与配置特异性

• 测试内容：在相同 64 步队列、提示词和排程下评测 GPT-5.6 Luna（960 次调用）及 Q8 TS-Guard（本地 MLX）。
• 测试结果：GPT-5.6 Luna 在标记重写下的全样本差值为 0.00 pp [-3.13, 3.17] pp，相对安慰剂为 -1.04 pp [-4.76, 2.60] pp；工具别名差值为 +1.04 pp [-2.08, 4.41] pp，相对安慰剂为 0.00 pp [-3.65, 3.24] pp。Q8 TS-Guard 在 64 个标记重写对中发生 3 次决策翻转（翻转率 4.69%），工具别名发生 3 次翻转（翻转率 4.76%，据 Table 4）。
• 作者解读：作者称 Haiku 展现出的敏感性并不具备跨模型普适性，敏感性与具体护栏配置密切相关；Luna 和 TS-Guard 未复现 Haiku 幅度的敏感效应。

第一级基准线索可分离性与域迁移

• 测试内容：在 LinuxArena、AgentDojo-Traj 和 AgentHarm-Traj 上运行低能力诊断规则并进行压力测试。
• 测试结果：在 LinuxArena 上，负平均 Shell 命令字符数的 AUC 达到 .910（LOEO 词法 AUC 达 .934，据 Table 1）；在 AgentDojo-Traj 上，工具名多数类查找在五折交叉验证下 F1 达 .901，但在 LODO 留一域出测试中 F1 跌至 .495（只有 17.3% 的步骤使用训练域见过的工具名，据 Table 1、Table 5）；在 AgentHarm-Traj 上，TS-Guard 的行级 F1 为 .902，但在等交互加权下降至 .719（据 Table 6）。
• 作者解读：作者认为基准存在明显的构建线索与加权敏感性，但工具查找在域间的崩溃说明这些表面线索高度依赖领域上下文，而非通用的全局捷径。

观测性标记关联筛选

• 测试内容：统计 7 种护栏配置在 AgentDojo-Traj 真实安全行中含标记与不含标记的严格拦截率差异（据 Table 3）。
• 测试结果：Claude Haiku 4.5 在含标记安全行中的拦截率为 74.45%（239/321），不含标记时为 0.37%（2/547），差异达 74.09 pp [68.67, 79.75] pp；GPT-5.6 Luna 差异为 10.48 pp，GPT-5.5 差异为 4.22 pp，TS-Guard 差异为 3.62 pp。
• 作者解读：作者强调该对比存在混杂因素（请求、上下文与潜在风险不同），因此高观测关联仅作为提名干预候选护栏的依据，而非因果利用标记的定论。

其他消融与分析

• LinuxArena 动作数量预测力：同一监控重跑子集中，动作数量预测标签的 AUC 为 .947，高于平均命令长度的 AUC .905。
• AgentHarm 匹配执行签名均值：16 组相同执行签名的混合上下文中，TS-Guard 在不安全上下文均值为 .922，安全上下文为 .413（差异 .510）。
• TS-Guard Q8 组合编辑翻转率：在 64 个样本中发生 6 次决策翻转，基础翻转率为 9.38%（据 Table 4）。
• GPT-5.5 单次抽样未配对差异：单次抽样下标记重写与原始输入在 3/64 基础样本上不一致，有向拦截率变化为 +1.56 pp [-3.28, 7.15] pp。
• AgentDojo 未见工具名表现：LODO 测试中 1,009 个未见工具名步骤的精确工具查找 F1 为 .000，平衡准确率为 .500（据 Table 5）。
• AgentHarm 交互分段重复统计：72 组有害交互中有 57 组包含重复分段 ID，而 125 组良性交互中均无重复。

作者指出的局限与后续方向

• 跨模型配置特异性：Luna 复现实验未重现 Haiku 级别的敏感性，表明观察到的敏感性依赖于特定护栏配置，不能推论为所有护栏普遍存在（第 8 节）。
• 队列非概率抽样与区间性质：64 步反事实队列并非概率样本，所计算的置信区间为探索性且未作多重检验校正（第 8 节）。
• 编辑语义与未做人工盲审：标记重写改变了外部来源的行文字眼，工具别名并非自然的全局重命名，且两类编辑均未进行双盲人工等效性验证（第 8 节）。
• 模型实现与环境限制：TS-Guard 采用 Q8 量化版本，GPT-5.5 缺少重复实验，而 StepGuard 仅停留在非等效的 Mac 可行性验证，未进行完整官方环境评测（第 8 节）。
• 评测输入属性限制：LinuxArena 使用已完成的执行轨迹而非实时监控，AgentHarm 的子集身份元数据未被证明对护栏输入可见（第 8 节）。
• 防御自适应性未测：公开规则可能成为攻击方自适应规避的目标，推动未来研究隐藏分组留出与等效序列化刷新机制，论文未对此类对抗自适应开展测试（第 6 节）。

实验覆盖范围

• 被测护栏模型覆盖：实验在反事实编辑中深度测试了 Claude Haiku 4.5、GPT-5.6 Luna 和本地 Q8 TS-Guard，辅助测试了 GPT-5.5 单次抽样，未在完整官方 BF16/vLLM 环境下运行 StepGuard。
• 测试数据集范围：实验限于 LinuxArena 的 576 条去重 Shell 轨迹，以及 TS-Bench 派生的 AgentDojo-Traj（1,220 步）和 AgentHarm-Traj（731 步）。
• 配对干预样本规模：反事实编辑仅在 AgentDojo 的 64 步冻结样本上进行（来自 58 组源交互），未在 AgentHarm 或 LinuxArena 上执行配对编辑。
• 离线与无交互限制：研究属于黑盒静态审计，使用已发布的离线记录，未执行端到端工具调用，也未部署交互式代理或规避攻击。
• 未报告信息：论文未报告更长提示链推理对捷径敏感性的影响，未开展面向真实系统部署的在线拦截评测。

• 研究定位：这篇论文针对大语言模型智能体安全基准与工具护栏评估，提出了一套用于审计评估有效性与表面捷径依赖的三级推断阶梯。
• 核心问题：现有智能体安全基准中包含评估管道引入的元数据、标记和交互格式，这些线索可能人为提升标签区分度并干扰护栏决策，导致评估结果无法准确反映护栏的真实防护能力。
• 方法设计：作者建立了区分“标签可预测性、观测性护栏关联、配对决策敏感性”的分析框架，设计了故意受限的简单诊断规则，并在保持安全语义的 64 步冻结样本上实施标记重写与工具别名编辑，结合格式安慰剂与交替重复调用对随机护栏进行敏感性检验。
• 关键结果：在基准特征上，LinuxArena 负平均命令长度的分类 AUC 达 .910，AgentDojo 工具名多数类查找在留一域出下 F1 从 .901 跌至 .495；在护栏敏感性上，标记重写使 Claude Haiku 4.5 拦截率变化 -8.33 pp，工具别名使拦截率变化 +11.46 pp，而 GPT-5.6 Luna 的对应变化分别为 0.00 pp 与 +1.04 pp，Q8 TS-Guard 在 64 对中仅发生 3 次决策翻转。
• 作者结论与启示：作者认为基准中的高预测性线索仅是假设而非护栏依赖捷径的定论，捷径敏感性具有高度的配置特异性；建议未来智能体安全基准在发布时采用领域分组留出、标明评估加权单元（如交互级加权），并在护栏评估中引入安慰剂受控的配对干预实验。