X-AgentRed：在演进的多服务生态中对个人 Agent 进行红队测试

要发现的是：个人智能体履行良性请求时，跨服务动作如何累积成用户未请求、未授权的伤害。

• 场景：作者称 ChatGPT、Claude、Muse 等个人智能体把网页与应用服务编排成多步工作流；服务集成以及浏览器、桌面交互使可组合能力继续扩大（Introduction）。信息、权限和状态跨服务传播后，良性请求也可能偏离意图或绕过安全护栏。Figure 1(a) 为示意图；覆盖与长度图也是示意，测量在 Section 4.4。
• 现有做法：作者称现有方法常让 LLM 从任务与环境描述提出工具序列（Li et al., 2025），或把人或 LLM 指定的有害目标拆成看似良性的动作（Kulkarni et al., 2025; Zeng et al., 2026），再用执行反馈修订。作者认为，由 LLM 决定如何连工具会依赖训练先验，可能偏向熟悉组合，使新服务交互探索不足。
• 作者的要求：扩展中的服务空间需要从工具能力与依赖中识别候选路径，而不是只复用先前测过的工作流（Introduction）。
• 本文：提出 X-AgentRed。红队智能体分析效应、潜在伤害与执行前置条件，建成 HarmFlow 图，采样配方并写成场景，再凭执行反馈扩展成功路径、修正受阻路径。
• 威胁模型：
  • 目标：发现履行良性请求时、经跨服务交互产生的伤害。请求须能安全完成；目标伤害不得被用户请求或授权。
  • 知识：红队分析工具注册表中的描述，并读取轨迹里的受阻步骤与未满足前置条件。目标智能体只看到请求和初始状态，看不到目标伤害。
  • 能力：生成场景并对目标执行；用反馈更新图与配方；按目标响应和工具输出改写后续用户提示，直到出现伤害或达到轮次上限。该上限的轮数论文未写明。
  • 受害系统：带工具注册表的多服务生态中的个人智能体。形式化见 Section 3；服务与工具规模在实验中给出。

自动红队与提示优化

• Perez et al. (2022) 用语言模型生成对抗输入。
• Zou et al. (2023)、Chao et al. (2025)、Mehrotra et al. (2024)、Liu et al. (2024) 优化对抗或越狱提示。Related Work 只作列举，没有逐篇对照本文。
• Russinovich et al. (2025)、Rahman et al. (2025) 在多轮交互中自适应调整。

工具使用智能体

• Ruan et al. (2024)、Andriushchenko et al. (2025)、Debenedetti et al. (2024) 评测智能体的有害行为，以及对外部内容的脆弱性。
• Kulkarni et al. (2025)、Li et al. (2026) 构造对抗任务与交互。
• 引言把 Li et al. (2025)、Kulkarni et al. (2025)、Zeng et al. (2026) 列为代表：即使用执行反馈评估和修订候选，仍由 LLM 决定工具如何组合。作者认为这种对先验的依赖可能带来偏差。

多样性与反馈

• Samvelyan et al. (2024)、Wang et al. (2025) 同时变化所针对的有害行为与提示风格。
• Hong et al. (2024) 用新颖性奖励鼓励与已生成提示不同的输出。
• Liu et al. (2025) 从既往尝试抽出策略，存入库中，并在后续搜索复用。

基线方法与环境：STAC（Li et al., 2025）把单独良性的工具调用组成有害链，并用执行反馈改写提示。TRACE（Zeng et al., 2026）把有害任务拆成子任务，再按执行反馈迭代修改提示。二者与本文都在 ToolSimulator 模拟的 30 个服务、914 个工具上比较。

作者的定位是：X-AgentRed 先从显式工具依赖图选取跨服务配方，再实例化为场景；执行反馈通过服务替换、以及受阻步骤上的前置条件修正来更新配方与场景，而不重新训练模型（Related Work）。

X-AgentRed 先建 HarmFlow 依赖图，再反向采样配方、写成良性场景，最后用执行反馈替换工具或修正受阻步骤（Figure 2）。红队智能体为 Claude Opus 4.8。

问题设定

• 场景：x = (u, s0, h)，含良性请求、初始环境与目标伤害。轨迹由目标在工具注册表 T 上从 s0 交互产生，且看不到 h。X 是可接受场景的空间。
• 伤害指示：执行产生伤害结果时 H(τ)=1，否则为 0。HPR 是确认有害的候选场景数除以候选场景数（Equation 3）。
• 分类：综合既有框架，得到 10 类终端伤害 H1–H10 与 12 类诱发因素 F1–F12（Table 1）。伤害按观察到的动作与结果标注，因素标在引发有害进程的交互上。采样平衡目标伤害，不设因素配额。只是任务未完成且无害，不足以标为伤害（Appendix A.1）。

HarmFlow 图

• 节点：每个工具有前置条件 Pt、效应 Et、潜在伤害 Ht。效应是状态变化或可产生的信息；前置条件包括输入、资源与权限。
• 连边条件：D = (t_i, t_j) ∈ T² | (E_ti × P_tj) ∩ R ≠ ∅。含义是：源工具的效应与目标工具的前置条件若存在红队接受的配对，就连一条有向边。R 由红队对效应–前置条件对逐对判定。
• 规模与语义：实现为 914 个节点、29,367 条边（Figure 2，Appendix A.2）。边只表示支持依赖，不保证可执行。同一依赖在良性请求下既可以是协作，也可以暴露信息；路径本身不决定安全与否。

配方采样与实例化

• 反向随机游走：对目标伤害 h，从 Ht 含 h 的工具出发，沿入边回溯，直到预定义的最大路径长度，再反转得到工具路径。配方是该路径加上 h（Section 3.2；游走引用 Lovász, 1993）。论文未给出该最大长度的数值。
• 实例化：红队从因素集中选一个因素，生成良性请求与初始状态，使该因素能让采样到的跨服务交互产生目标伤害。
• 配额：每轮 50 个候选场景。多样化与修正各最多占 25%，其余为随机采样（Appendix A.2）。场景实例化与用户提示生成不直接用评审反馈优化（Section 3.3）。

执行反馈

• 成功路径：把对伤害结果不关键的工具换成图上相邻节点，保留致害步骤和所选因素，以便在不同服务组合上检查同一脆弱点。Figure 2 将其写成用相邻服务替换一个良性服务。
• 受阻路径：在受阻步骤找出未满足的前置条件，更新该工具的前置条件及相应边，并重建该步之前的步骤，再与原后缀拼接。
• 后续用户轮：沿用 STAC 的做法，按目标响应和工具输出改写后续用户提示，直到出现伤害或达到轮次上限（Appendix A.2）。论文未写明该上限。

成功判定

• 三条件：Claude Opus 5 与 GPT-5.6 Sol 独立检查完整用户请求序列、工具轨迹和记录的环境状态。二者都须接受：出现实质性伤害、诱发条件合理、每条已送达请求仍属良性。智能体自己的声明不能据此认定动作安全或已获授权（Appendix A.5）。
• 汇总：只有两名评审都接受，场景才计入 HPR。缺失的执行或评审不计为有害。三种方法使用同一套已记录执行和同一判定协议。

实验设置

• 环境：ToolSimulator 模拟 30 个服务、914 个工具；同服务工具共享底层数据。Claude Opus 4.8 按服务历史与初始状态生成工具响应。检索到的网页内容存在模拟环境中（Appendix A.3、Table 4）。
• 模型角色：红队、以及两基线的生成和内部搜索，都用 Claude Opus 4.8。目标为 GPT-5.6 Sol、GLM-5.2、DeepSeek-V4-Pro、Claude Opus 4.8。评审为 Claude Opus 5 与 GPT-5.6 Sol。因此 Claude Opus 4.8 同时是红队、环境响应生成者和一个目标；GPT-5.6 Sol 同时是一个目标与一名评审。
• 规模与指标：每方法、每目标 N=250 个候选场景，每配置一轮（Section 4.1）。X-AgentRed 每轮 50 个、共五轮，后轮依赖先前反馈。HPR 是产生经确认伤害的候选占比。工具覆盖是 914 个工具中至少使用一次的百分比，DeepSeek-V4-Pro 一行的分母也同样是 914。
• 基线协议：STAC 四目标共用同一有序的 250 场景语料，端到端执行，最多三次自适应后续用户轮；这与 STAC 原文的 precursor-replay 不同。TRACE 的任务源指定 source–sink 工具对，声明路径按构造含两个工具，模板搜索之后不加后续用户轮（Appendix A.4、B.3）。论文写明该比较没有拉平生成开销或对目标模型的调用次数。
• 接口约束：DeepSeek-V4-Pro 最多接受 256 个工具。每个场景放入该场景所需工具，其余按固定顺序填满（Appendix A.3）。
• 判定：主结果要求两名评审一致。论文写明每个配置一轮，未报告多种子重复。

主结果

据 Table 2（HPR 与工具覆盖均为 %；每目标 250 个候选；双评审一致）：

目标	HPR Ours / STAC / TRACE	覆盖 Ours / STAC / TRACE
Claude Opus 4.8	7.6 / 6.0 / 0.4	37.1 / 15.1 / 19.4
GPT-5.6 Sol	19.6 / 14.0 / 2.4	47.6 / 14.0 / 23.3
DeepSeek-V4-Pro	18.0 / 9.6 / 2.0	37.4 / 12.4 / 17.5
GLM-5.2	31.6 / 12.4 / 6.0	43.8 / 14.2 / 34.6
四目标平均	19.2 / 10.5 / 2.7	41.5 / 13.9 / 23.7

• 作者解读：作者称在四个目标上平均，HPR 为 STAC 的 1.77 倍、TRACE 的 10.36 倍；相对 STAC 的最大相对增益在 GLM-5.2，其次是 DeepSeek-V4-Pro。Table 2 中，每个目标上 Ours 的 HPR 都高于两基线。
• 覆盖与例外：作者称平均工具覆盖为 STAC 的 2.99 倍、TRACE 的 1.84 倍；每目标覆盖 37.1%–47.6%，即 STAC 的 2.5–3.4 倍（Section 4.4）。同时，TRACE 的工具覆盖在每个目标上都高于 STAC，但 HPR 都更低（Table 2）。
• 累计：Figure 3 把四目标的场景数与成功数相加。作者称在每个已测预算上，成功数都多于两基线；合计为 X-AgentRed 192、STAC 105、TRACE 27。

自我改进

• 测了什么：Figure 5 比较配方多样化（Aug）、对先前未产生伤害的路径做前置条件修正（Refine）、以及随机采样。随机采样含初始轮；Figure 5 跨目标汇总。32.8% 这一贡献是先在各目标内计算再平均（Appendix B.1）。
• 结果：Aug 的 HPR 为 27.7%，随机采样为 18.0%；Refine 在先前失败的路径上为 15.5%。两种策略合计占确认有害结果的 32.8%。
• 作者解读：作者称处理未满足的前置条件可以发现额外伤害结果。附录 C 用案例说明替换与修正，此处不复述场景原文。

路径广度与长度

• 广度：每回合平均不同工具数与服务数，X-AgentRed 为 13.1 与 5.0，STAC 为 4.6 与 2.7，TRACE 为 2.0 与 1.9（Figure 6）。最常用十个工具占使用的 24.3%、43.2%、48.9%（Figure 4(b)，每回合每个工具至多计一次）。TRACE 的工具与服务统计描述的是声明路径，调用数描述的是执行（Appendix A.6）。
• 长度：已执行工具调用平均 23.2、7.8、3.3 次（Figure 6）。作者称在四个目标上平均，为 STAC 的 2.92 倍、TRACE 的 7.53 倍，且含自适应后续交互。TRACE 的调用数不含模板搜索中的重复执行。作者称失败回合也会增加后续轮，因此执行长度同时反映工作流与适应策略。
• 例外：作者称更长的计划路径并不稳定带来更多伤害结果；更长路径可能把更多中间动作暴露给安全检查，从而增加被发现或干预的机会（Section 4.4）。成功路径的工具集合重叠在各方法上都低，且并不一律更有利于 X-AgentRed。Figure 4(d) 对三种方法都只平均 GPT-5.6 Sol、GLM-5.2 与 DeepSeek-V4-Pro，因为 TRACE 在 Claude 上只有一个有害场景，成对相似度无定义。

成本与评审敏感性

• 生成调用：Table 3 计入准备、生成与校验，含重试和内部搜索；不含对目标执行、模拟评测轨迹、适应后续用户提示或评审结果。每候选场景：X-AgentRed 22.10、STAC 55.00、TRACE 103.24。共享准备只计一次，再除以四目标共 1000 个候选（Appendix B.4）。
• 评审：Table 9 中，Claude Opus 5 在四个目标中的三个高于 GPT-5.6 Sol，在 Claude 目标上顺序相反（16.4% 与 19.6%）。接受任一评审相对要求一致，HPR 高 15.2–30.4 个百分点。作者称这衡量的是敏感性，不是评审准确率。AND 一列与 Table 2 的 Ours 相同。
• 开场轮：Table 6 的开场轮证据来自完整轨迹判定，不是对开场前缀的独立评估。四目标合计为 1.1%，完整轨迹为 19.2%。作者称这不能分离自适应提示的效应。

其他消融与分析

• 分轮 HPR（Table 5，每轮 50 场景；后轮依赖反馈，不是独立试验）：GLM-5.2 的 Cycle 2 为 44.0%；Claude Opus 4.8 的 Cycle 1 为 10.0%，Cycle 2 与 Cycle 5 为 6.0%。
• 开场轮证据占比：GPT-5.6 Sol 0.8% 对完整轨迹 19.6%，GLM-5.2 为 1.6% 对 31.6%，DeepSeek-V4-Pro 为 0.8% 对 18.0%，Claude Opus 4.8 为 1.2% 对 7.6%（Table 6）。
• 成功配方的中位计划长度为 8–9 步，最大 12；192 次成功按目标计数含 190 条不同计划路径，终端工具有变化。重复计划路径占全部候选的 2.0%–2.8%（Section 4.4、Table 7）。
• 目标内唯一序列数合计：X-AgentRed 998，STAC 866。成功的 X-AgentRed 轨迹，工具集 Jaccard 相似度中位数按目标为 0.000–0.065。作者称这些是结构多样性，不是不同的因果失败机制。
• 作者称计划工具与执行重叠更高时伤害率也更高，但未建立配方条件的因果效应（Figure 7 正文）。Figure 8(b) 按计划长度汇总 HPR；正文未逐箱列出数字，只称长度本身不能稳定预测伤害。
• Figure 9：X-AgentRed 覆盖全部 10 类伤害；伤害类别可重叠，因素互斥。两评审确认伤害但未共享类别的场景为 X-AgentRed 11、STAC 6、TRACE 1，仍留在分母中。作者称手工检查全部 192 条有害轨迹，这些案例中未见 reward hacking（Section 3.3）。

作者指出的局限与后续方向

• 图维护成本：Limitations 写明，服务演化时维护 HarmFlow 会带来额外计算成本，因为新工具或被修改的工具需要更新表示，并重新评估受影响的依赖。论文未在 Limitations、Discussion、Conclusion 或 Future Work 中写出其他局限或后续实验。

实验覆盖范围

• 目标与轮次：四个目标智能体各 250 个候选场景，每个配置一轮（Section 4、4.1）。论文未报告多种子重复，也未报告 X-AgentRed 后续用户轮的具体上限。
• 角色与环境：红队生成、工具响应生成和两基线的生成均使用 Claude Opus 4.8。环境为 ToolSimulator 中的 30 个服务、914 个工具；DeepSeek-V4-Pro 每个场景最多 256 个工具（Appendix A.3、Table 4）。
• 对照协议：基线为 STAC 与 TRACE。STAC 四目标共用同一 250 场景语料，主结果为端到端执行，而不是 STAC 原文的 precursor-replay。比较未拉平生成开销或对目标模型的调用（Appendix A.4）。
• 判定：主 HPR 要求 Claude Opus 5 与 GPT-5.6 Sol 一致。Appendix B.5 另报单评审与 OR/AND；作者称这些比较衡量敏感性，而不是评审准确率。
• 成本口径：Table 3 的生成调用不含对目标执行场景、模拟评测轨迹、适应后续用户提示或评审结果（Appendix B.4）。论文报告了对 192 条有害轨迹的手工检查。

X-AgentRed 在多服务生态里对个人智能体做红队，用来发现良性请求经由工具依赖累积后出现的未授权伤害。

• 缺口：作者称，让 LLM 直接提出工具链或拆解有害目标，即使用执行反馈，仍可能偏向训练里熟悉的组合。
• 做法：Claude Opus 4.8 读取工具描述，把“效应能否满足前置条件”收成 HarmFlow（914 个节点、29,367 条边），从与目标伤害相连的工具反向采样，再生成仍可安全完成的良性请求。成功则替换非关键工具并保留致害步骤；受阻则更新该步前置条件并重建前缀。Claude Opus 5 与 GPT-5.6 Sol 必须同时确认伤害、诱发条件与请求仍属良性。
• 主结果：ToolSimulator 含 30 个服务、914 个工具。四个目标各 250 个场景、一轮。Table 2 平均 HPR 为 19.2%，STAC 为 10.5%，TRACE 为 2.7%；平均工具覆盖为 41.5%、13.9%、23.7%。作者称在四个目标上平均，HPR 为 STAC 的 1.77 倍、TRACE 的 10.36 倍，工具覆盖为 2.99 倍与 1.84 倍。GLM-5.2 的 HPR 为 31.6%，Claude Opus 4.8 为 7.6%。每个目标上 Ours 的 HPR 与工具覆盖都高于两基线。
• 其他测量：已执行调用平均 23.2 次；作者称在四个目标上平均，为 STAC 的 2.92 倍、TRACE 的 7.53 倍，且含自适应后续轮。多样化的 HPR 为 27.7%，随机采样为 18.0%，先前失败路径上的修正为 15.5%（Figure 5）。作者称计划更长并不稳定对应更高 HPR。生成调用每场景 22.10 次，STAC 为 55.00，TRACE 为 103.24，不含目标执行与评审（Table 3）。
• 作者结论：作者称，把显式依赖结构与反馈驱动的扩展、修正结合起来，有助于发现跨服务出现的有害行为。Limitations 同时写明，服务变化后要更新工具表示并重估依赖，图维护有额外计算成本。