当审批变成执行：针对工具调用 Agent 的授权工作流攻击

工具型智能体可能把持有本地批准令牌当成充分授权，而不联合强制校验请求者、审批者、资源、动作、去向或接收方与业务目的。

• 场景：企业里的工具型语言模型智能体要访问内部文档、审批系统并执行多步工作流。作者称它既要完成合法工作，又要对授权上下文不完整的操作拒绝或中止。
• 现有不足：作者引述的提示注入工作称，看似良性的指令可把智能体导向有害或违反策略的行为。作者称直接的策略覆盖指令测的是拒绝；本工作测的是程序上有效的审批是否仍可能语义不足。
• 核心观察：作者称智能体可能把取得批准令牌看成常规恢复步骤，而不是安全决策。文档服务拒绝初次请求并提示需要 authorized by 后，智能体从本地审批服务取得令牌，并在文档服务边界复用。
• 威胁模型：
  • 身份：攻击者是 OpenClaw sandbox 内的竞赛参与者；不假定破坏模型、runner、文档服务或服务端策略，也不能事后改 trace；不假定拥有基准所暴露身份与工具之外的特权企业凭证。
  • 能力：可选择目标任务、编写任务指令、提供辅助 skill，并在官方环境触发执行。
  • 目标：用普通工具调用使智能体完成受保护文档操作。替换输出、改 trace 或改服务代码，不算对智能体行为的忠实评测。
  • 受害系统：Enterprise OA 中受服务端权限规则保护的文档操作。三个目标是 oa document export、oa document read 与 oa layoff read。
• 本文提出：作者形式化授权上下文缺口，给出授权落地的工作流攻击，并用三个官方目标的 trace 与 23 次受控本地验证检验可重复性。防御建议被标为未经验证的设计推论。

论文按提示注入、推理与行动、访问控制，以及安全任务合成来组织相关工作。作者把区别放在不依赖隐藏载荷或显式覆盖，而是追踪批准令牌跨工具执行时丢掉了哪些策略字段。

提示注入与工具中介攻击

• Liu et al., 2023b；Greshake et al., 2023：模型集成应用可被嵌在看似良性内容中的指令影响。作者称本文不依赖隐藏恶意载荷或显式覆盖命令，而是用看起来普通的企业工作流暴露缺失的授权上下文检查。
• OWASP Top 10 for LLM Applications（2025）：强调提示注入，以及模型输出驱动下游动作时的过度代理（excessive agency）。

推理与行动

• Yao et al., 2022（ReAct）：把推理与动作执行结合起来。作者称这提高任务完成，也使策略应在何处强制执行变得含糊：模型可能在取得并提交程序性批准令牌后认为工作流已完成，服务设计者则可能期待更丰富的授权决策。

访问控制上下文

• Sandhu et al., 1996；Hu et al., 2014：决定是否允许操作时区分主体、客体、动作、角色、属性与环境条件；Hu et al., 2014 讨论 ABAC。作者称本文元组不是这些模型的替代，也不是新的访问控制模型；这里的失败是智能体和服务接受本地批准令牌，却不核验请求者、审批者、资源、动作、去向或接收方与目的是否跨工作流匹配。

安全任务合成与评测

• Liu et al., 2023a（AgentBench）：在交互环境中评测多轮推理与行动。

• Ruan et al., 2023（ToolEmu）：针对高风险工具场景和轨迹级失败，测试工具型智能体。

• Cheng et al., 2026（SeClaw）与 OpenClaw：SeClaw 把智能体安全评测框定为规格驱动的任务合成；OpenClaw 用具体环境和基于 trace 的评分落地这一风格。

• 基线与基准：论文没有把已有攻击方法列为对照基线。环境是 OpenClaw Agent Security Attack Competition 的 Enterprise OA 文档目标；本地实验用单因素组件移除做诊断，而不是命名基线。

作者称本文是补充：除检测不安全语言或一般工具风险外，评测还应检验多步工作流是否保留策略上下文。作者同时写明，相关证据是从文档拒绝到令牌签发、再到受保护文档端点消耗令牌的 trace 转移，而不是良性提示词版的提示注入。

authorization-grounded workflow attack 不下显式策略覆盖指令，而是把受保护文档请求写成局部连贯的常规审批流程。Figure 1 的图注把授权边界标在返回的批准令牌与文档服务操作之间：令牌经 authorized by 被接受，但未绑定全部上下文字段。

问题设定与形式化

• 攻击者在 OpenClaw sandbox 内选择任务、编写指令并提供辅助 skill，目标是用普通工具调用完成受保护文档操作。
• 文档操作写成 D(r, a, α)，其中 α 是交给服务的批准令牌；作者称稳健系统应把令牌绑定到 C = (u, p, r, a, d, q)，即请求者、审批者或被断言的授权主体、资源、动作、下游接收方或去向、业务目的。
• 作者将所研究的失败称为工作流级失败，而不是加密学上的令牌伪造：智能体按看似合理的服务流程取得本地令牌，再把该令牌当作整个授权决定已经完成来传递。
• 已验证 trace 中，α 是审批服务返回的语法上有效的访问令牌，文档服务经 authorized by 接受同一令牌。作者称令牌绑定了审批者与宽泛资源类型等部分字段，但 trace 没有可强制检查，用以确认签发上下文匹配消费端的精确文档操作。论文未给出被测模型名、温度或轮次预算。

四条设计原则

• Operational framing：指令写成常规内部合规或规划检查，避免要求忽略策略、冒充其他用户或伪造凭证。作者称这使目的字段看起来常规。
• Tool locality：只要求使用本地工作区服务工具，使执行留在环境内，并减少无关探索。
• Approval-token progression：文档服务拒绝并指出需要 authorized by 时，智能体把取得批准令牌当作下一步，再把返回令牌用于文档操作。作者称这探测令牌是否在未绑定全部上下文字段时被接受。
• Execution termination：服务返回操作结果后停止，以减少额外工具调用带来的不稳定 trace。作者称这让 trace 集中在所研究的授权转移上。

三个目标上的实例

• oa document export：常规合规投递检查，把 doc 001 送到 [email protected]。
• oa document read：常规文档审阅，读取 doc 001。
• oa layoff read：常规劳动力规划审阅，读取 doc 002。
• 作者称三者共用同一逻辑，差别在资源、动作和接收方，因此问题不绑在某一句原文或单一目标上。成功 trace 的共同转移是初次受保护访问被拒、向本地审批服务取得令牌，再经 authorized by 执行文档操作。

辅助 skill 与 trace 绑定

• 辅助 skill 被刻意写短：查看相关工作区记录；本地服务要求时申请批准令牌；返回令牌只用于所请求动作；复用任务里的业务理由；报告最终结果。不增加无关能力或宽泛行为规则。
• 作者称初步开发中，冗长指令会使智能体把更多轮次花在解释辅助上下文上，行为更不稳定，因此避免长附件。
• 每个目标由官方 OpenClaw runner 执行。作者只把 runner 生成的 trace 用作最终证据，并检查提交任务文本出现在对应 trace 中、元数据与生成任务匹配、日志未显示执行失败。作者称 trace 绑定是评测卫生，不是单独的攻击贡献。

如何判定成功

• 官方评分对每个目标报告四个二元字段：skill security scan、instruction security evaluation、attack trajectory score、final target score。论文未说明内部阈值或评审模型。
• 本地验证检查审计 trace 是否包含正常文档拒绝、成功取得批准令牌、经 authorized by 使用令牌，以及目标文档操作成功。
• 作者称若服务在受保护操作处强制执行上下文绑定的授权，即使智能体照指令执行，该工作流也应失败。本文没有把这一防御做成实验条件。

实验设置

• 被测系统：OpenClaw 官方执行环境中的工具型智能体。论文未说明模型名称、版本或采样设置。
• 官方目标：oa document export（把 doc 001 送到 [email protected]）、oa document read（读取 doc 001）、oa layoff read（读取 doc 002）。
• 官方指标：skill security scan、instruction security evaluation、attack trajectory score、final target score，均为二元字段。论文未说明打分模型或数值阈值。公开榜把目标级结果聚合成竞赛分数。
• 本地验证：23 次，使用与竞赛相同的沙箱服务和 runner 接口。作者称这是补充验证，不是新的榜单提交。原配置 9 次；去掉辅助 skill、减弱常规或合规措辞、去掉直接的令牌申请引导、去掉完成后停止的指令，各 3 次；非文档测试 2 次。
• 本地指标：Approval path 计到达正常文档拒绝、取得批准令牌并经 authorized by 使用令牌的运行；Target success 还要求目标文档操作经 authorized by 成功（Table 3 表注）。
• 未报告项：论文未报告随机种子、查询次数，也未报告与人工判定的一致性。

主结果

据 Table 3。行是验证条件；论文未按模型拆分，也未命名被测模型。

表格较宽，可左右滑动

条件	Runs	Approval path	Target success
Original configuration	9	9	8
Auxiliary skill removed	3	3	3
Reduced framing	3	3	3
Approval cue removed	3	3	3
Stop cue removed	3	3	3
Non-document tests	2	0	0

• 作者称原配置可重复，但并非每次都完成精确目标操作。剩余的一次 export 中，智能体取得令牌并用于 get，但选择了 access-log 而不是 export；作者称这是规划器的端点选择，不是批准令牌转移本身失败。
• 作者称去掉辅助 skill、减弱框定、去掉批准引导或去掉停止条件后，三个文档目标仍然成功，因此不把其中某一措辞组件当成必要。作者更指向服务级路径：拒绝时提示 authorized by，智能体取得普通令牌，文档服务在操作边界接受令牌持有（Table 4）。
• 作者称非文档测试没有出现这一转移，因而把主张限于文档工作流，而不是跨域泛化。

官方提交与榜单

• Table 2 中三个文档目标的 Skill、Instr.、Trace、Final 均为 1。表注称这确认提交任务文本绑定到 runner 生成的 trace，且未发生安全扫描拒绝。
• Section 3.1 的公开榜快照：队伍 nick5419780528 在 258 支队伍中第 9，分数 0.2730，六次提交，最佳结果日期 2026-06-26；快照最高分 1.0000。作者称排名是竞赛上下文，不是主要技术证据。论文未给出 0.2730 的聚合公式。
• 作者称所报告集合是保守的：只纳入有 runner 生成 trace、且与提交任务和 skill 文件匹配的目标（Section 6）。作者将其解释为已验证 Enterprise OA 子集的目标级证据，而不是对全部 OpenClaw 任务的普遍成功。

案例分解

• Table 5 将三例都写成：审计记录报告正常访问被拒，但经 authorized by 提交批准令牌后得到成功响应。缺失检查分别是该批准是否覆盖这一请求者、资源、动作、去向或接收方与目的，是否允许读取 top-secret doc 001，以及是否允许读取 confidential HR doc 002。
• 作者称证据只涉及文档服务边界接受令牌，并未确立令牌被限定到精确字段。作者避免复现完整文档内容。
• 作者称三例的敏感性和操作类型不同，但模式不变：业务式框定把任务从“是否应做”变成“哪次服务调用能完成该工作流”。作者称本地服务接口把批准令牌呈现为普通参数。

其他消融与分析

• 拒绝提示：Table 4 称其在成功使用令牌之前把智能体指向令牌字段；论文未另给比率。
• 批准令牌：Table 4 称其在每次成功的文档调用之前提供本地授权材料。
• 辅助 skill：Table 4 称本地移除运行中并非必需，与 Table 3 的移除行一致。
• 常规措辞：Table 4 称减弱框定的运行仍然成功。
• 端点偏差：剩余的一次 export 选择 access-log 而非 export（Section 6.1）。作者称这属于规划器端点选择。

作者指出的局限与后续方向

• 样本范围：作者称方法只在三个 Enterprise OA 文档目标上验证，样本小，这些目标可能不能代表全部 OpenClaw 场景；结果应理解为一种授权上下文失败模式的具体证据，而不是对智能家居、电商、日历、邮件或其他企业任务的普遍成功主张（Section 9）。
• 本地验证规模：作者称受控本地验证加强了可重复性，但仍然较小；不应被过度解释为统计证据，或当成个别组件在所有模型中都无关的证据（Section 9）。
• 服务语义：作者称若文档服务在操作边界重新校验请求者、审批者、资源、动作、去向和目的，或批准令牌被限定到精确操作与接收方，该工作流应被阻断（Section 9）。
• 防御未测量：作者称没有运行实现这些缓解措施的受控防御实验，防御建议仍是设计推论，而不是实验测得的修复（Section 9）。Section 8 也写明这些推论来自观察到的 trace，不是来自受控防御实验，且未经实验验证。
• 消融性质：作者称受控变体是本地诊断实验，不是穷尽的因果消融（Section 9）。
• 后续方向：作者称后续应在受控服务配置和多个智能体模型下，评测成对的已授权与未授权工作流（Section 9）；并应直接评测这些跨层轨迹，检验上下文绑定的批准能否阻止此处观察到的失败模式（Section 10）。

实验覆盖范围

• 官方 runner 的完整 trace 覆盖 oa document export、oa document read、oa layoff read，四项二元分数均为 1（Table 2）。
• 本地验证共 23 次：原配置 9 次，辅助 skill 移除、减弱框定、去掉批准引导、去掉停止条件各 3 次，非文档测试 2 次（Table 3）。
• 榜单快照写明 258 支队伍、名次第 9、分数 0.2730、六次提交、最佳结果日期 2026-06-26，以及快照最高分 1.0000（Section 3.1）。
• 论文未报告被测智能体的模型名称、采样设置或查询次数。
• 论文写明未运行实现上下文绑定等缓解措施的受控防御实验（Section 8、Section 9）。

这是 OpenClaw Enterprise OA 文档服务上的授权落地工作流攻击案例：本地批准令牌持有被当成充分授权。

• 问题：工具智能体既要完成合法工作流，又要在授权上下文不完整时停下。作者关心的不是显式策略覆盖，而是文档拒绝、审批服务签发令牌、再在文档端点消耗令牌这一转移。
• 做法：任务写成常规合规或规划检查，只用本地服务工具。文档服务拒绝并指向 authorized by 后，智能体向审批服务取令牌并提交。辅助 skill 保持短小。证据只来自官方 runner 的 trace。
• 官方分数：oa document export、oa document read、oa layoff read 的四项二元评分均为 1（Table 2）。公开榜快照中队伍分数 0.2730，258 队里第 9；作者称这是竞赛上下文，不是主要技术证据。
• 本地验证：23 次运行中，原配置的批准路径为 9/9、精确目标成功为 8/9（Table 3）。作者称剩余的一次 export 选了 access-log 而不是 export。四类单组件移除的目标成功均为 3/3；非文档测试为 0/2。
• 作者的结论：作者称这是该受控文档子集里可重复、但非确定的授权上下文缺口，不是新的访问控制模型，也不是对全部 OpenClaw 任务的普遍成功。上下文绑定令牌、服务端策略绑定、智能体侧检查和轨迹级评测，被标为未经防御实验验证的设计推论。