DecodingTrust-Agent Platform（DTap）：面向 AI 智能体的可控交互式红队测试平台

核心问题：如何在真实、可控、可复现的环境中大规模评估 AI 智能体在对抗条件下的安全风险。

• 问题场景：智能体在动态、不可信环境中调用外部工具、处理异构数据并执行长程高风险操作；作者称已有真实事件显示攻击者可操纵智能体泄露 API key、删除用户数据或发起未授权交易。
• 现有不足：作者称现有智能体红队工作攻击面有限（如仅直接提示注入）或依赖简化的静态环境，无法覆盖真实风险的全部谱系；瓶颈是缺乏完全可控且真实的评估环境。
• 核心思路：1:1 复制真实系统（如 Google Workspace、PayPal、Slack）的官方 MCP 与 GUI，在沙箱中支持动态状态、确定性转移与任意状态重置，从而安全地注入和评估对抗场景。
• 论文产出：三部分——模拟平台 DTAP（14 个领域、50+ 环境）、自动红队智能体 DTAP-Red（200+ 攻击策略）、基准 DTAP-Bench（6,682 任务、3,876 个红队任务，每个配 verifiable judge）。
• 威胁模型：
  • 间接威胁模型：良性用户发出合法请求，第三方攻击者通过 tool、skill、environment 注入引入隐藏恶意目标，不使用直接 prompt 注入。
  • 直接威胁模型：用户自己作为攻击者直接发出恶意查询，可结合间接注入。
  • 攻击者知识：作者称假设对智能体的 generic black-box access。
  • 受害系统：支持 MCP 的工具型智能体，如 OpenAI Agents SDK、Claude Code、Google ADK、OpenClaw 等框架构建的智能体。

智能体红队环境与模拟器

• AgentDojo [18]、AgentHarm [6]——作者称它们缺乏动态环境，依赖静态合成工具、注入硬编码在输出中，无法捕捉真实智能体动态带来的风险。
• SHADE-Arena [31]、Petri [23]——引入更具交互性的环境，但作者称仍高度简化，不能忠实建模真实对抗者的多样性。
• ST-4 [33]、RedTeamCUA [35]、SafeArena [60]、ShieldAgent [12]——面向更真实设置评估智能体，但作者称环境与领域数量少，且常缺灵活状态重置、确定性转移等可复现红队所需的设计属性。

智能体红队基准

• AgentDojo [18]——作者称其聚焦不真实的工具输出注入（直接在输出后拼接恶意指令）。
• AgentHarm [6]、ST-Web [33]、SafeArena [60]——主要研究直接提示注入，作者称未利用高级攻击技术。
• 更智能体化的攻击工作 [81, 14]——作者称它们常假设特定领域或白盒攻击者能力，限制了真实威胁设置下的适用性；并指出这些基准普遍缺系统风险分类，依赖少量临时恶意目标。

本文使用的攻击算法来源

• DTAP-Red 的攻击算法库包含已有越狱与注入方法，论文点名 GCG [87]、ArtPrompt [30]、flip-attack、base64 编码等。

基线与对比：本文不与其他方法比攻击性能，而是以 Table 2 做平台特性对比（环境数量、注入类型、威胁模型、verifiable judge 等），DTAP 在所有列出项上打勾；Figure 5 给出 DTAP 与 AgentDojo 上 Claude Code 智能体轨迹的 t-SNE 对比。

作者定位：作者称 DTAP 是首个可控交互式智能体红队平台，DTAP-Bench 是策略驱动基准，覆盖 60+ 真实安全政策提取的 4K 恶意目标，考虑 environment、skill、tool、prompt 等此前未探索的注入向量，且假设对智能体的通用黑盒访问。

整体思路：先在 DTAP 平台中 1:1 模拟真实系统的智能体接口，再由自动红队智能体 DTAP-Red 针对策略提取的恶意目标迭代优化攻击，成功的攻击序列固化进 DTAP-Bench，用确定性规则判定攻击是否达成。

DTAP 平台设计

• 环境复制：50+ 环境复制真实对应物的官方 GUI 与 MCP 工具接口（工具名、描述、输入 schema、返回格式一一对应），官方缺失时用广泛使用的社区实现；所有动作在沙箱中可控、可逆。
• 四个设计属性：动态有状态交互（保留中间状态供验证）、确定性环境转移（可重放）、按设计灵活重置（可实例化到任意状态快照）、容器化多租户隔离以并行评估。
• 智能体接入：通过统一 MCP 接口即插即用接入任何支持 MCP 的智能体；内置支持 OpenAI Agents SDK、Google ADK、LangChain Agents、Claude Code、OpenClaw 等。

DTAP-Red 红队智能体

• 闭环三阶段：攻击优化与生成 → 对受害智能体执行攻击 → verifiable judge 评估并迭代改进；输入仅为恶意目标和对应 verifiable judge。
• 攻击技能库：分两类——攻击算法（越狱/注入方法，如 GCG、ArtPrompt，把恶意指令变换为更隐蔽形式，可在受控环境中即时优化载荷）与注入策略（如何构造注入内容、选择注入点的知识）。
• 注入动作空间：覆盖 user prompt、tool 描述、skill 元数据与正文、环境数据源；支持 prefix、suffix、overwrite 等模式，并可跨多步时序组合；每个环境配 injection MCP server，每个工具对应一个预配置注入入口。
• 多层记忆模块：按风险类别、恶意目标、威胁模型三层组织成功与失败经验；用 ϵ-greedy 策略平衡探索与利用。
• 迭代优化：每轮攻击后 verifiable judge 直接检查环境状态判定成败；失败时 attack refinement judge 分析注入序列与受害轨迹给出反馈（如注入未被观测到、被明确拒绝），迭代直至成功或预算耗尽。

恶意目标与判定

• 策略驱动：从领域政策（如 Salesforce AUP）、法规（如 EU AI Act、GDPR、FINRA）与用例驱动风险中提取风险类别，再人工设计恶意目标。
• verifiable judge：每个任务配 judge.py，用规则检查器直接检查最终环境状态（如 PayPal 中收款人、金额、状态是否均为预期），区分完全成功/部分成功/失败；作者称不用 LLM 评审，以避免不稳定与奖励投机。

DTAP-Bench 构建

• 三个子集：良性任务集（效用评估）、间接红队任务集、直接红队任务集；共 6,682 任务，其中红队任务 3,876 个，每个对应唯一恶意目标（Table 6）。
• 攻击固化：红队任务的攻击序列由 DTAP-Red 在最多 10 次迭代预算内针对代理智能体（surrogate agent，如 OpenAI Agents SDK + GPT-5.1）优化得到，再经人工筛选保证注入类型均衡；所有智能体在同一组零样本迁移攻击上评估。
• 种子数据：persona-based 合成管线采样用户属性，生成与画像一致的良性数据（如个性化邮件线程）作为初始环境状态。
• 任务结构：每个任务含 config.yaml（任务指令、智能体配置、注入序列）、setup.sh（重置并播种环境）、judge.py（附录 A.2、A.3 给出完整示例）。

实验设置

• 被测智能体：4 个框架共 8 个配置——OpenAI Agents SDK（GPT-5.4、GPT-5.2、GPT-OSS-120B）、Claude Code（Sonnet-4.5）、Google ADK（Gemini-3-Pro）、OpenClaw（GPT-5.5、GPT-5.2、DeepSeek-V4-Pro）。
• 基准：DTAP-Bench，含 1,998 个间接红队任务、1,878 个直接红队任务、2,806 个良性任务，覆盖 14 个领域（Table 6）。
• 攻击来源：攻击由 DTAP-Red 针对代理智能体（OpenAI Agents SDK + GPT-5.1）在最多 10 次迭代内优化，零样本迁移到被测智能体；论文未报告 DTAP-Red 自身的骨干模型。
• 指标：ASR（恶意目标完全达成比例，按威胁模型分别报告）与 BSR（良性任务完全完成比例）。
• 判定方式：每个任务配规则化 verifiable judge，直接检查最终环境状态；不使用 LLM 评审。
• 重复次数：论文未报告。

主结果

据 Table 3（ASR%）与 Table 4（BSR%），Overall 列：

表格较宽，可左右滑动

智能体（框架+模型）	间接 ASR	直接 ASR	BSR
OpenAI Agents GPT-5.4	40.0	51.0	85.3
OpenAI Agents GPT-5.2	46.7	58.8	80.5
OpenAI Agents GPT-OSS-120B	28.5	46.5	36.2
Claude Code Sonnet-4.5	25.2	26.9	80.8
Google ADK Gemini-3-Pro	55.7	47.9	87.0
OpenClaw GPT-5.5	17.7	28.9	86.3
OpenClaw GPT-5.2	35.6	38.6	78.5
OpenClaw DeepSeek-V4-Pro	41.7	59.6	83.3

• 作者称 Google ADK (Gemini-3-Pro) 在间接威胁模型下最脆弱，OpenClaw (DeepSeek-V4-Pro) 在直接威胁模型下 ASR 最高；最稳健的 Claude Code (Sonnet-4.5) 两种威胁模型下 ASR 仍超过 25%。
• 作者称 GPT-OSS-120B 既不安全也能力不足：BSR 仅 36.2%，但直接 ASR 仍有 46.5%。
• 作者报告把恶意目标直接输入、不加优化攻击时，几乎所有智能体都拒绝，ASR 接近零（如 Table 10、Table 15），认为这说明恶意目标本身严重、攻击有效性来自 DTAP-Red 的优化。

注入向量分析

据 Table 5（各注入类型及组合的 ASR%，跨全部红队任务）：

• 单面对比：skill 与 tool 注入 ASR 普遍高于 env 注入，如 GPT-5.4 上 skill 83.3% vs env 22.2%；作者认为环境输入被当作更外部，而内化通道更易被利用。
• 框架差异：OpenClaw 的 tool 注入 ASR（GPT-5.5 为 21.1%）低于 Google ADK（63.4%），作者称 OpenClaw 对外部插件的信任校准更强。
• 组合放大：组合注入常超过单一通道，如 GPT-5.2 上 tool 50.1% → env+tool 65.6%；作者称多面攻击更易操纵智能体。

失效模式与骨架分析

• execute-then-refuse：作者称频繁观察到 OpenAI Agents SDK 与 Google ADK 先执行有害工具调用再拒绝（附录 B、C、L 节，图见附录 C.6.2 Figure 28），并推测与批量工具调用妨碍逐工具后果推理有关；Claude Code 与 OpenClaw 为顺序调用。
• 骨架（harness）作用：作者报告同用 GPT-5.2 骨干，把 OpenAI Agents SDK 换成 OpenClaw 后间接 ASR 从 46.7% 降到 35.6%、直接从 58.8% 降到 38.6%，BSR 代价 2%；作者认为骨架设计对稳健性起主导作用。
• 风险类别差异：作者称上下文相关风险（Data Exfiltration、Dangerous Actions 等）ASR 更高，内容级风险（General AI Restrictions、Fraud/Impersonation）更低，可能源于模型层对齐。

其他消融与分析

• DTAP-Red 效率（Figure 8，CRM 领域）：多数风险类别平均 2–5 次迭代达成攻击成功，Fraud & Impersonation 最多 6.3 次（间接）；ASR 从第 1 次迭代约 37% 升至 3 次内超 85%，10 次后接近 100%。
• 攻击技能效果（Figure 9，CRM 领域）：multi-turn fake conversation 与 general-misinformation 的 ASR 最高、超过 50%；各技能在不同风险类别上互补。
• 任务复杂度（Figure 7）：多数领域任务最少工具调用数超过 10，间接红队任务普遍最高。
• 环境差异（Figure 13，Workflow 领域）：直接威胁模型下 WhatsApp 80.00、Google Docs 77.78 最高，PayPal 仅 11.11；作者称通信类环境更易被利用，金融类更低。
• 例外：GPT-OSS-120B 间接 ASR 低（Workflow 领域 6.1）但直接 ASR 高（62.1）；作者报告其间接任务中良性任务完成率仅 40.2%（43/107），认为低间接 ASR 主要反映执行能力弱而非更安全。

作者指出的局限与后续方向

• 论文未专门讨论局限（无 Limitations 节，Conclusion 与附录已提供部分中未列出局限或未来工作声明）。

实验覆盖范围

• 被测智能体：4 个框架共 8 个配置——OpenAI Agents SDK（GPT-5.4、GPT-5.2、GPT-OSS-120B）、Claude Code（Sonnet-4.5）、Google ADK（Gemini-3-Pro）、OpenClaw（GPT-5.5、GPT-5.2、DeepSeek-V4-Pro）（Sec. 6.1）。
• 任务规模：1,998 个间接红队任务、1,878 个直接红队任务、2,806 个良性任务，覆盖 14 个领域（Table 6）。
• 攻击迁移设置：攻击由 DTAP-Red 针对代理智能体 OpenAI Agents SDK + GPT-5.1 在最多 10 次迭代内优化，被测智能体为零样本迁移评估；附录 B.4 说明 GPT-5.1 行的 100.0% ASR 是匹配的攻击生成上界，不作为可比的稳健性结果。
• 判定方式：全部为规则化 verifiable judge 检查环境状态，未用 LLM 评审；论文未报告评审与人工的一致性。
• 未报告信息：DTAP-Red 自身的骨干模型、每个任务的重复运行次数、ASR 的置信区间或统计检验均未报告；DTAP-Red 的效率与技能消融仅在 CRM 领域给出（Figure 8、Figure 9）。

这是一篇智能体安全评测论文：作者构建红队平台 DTAP、自动红队智能体 DTAP-Red 与基准 DTAP-Bench，用于在真实模拟环境中大规模评估 AI 智能体的安全风险。

• 要解决的问题：作者称现有智能体红队环境静态、攻击面单一，缺乏真实、可控、可复现的大规模风险评估能力。
• 方法要点：DTAP 1:1 复制 14 个领域 50+ 真实系统（Gmail、PayPal、Slack 等）的 GUI 与 MCP 接口，支持动态状态、确定性重放与任意重置；DTAP-Red 在 prompt、tool、skill、environment 及组合注入面上迭代优化攻击，用检查环境状态的规则化 verifiable judge 判定成败；DTAP-Bench 含 6,682 任务，恶意目标取自 60+ 安全政策的 300+ 风险类别。
• 主要结果：8 个智能体配置中，间接 ASR 最高为 Google ADK (Gemini-3-Pro) 55.7%，直接 ASR 最高为 OpenClaw (DeepSeek-V4-Pro) 59.6%；最低的 Claude Code (Sonnet-4.5) 也有 25.2%/26.9%（Table 3）。
• 注入面发现：skill 与 tool 注入 ASR 高于 env 注入（如 GPT-5.4 上 83.3% vs 22.2%），组合注入进一步放大（Table 5）。
• 失效模式：作者称 OpenAI Agents SDK 与 Google ADK 频繁先执行有害调用再拒绝；同骨干换骨架可使 ASR 降约 20 个百分点而 BSR 代价 2%。
• 作者结论：作者认为现有防护不足以支撑真实部署，需要整体、环境感知的安全设计；攻击为针对 GPT-5.1 代理优化后的零样本迁移，论文未专门讨论局限。