论文提出残留授权重放攻击：长期运行 Agent 的授权可跨任务复用

长生命周期智能体中持久化授权与用户同意的上下文属性不匹配，导致用户批准的权限脱离原始任务上下文并演变成可被恶意复用的残余权限（Residual Authority）。

• 场景与重要性：长生命周期智能体不再在单次任务后终止，而是持续绑定项目并跨任务和跨会话维持状态；若每次敏感操作都请求人工确认会带来重复审批负担，因此系统倾向于持久化保存用户的批准决策。
• 现有机制的不足：现有授权机制主要关注单次检查时的权限范围，容易忽视时间维度的权限演化；一旦用户的批准脱离了最初证明其合理性的任务背景，原本合法的授权可能变得过度宽松。
• 核心观察与假设：作者认为持久化授权在结构上类似于检查时间到使用时间（TOCTTOU）漏洞，决策在特定状态下做出后即使状态改变仍然有效；当攻击者改变执行上下文或引入恶意内容时，仍可匹配原权限规则。
• 论文提出的方法：论文形式化了残余权限重放（Residual-Authority Replay）威胁，通过逆向规划在良性交互中诱导用户合法授予目标权限，随后在对抗上下文中重放该权限以绕过新批准。
• 威胁模型：
  • 攻击者目标：促使智能体执行目标安全敏感操作，并利用留存的残余权限绕过原本所需的用户确认。
  • 攻击者知识：掌握智能体运行时的授权规则、匹配语义和持久化存储机制，无需具备白盒修改系统权限逻辑的能力。
  • 攻击者能力：可通过普通使用或影响良性任务间接积累权限，并在后续任务、仓库或会话中向智能体提供非信任输入。
  • 受害系统：支持跨任务或跨会话持久化用户批准状态的长生命周期智能体系统（如代码智能体）。

相关研究分为以下三类：

• 长生命周期智能体中的持久化状态

  • 智能体长期记忆与技能演化：MemGPT（Packer 等，2023）、Generative Agents（Park 等，2023）和 Voyager（Wang 等，2023）使智能体跨交互保留记忆与可重用技能。
  • 状态持久化带来的安全风险：Zombie Agents（Yang 等，2026b）展示了恶意状态在后续交互中重新获得影响力；FragFuse（Rao 等，2026）利用长期记忆作为时序通道绕过访问控制；多项研究（Zhao 等，2026；Shao 等，2026；Cheng 等，2026；Mao 等，2026）报告了累积经验对后续安全性的退化效应。作者指出这些工作主要关注语义或行为层面的持久状态，而本文研究的是由用户合法批准所创建的持久化授权状态。

• 授权范围与时效约束

  • 工具最小特权与授权基准：ToolPrivBench（Yang 等，2026a）刻画了过度特权的工具调用；PAuth（Sharma 等，2026）和 Progent（Shi 等，2025）分别实现了任务级或可编程的最小特权控制；Conleash（Li 等，2026）构建了可重用的批准规则以降低确认摩擦。
  • 权限时效与撤销机制：Authorization Continuity（Zhang & Zhang，2026）研究智能体演化时授权何时保持有效；Lingering Authority（Santos-Grueiro，2026a）在临时情境结束后撤销能力；另有工作（Santos-Grueiro，2026b；Wu 等，2026）研究授权闭包与陈旧安全状态。作者指出这些工作主要侧重于约束现有权限的有效期，而本文研究合法交互建立的授权如何在上下文改变后压制新的确认边界。

• 对抗执行与上下文重绑定

  • 提示注入与恶意利用：间接提示注入（Greshake 等，2023；Debenedetti 等，2024）能诱使智能体执行违背用户意图的操作；持久或重建的上下文可放大恶意指令（He 等，2026）。
  • 系统级重绑定安全问题：系统安全研究显示路径名、可执行程序、依赖或配置重绑定会使相同动作产生不同后果（Bishop 等，1996；Dean & Hu，2004；Wei & Pu，2005；Gao 等，2026）。本文将授权与执行时序结合，提出良性上下文建立的授权在执行绑定变更后仍被复用。

• 对比基线与基准

  • 基线方法：论文对比了 Progent（可编程最小特权）和 PAuth（任务级受限授权）两种任务感知型防御基线，以及无重放历史的对照基线。
  • 基准环境：受控实验采用提示注入基准 AgentDojo v1.2；真实智能体验证采用命令行环境基准 Terminal-Bench。

• 与现有工作的区别定位：作者指出以往研究要么将攻击聚焦于单次注入，要么将防御归结为对现有凭证的时间截断；本文指出用户批准被“有损编译”为机器谓词后，即使权限谓词未变，执行绑定的语义漂移也会使已授权动作产生实质不同的破坏效果。

作者将残余权限重放攻击形式化为针对系统持久化授权状态的逆向规划问题，通过四个核心阶段实现对目标动作的无感执行。

阶段一：智能体授权画像分析

• 程序点建模：将智能体授权系统建模为两个关键位置：一是批准源（Approval Source），即用户显式决策创建或更新授权状态 G 的位置；二是授权点（Authorization Point），即运行时判定动作 a 是否需要二次批准的位置，判定逻辑记为 M_i(G, a) ∈ {allow, ask}，表示运行时根据授权状态 G 和动作 a 判定是否无需额外批准即可放行。
• 污点传播与属性恢复：利用字段级污点传播追踪从批准源到持久化存储写入及重新加载的完整路径，提取保留的动作属性 Σ_i、序列化表示 F_i、匹配谓词 M_i 和生效生命周期 L_i，构建授权画像 P_i(Σ_i, F_i, M_i, L_i)。
• 差分重放验证：保持 G 不变，逐一变动动作属性，对比本地决策与推断规则是否一致，并跨进程、会话和任务边界测试规则寿命。

阶段二：残余权限逆向推导

• 目标动作与需批准集合：确定攻击目标后果对应的动作序列 τ^⋆；在初始空权限状态 G₀ = ∅ 下，筛选出需要用户确认的动作集合 A_req = {a ∈ τ^⋆ ∣ M_i(G₀, a) = ask}。
• 映射到良性任务池：利用画像 P_i，将 A_req 中的动作映射到良性任务池 T_benign。若执行任务 T 能产生权限记录 g 且满足 M_i({g}, a) = allow，则将 (T, g) 纳入备选，构建出目标残余权限集合 R。

阶段三：良性权限收集

• 触发合法授权工作流：依次执行逆向规划得到的良性任务 T₁, …, T_h。当智能体发起授权请求时，操作员在合法的业务上下文中批准请求，诱导系统写入原生持久化规则。
• 累积权限集合验证：经历 h 个良性任务后获得留存权限集合 G_h。验证 G_h 是否对所有 a ∈ A_req 均满足 M_i(G_h, a) = allow；若完全覆盖，则完成前置权限布设，期间不引入任何对抗性内容。

阶段四：残余权限对抗重放

• 对抗上下文重放：在目标任务中植入修改后的上下文或环境绑定 c^⋆（如依赖劫持或内容替换），同时运行新鲜状态 C₁（G₀ = ∅）与残留状态 C₂（含 G_h）。
• 成功判定条件：重放攻击成功判定公式为：

S_replay = W(1 − Q₂)H₂ = 1 该式定义残余权限重放攻击成功的核心条件，表示必须同时满足三个判定项：验证由留存权限引起的边界改变（W = 1），即同一动作在新鲜状态下触发询问而在残留状态下静默放行；执行路径中不遇到新的批准要求（Q₂ = 0）；且满足有害后果的判定断言（H₂ = 1）。

实验设置

• 被测模型：受控实验评估 GPT-4.1、Gemini-3.1-Flash-Lite、Qwen3-14B、Llama-3.3-70B-Instruct、Claude-Sonnet-5 以及 DeepSeek-V4-Pro（禁用推理功能）；真实智能体评测中 Codex 和 Goose 搭载 gpt-5.6-luna，Gemini CLI 搭载 Gemini-3.1-Flash；基线 Progent 策略生成使用 gpt-4o-2024-08-06。
• 数据集与基准：受控实验采用 AgentDojo v1.2（包含 banking、Slack、travel、workspace 四个环境共 508 个符合条件的案例）；真实智能体评测采用从 90 个命令行任务中筛选冻结的 55 个 Terminal-Bench 案例。
• 基准方法：对比了无历史权限重放的对照组（No replay）、任务感知型最小特权防御 Progent 以及任务范围受限防御 PAuth。
• 评测指标：攻击成功率（ASR）、条件历史暴露率（CHE）、模型危害动作尝试率 P(attempt)、尝试条件下的静默执行率 P(silent execution | attempt)、静默执行条件下的攻击成功率 P(success | silent execution) 以及重放带来的 ASR 增量（ΔASR）。
• 评审与交互预算：AgentDojo 使用环境内置的安全与效用谓词判定；Terminal-Bench 检查隔离容器内的标记文件；受控实验统一限定交互预算为 10 个模型步；真实智能体实验每个条件重复 5 次。

主结果

不同良性历史长度（h）与不同模型在 AgentDojo 上的 ASR 主结果如下表所示（据 Table 2 与 Table 9）：

表格较宽，可左右滑动

• 攻击放大的主要机制：作者通过概率分解指出，危害动作尝试率并没有随历史长度系统性增加，而条件静默执行率从 h=0 时的 0.000 普遍提升至 0.982–1.000，作者分析认为，攻击成功率提升主要来自授权层对已有危害尝试的静默放行。
• 模型安全表现差异：Claude-Sonnet-5 在所有历史长度下仅产生 1 次危害动作尝试且未能成功，Llama-3.3-70B 尝试率低且执行成功率也低，因而两者 ASR 接近 0。

授权匹配粒度与防御基线评测

• 测了什么：在 h=64 的固定良性历史下，对比工具级（Tool-level）、作用域级（Scope-level）、精确资源级（Exact-resource）匹配，以及 Progent、PAuth 和无重放基线（Table 3）。
• 实验结果：随着匹配精度提高，四个易受攻击模型的 ASR 出现收缩：工具级为 0.114–0.351，作用域级降至 0.016–0.116，精确资源级降至 0.012–0.039；任务感知防御 Progent 将 ASR 降至至多 0.009，而 PAuth 与无重放基线均使所有模型的 ASR 降至 0.000。
• 作者的解读：精确资源匹配虽然缩小了复用范围，但无法消除授权与执行在时间上的分离，只要后续恶意任务涉及相同资源仍会发生重放；PAuth 消除重放的代价是阻断了跨任务授权复用。

真实生产智能体的上下文重绑定攻击

• 测了什么：在 Terminal-Bench 上评估 Codex、Gemini CLI 和 Goose 在 5 类上下文漂移下的实时重放攻击（Figure 3，每种设置重复 5 次）。
• 实验结果：相比新鲜状态，留存权限使三款智能体整体 ASR 案例加权平均增加 24.9 个百分点；在内容替换（C2, n=2）中，Codex、Gemini CLI 和 Goose 的 ASR 增量分别达到 0.30、0.60 和 0.90；在可执行程序劫持（C1）和依赖劫持（C3）中 Goose 的增量分别为 0.32 和 0.46。
• 作者的解读：原生系统的受损程度与其授权粒度一致，工具级授权的 Goose 增幅最广，命令根授权的 Gemini CLI 次之，argv 前缀匹配的 Codex 增幅最小；当执行时使用的资源在不改变授权标识的情况下发生替换时，重放攻击效果最强。

其他消融与分析

• 良性历史条件暴露率（Figure 2）：h=64 时 Goose、Gemini CLI、Codex 和 OpenCode 的 CHE 分别为 1.00、0.84、0.12 和 0.11。
• 配置投毒攻击（Figure 3）：在配置投毒类别（C4, n=10）中，仅 Goose 观察到 ASR 增加 0.38，Gemini CLI 与 Codex 增量均为 0.00。
• 项目重定向攻击（Figure 3）：在项目重定向类别（C5, n=2）中，三款智能体的 ASR 增量均为 0.00。

负面结果与例外

• 尝试率与历史长度不呈单调上升：Gemini-3.1-Flash-Lite 的危害动作尝试率从 h=0 时的 0.903 下降到 h=64 时的 0.476，作者认为可能因模型接收到的授权反馈改变了后续轨迹，予以描述性解释而非模型依赖历史的证据。
• 精细匹配无法完全阻断重放：即使在精确资源匹配下，四个受影响模型依然保留了 0.012–0.039 的非零 ASR，作者指出这是因为动作与资源标识未变而执行时环境含义已变。

作者指出的局限与后续方向

• 最小上下文绑定的确定（Section 6）：作者在讨论中指出，跨异构工具和执行环境识别并提取最小的上下文安全绑定仍是未来工作。
• 防御机制的权衡（Section 6）：作者指出任务级作用域授权虽能阻断历史放大效应，但限制了跨任务复用；精确匹配虽能保留复用，但无法防御语义重绑定，如何在保留复用的同时重新验证上下文仍需探索。

实验覆盖范围

• 评测数据集规模与类别分布：受控实验覆盖 AgentDojo 的 508 个案例；Terminal-Bench 实验覆盖 55 个案例，其中内容替换（C2）和项目重定向（C5）两类在筛选后各自仅包含 2 个案例（附录 A、Table 4）。
• 被测系统与模型覆盖：受控实验评估了 6 个模型家族共 6 款大语言模型；实时攻击实验评估了 Codex、Gemini CLI 和 Goose 共 3 款真实代码智能体（Section 5.1）。
• 受控实验的抽象层设计：AgentDojo 实验采用基于生产语义恢复的确定性模拟授权层，用于控制工具执行放行或阻断，未模拟真实智能体的端到端全流程（附录 B）。
• 良性历史构建机制：受控实验中的良性历史采用与覆盖无关的独立采样序列，未针对注入的有害能力进行目标导向的权限挖掘（附录 B）。
• 痕迹与端到端链路记录：Codex 实验通过文件系统写入测试验证了授权路径与后果，未记录通过 Codex 用户界面的端到端提示注入轨迹；Goose 实验总结记录了权限库与标记结果，未包含完整的消息级 ACP 轨迹（附录 E、附录 F）。

• 研究定位：针对长生命周期智能体中用户批准持久化存储带来的安全隐患，论文提出了残余权限重放（Residual-Authority Replay）攻击框架。
• 核心问题：传统权限控制存在时序盲区，用户在良性上下文中做出的单次批准被转化为长期生效的机器规则后，脱离了原有的任务背景，形成可被后续攻击无感复用的残余权限。
• 方法设计：通过逆向分析智能体授权机制与代码实现，先推导出攻击目标所需的敏感操作权限，再利用良性交互诱导用户合法批准并持久化该权限，最后在对抗性上下文下触发目标动作并重放权限绕过确认。
• 关键实验结果：在 508 个 AgentDojo 案例中，良性历史授权使受影响模型在 h=64 时的 ASR 达到 0.114–0.351（相比新鲜状态下的 0.000），其中 Gemini-3.1-Flash-Lite 增幅达 35.1 个百分点；在 55 个 Terminal-Bench 真实案例中，三款代码智能体的 ASR 平均增加 24.9 个百分点。
• 细粒度与防御表现：将授权精确至具体资源时仍存在 0.012–0.039 的 ASR，而任务感知防御 Progent 将 ASR 压制在 0.009 以下，PAuth 与禁止重放策略可将 ASR 降为 0。
• 结论与启示：作者指出持久化授权有损地编译了人类同意，单纯收紧匹配粒度无法根除授权与执行在时间上的脱节，未来的智能体授权机制需要在保留复用效率的同时对上下文环境绑定进行动态重新验证。