一、Agent安全综述：攻击、防御与那些被忽视的漏洞
围绕三个核心问题构建了完整的分类体系：
- 应用（Applications）：“Agent 能为我的安全做什么？”
- 威胁（Threats）：“它们如何被攻击？”
- 防御（Defenses）：“我该如何阻止攻击？”
Pillar-wise analyses（分领域分析）：逐一分析每个领域，了解各自的现状、问题和表现。
Cross-cutting analyses（跨领域分析）：分析贯穿多个领域的共同问题，以及领域之间的联系、协同或冲突。
Applications
（1）Offensive Security Agents (Red-Teaming)
进攻性 Agent 已经能够执行端到端的渗透测试，包括自适应规划和反馈循环。论文详细梳理了四类主要应用：
- 自主渗透测试：PentestGPT、PentestAgent、VulnBot 等系统使用推理、生成和解析模块，维护"渗透测试任务树"以避免上下文丢失。一些系统已经在 HackTheBox 和 VulnHub 等平台上展示了接近人类水平的表现。
- 漏洞发现与模糊测试：Locus 结合程序分析和符号执行来加速定向模糊测试；ChatAFL 在 AFLNet 基础上查询基础模型以生成协议语法，提高了状态转换覆盖率。
- 漏洞利用生成：一个令人印象深刻的发现是，简单的生成式 Agent 可以自主利用 87% 的近期真实 CVE，成本仅约 8.8 美元/次，比人类专家便宜约 2.8 倍。CVE-Genie 以平均 2.77 美元的成本复现了 428 个 CVE。
3.2 蓝队（防御性安全）
防御性 Agent 的应用同样广泛，但在自主性上明显更保守：
- 自主威胁检测与事件响应：IRCopilot 采用结构化角色设计，模拟真实响应团队，减少上下文丢失和幻觉；CORTEX 采用分治策略，包含行为分析、证据收集和推理三个独立 Agent。
- 智能威胁狩猎：ProvSEEK 将向量化的威胁知识库与系统溯源图结合，使用 RAG 和链式推理提高检测精度。
- 自动取证与根因分析：GALA 结合统计因果推理和迭代推理，提高了微服务环境中的根因定位准确率。
- 自主漏洞修复：RepairAgent 通过动态更新的提示和有限状态机中间件管理多种修复工具，以较低成本修复了 164 个缺陷。
3.3 攻防不对称：一个关键发现
论文揭示了一个显著的自主性不对称现象：
| 自主性级别 | 进攻性系统 | 防御性系统 |
|---|---|---|
| Level 3（全自主） | 88.1% (37/42) | 0% (0/34) |
| Level 2（部分自主） | 9.5% (4/42) | 41.2% (14/34) |
| Level 1（辅助） | 2.4% (1/42) | 50% (17/34) |
| Level 0（仅建议） | 0% | 8.8% (3/34) |
更值得注意的是：
- 仅 11.9% 的进攻性系统需要人类批准
- 100% 的防御性系统保持人类在环控制
- 92.9% 的进攻性系统可以自主执行命令
- 仅 41.2% 的防御性系统具有执行能力
这种不对称反映了一个根本性的张力：进攻性研究越来越奖励端到端自动化，而防御性部署仍受限于安全、问责和运营风险。
[图3: 进攻性与防御性系统的自主性级别分布对比]
3.4 双刃剑效应
论文指出了一个令人担忧的趋势：55.3% 的进攻性系统暴露了可直接用于攻击或具有广泛双重用途的能力。
更关键的是，这种进攻能力来自 Agent 脚手架而非基础模型本身。例如：
- HPTSA 移除层级协调机制后，pass@1 性能下降 13 倍
- ARTEMIS 报告称，基础模型在被直接使用时通常会拒绝进攻任务，但一旦嵌入 Agent 框架就会完成
这意味着，以前需要专家操作员才能执行的攻击，现在对技能水平低得多的行动者也变得可及。
4 威胁：Agent 的攻击面
4.1 六大攻击类别
论文将威胁分为六大类：
1. 注入攻击（Injection Attacks）
提示注入仍然是最主要的攻击方式。HOUYI 以 86.1% 的成功率攻破了 36 个真实 LLM 应用中的 31 个。AgentDojo 基准测试揭示了一个根本性权衡：降低漏洞的安全防御也会降低 Agent 的任务完成效用。
2. 投毒攻击（Poisoning Attacks）
AgentPoison 以不到 1% 的投毒率实现了 62.6% 的端到端攻击成功率。更令人担忧的是，仅需 0.01% 的被污染偏好数据就能显著改变模型行为，且更大的模型并没有获得可靠的韧性。
3. 越狱攻击（Jailbreak Attacks）
Agent 比其底层 LLM 更容易被越狱。在 BrowserART 上，GPT-4o 浏览器 Agent 的攻击成功率从聊天环境的 12% 上升到直接询问的 74% 和组合攻击的 100%。将模型包装成代码 Agent 会使攻击成功率平均提高 1.6 倍。
4. Agent 操纵攻击（Agent Manipulation Attacks）
这类攻击针对 Agent 的高级认知功能：规划、推理和目标设定。目标劫持攻击可以微妙或公开地改变 Agent 的目标；奖励黑客攻击则利用 RL 训练 Agent 的奖励机制漏洞。
5. 预执行认知攻击（Pre-execution Cognitive Attacks）
即使在工具执行之前，Agent 的内部状态（推理、规划和反思）也可能被操纵。认识论攻击可以腐蚀 Agent 的中间推理步骤；目的论攻击操纵 Agent 的规划图和目标导向结构。
6. 红队攻击（Red-Teaming Attacks）
Agent-in-the-Middle 攻击拦截和操纵 Agent 间消息，在大多数多 Agent 配置中超过 70% 的攻击成功率，在链式通信结构上甚至达到 98.5%。
4.2 攻击入口点分析
论文详细分析了攻击进入 Agent 的八个入口点：
| 入口点 | 被攻击论文数 | 说明 |
|---|---|---|
| 用户查询 | 55% | 最常见的入口点，但这不是 Agent 独有的 |
| RAG 检索文档 | 15 篇 | Agent 特有的主要攻击面 |
| 环境观察 | 14 篇 | 快速增长的攻击面，绕过文本级过滤器 |
| 工具/API 响应 | 11 篇 | 随着 MCP 的普及而增长 |
| Agent 间消息 | 8 篇 | 最典型的 Agent 特有入口点 |
| 持久化记忆 | 6 篇 | 允许跨用户攻击而无需特权 |
| 系统提示 | 4 篇 | 相对较少 |
| 反思输出 | 2 篇 | 最少研究的入口点 |
[图4: 攻击入口点与威胁类别的交叉分析]
4.3 核心发现：Agent 默认是脆弱的
论文的一个核心结论是：Agent 系统在默认情况下是结构性脆弱的。
- 约 67% 的攻击是从基础 LLM 继承或被 Agent 框架放大的
- 70% 的威胁论文假设黑盒威胁模型（攻击者只有查询权限）
- 另外 15% 甚至不需要模型访问权限
- 大多数攻击可以在无需特权或内部系统知识的情况下实现严重入侵
一个令人震惊的例子：在聊天环境中可靠拒绝有害请求的模型，一旦部署为 Agent，非拒绝率从 0% 跃升至 46.6%。
5 防御：加固 Agent
5.1 防御策略分类
论文将防御策略分为四大类：
1. 安全设计（Secure-by-Design）
架构隔离和严格评估构成安全 Agent 系统的基础。包括：
- 集中式架构隔离不受信任的数据
- 任务对齐以防止不受信任的外部数据操纵用户目标
- 多态提示以模糊内部系统指令
2. 多 Agent 安全
多 Agent 结构引入了独特的协调和安全挑战。D-CIPHER 实现了中央规划器与异构执行器的协作框架；基于辩论的多 Agent 架构可以准确识别钓鱼网站。
3. 运行时保护
动态护栏拦截对抗性行为并在执行期间执行安全边界。包括：
- 结合数据驱动预测和知识增强逻辑推理的护栏框架
- 终身护栏框架，能够进行自适应风险检测
- 基于图的异常检测，追踪多 Agent 环境中的恶意交互
4. 安全运营
形式化验证和静态分析确保模型正确性和软件安全。IRIS 结合静态分析指标和语言处理来提高漏洞识别准确率。
5.2 安全-成本帕累托前沿
论文揭示了一个清晰的权衡：更强的保护始终意味着更高的延迟和 token 消耗。
| 防御策略 | 可扩展性 | 对抗鲁棒性 | 开销 | 覆盖范围 |
|---|---|---|---|---|
| 安全设计 | 高 | 中 | 低 | 窄 |
| 运行时保护 | 中 | 高 | 高 | 中 |
| 多 Agent 安全 | 低 | 高 | 高 | 窄 |
| 形式化验证 | 低 | 极高 | 极高 | 窄 |
没有单一的防御策略在所有重要轴上都是稳健的，这推动领域向混合、多层架构发展。
5.3 防御覆盖分析
论文分析了现有防御对不同攻击类别的覆盖情况，发现了明显的不均衡：
- 注入和 Agent 操纵攻击：防御尝试最多
- 提示感染和预执行攻击：覆盖最少
- 记忆投毒：防御能力有限
一个关键趋势是：防御部署正在向假设被攻破的姿态转变，后计算监控和全生命周期保护现在占据主导地位。
6 交叉分析与趋势
6.1 架构演进
论文追踪了 Agent 架构的演进趋势：
- 49.4% 为多 Agent 系统
- 33.6% 为单 Agent 系统
- 17.0% 为混合/可变架构
领域正在从单体 Agent 向多 Agent 和规划器-执行器设计迁移。
6.2 骨干模型垄断
GPT 系列仍然是近乎通用的骨干模型。这种集中度带来了：
- 单一供应商依赖风险
- 攻击面的同质化
- 对开源模型安全性的关注不足
6.3 模态覆盖不均
研究覆盖严重偏向文本和代码，对以下模态的关注不足：
- 图像
- 网络追踪
- 二进制文件
6.4 基准碎片化
在 69 篇威胁论文中，有 36 篇（52%）具有基准测试角色，命名了 108 个不同的基准或数据集，其中 92 个仅被一篇论文使用。约 85% 的命名基准是一次性的，只有 16 个在多篇论文中被复用。
结果是：跨论文和跨基准的比较变得困难。从业者无法在不重新运行两个防御或攻击的情况下对它们进行排名，因为发布的数字不共享基准或指标。
7 安全生命周期的覆盖缺口
论文绘制了安全生命周期中各阶段的研究覆盖情况，揭示了明显的不均衡：
进攻侧：
- 最密集：漏洞利用（45 篇）、漏洞发现（32 篇）、侦察（21 篇）
- 完全空白：持久化（0 篇）、数据窃取（0 篇）
防御侧：
- 最密集：检测（19 篇）、修复（14 篇）、分诊（11 篇）
- 最少：根因分析（4 篇）、响应（6 篇）
这种分布表明，研究集中在能提供即时、可验证反馈的阶段，而需要持续推理、隐蔽性或长期运营意识的阶段则鲜有关注。
8 思考与展望
8.1 攻防军备竞赛的加速
这篇综述揭示了一个令人不安的现实：进攻性 Agent 正在以比防御性 Agent 更快的速度向全自主操作迈进。88.1% 的进攻性系统达到 Level 3 自主性，而防御性系统无一达到这一水平。
这种不对称可能引发一场新的军备竞赛：攻击者利用低成本、高扩展性的 AI Agent 发动攻击，而防御者仍受限于人类审批和有限的执行权限。弥合这一差距对于开发可信赖的自主安全系统至关重要。
8.2 "安全默认脆弱"的警示
论文的核心发现之一——Agent 在默认情况下是结构性脆弱的——应该给所有部署 LLM Agent 的组织敲响警钟。基础模型的安全对齐不足以保护 Agent，因为：
- 多步规划循环可能会推翻初始的安全拒绝
- 将恶意目标分解为更小步骤可以降低拒绝率
- 在某些设置下，Agent 甚至会在无需任何对抗性越狱的情况下直接执行恶意多步任务
这意味着，安全性必须是 Agent 架构的一等公民，而不是事后添加的补丁。
8.3 双重用途的伦理困境
论文揭示的双重用途问题（55.3% 的系统暴露进攻性能力）提出了深刻的伦理问题。旨在提高安全性的工具也扩展了攻击者可用的进攻能力。
这不是一个技术问题，而是一个治理问题：
- 如何平衡安全研究和恶意使用的风险？
- 谁应该有权访问这些强大的进攻性工具？
- 如何追踪和归因 Agent 生成的攻击？
8.4 未来研究方向
基于论文的分析，以下几个方向值得关注：
1. 全生命周期防御
当前的防御策略大多集中在单一阶段，需要开发跨越整个 Agent 生命周期的综合防御框架。
2. 记忆和反思层安全
持久化记忆和反思输出是最少被研究和最少被防御的攻击面。开发针对这些 Agent 特有表面的评估基础设施和防御策略是一个开放的研究方向。
3. 基准标准化
解决基准碎片化问题，建立可跨论文比较的标准化评估框架，是推动领域进步的关键。
4. 自适应防御
当前的防御大多是静态的，需要开发能够适应攻击者策略变化的自适应防御机制。
5. 可解释性与安全的权衡
如何在保持 Agent 可解释性的同时不牺牲安全性，是一个需要深入研究的权衡问题。