大家读完觉得有帮助记得关注和点赞！！！

摘要

自主智能体正日益被用于在受操作约束、组织政策、法规要求和技术标准管辖的环境中执行关键任务。因此，其安全性并非由单个动作的正确性决定，而是取决于其整体行为是否与所处系统的规则和不变性保持一致。随着基于大语言模型（LLM）的智能体自主性不断增强，并越来越多地跨组织边界委派任务，保障其安全已从一个单一挑战演变为横跨整个智能体技术栈的广泛互联领域。在单智能体层面，通过提示词、记忆、检索知识和工具接口传入的不可信输入构成了攻击面。在多智能体场景中，委派与通信带来了身份、信任、能力控制和决策透明度方面的挑战，而其底层的模型路由和执行控制平面仍易受操纵及模型来源未经验证的影响。或许最根本的挑战在于行为遏制：一系列单独合法的行动，组合起来却可能违反系统级约束和安全不变性。在更宏观的层面，供应链完整性、来源追溯、问责制和端到端可观测性在很大程度上仍是待解难题。一个共同的原则将这些方向统一起来：安全性必须成为管理智能体行为的架构、协议和运行时的可验证属性，而非一层可选的指引。厘清这些挑战，为部署可信赖的自主智能体提供了路线图。

1. 引言

由大语言模型驱动的自主智能体正日益受托在企业和信息物理环境中执行关键任务，涵盖医疗、金融、电信和关键基础设施等领域。与传统主要提供建议的AI系统不同，这些智能体能进行规划、推理、调用工具、与外部系统交互，并日益与其他智能体协作以完成复杂目标。因此，单个智能体可能发出数千次工具调用，而人类操作员仅审查其中少数决策。在许多此类部署中，智能体行为受到组织政策、法规要求或技术标准的约束，这些规范不仅规定了哪些单个动作被允许，还界定了整个动作序列必须遵守的行为边界。图1展示了一个此类智能体的核心组件与交互流程。此外，智能体很少孤立运行。通过新兴的互操作性协议，它们能够发现、协调其他智能体并向其委派任务，使得单一工作流可以跨越组织和供应商边界，涉及多个自主实体。这使得保障智能体系统安全成为一个广泛且互联的研究领域。

图1. 智能体AI架构。​ 智能体进行规划，利用记忆和工具，并与用户和环境交互。

因此，保障智能体AI安全已引起学术界和工业界日益增长的关注（Lazer等人，2026）。近期努力已开始构建这一领域的框架：OWASP智能体安全倡议识别了十五类智能体威胁（OWASP Gen AI Security Project，2025a）；云安全联盟的MAESTRO框架将智能体技术栈组织为七个层次（Cloud Security Alliance，2025）；微软更新的故障模式分类则强调了从供应链破坏到目标劫持的新兴风险（Microsoft AI Red Team，2026）。我们并非旨在提出另一种分类法，而是聚焦于通过一个透镜来分析智能体安全格局，该透镜基于受管部署的需求——在此类部署中，预期行为是明确的书面规范，而非设计者的主观判断。我们将主要的开放性问题组织为十一个研究方向，覆盖从单智能体推理、记忆、工具到多智能体协作、模型路由、行为遏制和生态系统治理的整个智能体技术栈。作为一篇愿景论文，我们的目标不是提出完整的解决方案，而是识别根本性挑战及其创造的研究机遇。

本文结构如下。第2节探讨单智能体攻击面，包括提示词注入、记忆投毒和工具完整性。第3节通过A2A协议解决多智能体安全问题，重点关注智能体间通信、身份、委派授权和新兴风险。第4节将模型路由作为选择服务每个请求的模型的控制平面机制进行探讨。第5节讨论行为遏制，即单独有效的动作可能共同违反系统级约束。最后，第6节将供应链来源和可观测性作为跨领域的保障挑战进行阐述。图2将这些攻击面置于更广泛的智能体生态系统中。

2. 单智能体攻击面

现代LLM智能体通过调用工具与外部资源交互来扩展其能力。接到任务后，智能体推理出行动，发出结构化请求（如网络搜索、数据库查询），并将结果纳入后续推理中。模型上下文协议（MCP）（Anthropic，2024）标准化了这种交互模型，而等效的函数调用接口也在各大LLM提供商中得到支持。这构成了智能体生态系统的纵轴，连接智能体与外部能力；而横轴（第3节）则支持智能体间的通信与委派。下文讨论的三个挑战在纵轴上有一个共同根源：智能体缺乏数据与指令之间的可靠分离。因此，进入智能体上下文的不可信内容可能影响推理并重定向行为。这三个方向的区别在于不可信内容到达智能体的攻击面不同。

图2. 一个智能体生态系统，红色标记了代表性挑战。

提示词注入。​ 最成熟的入口点是智能体的检索通道，网页、文档或数据库中的对抗性内容可能嵌入指令，智能体会像遵循用户指令一样执行这些指令（Debenedetti等人，2024，2025）。EchoLeak（CVE-2025-32711）在实践中证明了这一风险，它导致Microsoft 365 Copilot在无需用户交互的情况下，从精心构造的电子邮件中泄露敏感上下文（Microsoft Security Response Center，2025）。智能体系统放大了这一威胁，因为检索到的内容可以跨多个推理步骤持续存在，并随着执行上下文的演变影响未来的决策。此外，使用工具的智能体可以将注入的指令从推理传播到下游动作，而不仅仅是改变生成的响应。现有的数据与控制流分离技术（Debenedetti等人，2025）可以缓解单步注入，但无法应对跨多步智能体执行的持续性攻击。因此，确保智能体不断演化的上下文的完整性仍然是一个开放挑战。

记忆与状态投毒。​ 智能体日益通过记忆系统和检索增强存储来维持长期状态，这形成了一个持久的攻击面。AgentPoison研究表明，向智能体的记忆或知识库中注入少量精心构造的条目，可以以低于0.1%的投毒率在后续检索中植入后门，同时保持良性行为不变（Chen等人，2024）。PoisonedRAG展示了针对支撑智能体决策的检索数据库的类似攻击（Zou等人，2025）。与影响通常局限于单次交互的瞬时提示词注入不同，投毒的记忆可以跨会话持久存在，并影响每一个检索到它的未来推理过程。这对于临床或网络管理系统等领域的长寿命智能体尤为令人担忧，因为记忆是其持续运行的核心。根本挑战在于确保智能体不断演化的记忆的完整性和来源。目前尚无被广泛接受的关于何为可信长期记忆的概念，也缺乏健壮的机制来验证其积累的信息随时间推移保持真实、未被篡改和可靠。

工具完整性。​ 智能体信任其调用的工具，但这种信任很少得到验证。在工具投毒攻击中，恶意服务器在工具的元数据中嵌入指令，智能体会将其作为上下文的一部分加以消费（Invariant Labs，2025）。由于工具规范的每个组成部分都可能影响智能体行为，攻击面从人类可读的描述扩展到了整个接口。此外，对工具的信任并非静态。在“拉地毯”（rug pull）攻击中，先前受信任的服务器会静默地将良性的工具定义替换为恶意的，而许多客户端永远不会重新验证（Invariant Labs，2025）。这种威胁并非假设，仅在2025年就报告了99个与MCP相关的CVE（Microsoft AI Red Team，2026）。由于工具通常由智能体运营商控制之外的第三方提供，不能假定其定义随时间推移保持良性。因此，挑战在于在整个智能体生命周期内建立并维护工具接口的完整性、来源和真实性，将工具元数据视为需要持续验证的不可信输入，而非仅在部署时验证一次。

3. 智能体间攻击面

第2节的挑战涉及智能体与工具的垂直接口。第二个水平攻击面则管理智能体如何发现和相互委派任务，将这些风险扩展到组织边界之外。2024-2025年间出现了多种智能体间协议，包括Agora、Agent Network Protocol、Cisco Agent Connect、IBM Agent Communication Protocol和谷歌的Agent2Agent（A2A）（Ehtesham等人，2025）。此后，A2A成为主导标准，于2025年贡献给Linux基金会，并被超过150家组织采纳，同时吸收了IBM的竞争协议（The Linux Foundation，2025b，2026；Google Developers，2025；LF AI & Data Foundation，2025）。与MCP一起，它现在构成了互补的水平层（用于智能体协作）和垂直层（用于工具交互）（The Linux Foundation，2022025a）。A2A引入了新的安全挑战，因为它协调的是不透明、自主的对等体。客户端通过Agent Card发现远程智能体，通过JSON-RPC委派任务，并在无法看到远程模型、记忆或工具的情况下消费结果（Ehtesham等人，2025；Ferrag等人，2026）。A2A主要设计用于通信，将身份和信任建立留给实现者，安全控制表现为可选的“应/可”指引，而非强制要求（SecureW2，2026）。

智能体间安全。​ 这些设计选择导致了若干结构性弱点（Anbiaee等人，2026；Ehtesham等人，2025）。A2A通过共享的contextId承载对话状态，但上下文缺乏所有权语义。任何获得有效标识符的已认证客户端都可以附加到该上下文，访问累积的历史记录，或在未触发任务级控制的情况下投毒未来任务（Datta等人，2025；Fu等人，2025）。同样，Agent Card的能力是自声明的，没有证明或质询-响应机制，使得恶意智能体能够声称拥有不支持的技能，接收敏感任务，并返回伪造的工件，而协议层无法检测（Keysight Technologies，2025；Cisco，2025）。这些风险不仅限于A2A。生产系统将A2A（水平）与MCP（垂直）结合，使得受损的对等体身份能够驱动暴露的工具动作，并在边界上创建中继或降级路径（Ferrag等人，2026；Anbiaee等人，2026）。挑战在于使上下文所有权和能力证明等属性成为可验证的协议不变性，并将A2A ↔ MCP边界作为一个单一的安全表面进行分析，而非可选的实现者指引。

智能体身份与委派授权。​ 智能体系统缺乏关于“谁在执行操作”以及“拥有何种权限”的连贯模型。在单个智能体内部，宽泛的工具权限允许单独授权的动作组合成非预期的效果，造成仅靠单工具权限检查无法预防的“混淆代理”场景（Shi等人，2026）。在跨智能体层面，问题更为严重，因为A2A仅在传输层建立身份，并不跨委派跳传播它，导致智能体仅知晓其直接调用者（SecureW2，2026；Anbiaee等人，2026）。当任务被重新委派时，授权请求缺少原始主体和委派历史，迫使决策在没有完整来源信息的情况下做出。没有发送方约束或重用限制的转发凭证，进一步允许受损的中间人跨委派链重放凭证（Cisco，2025）。现有标准为解决这些差距提供了构建模块。OAuth 2.0令牌交换（RFC 8693）支持签名的委派链，而受众限制（RFC 8707）和发送方约束令牌（DPoP，RFC 9449）则实现了最小权限委派并限制了凭证重用。挑战不在于缺乏这些机制，而在于当前的智能体互操作性协议将它们视为可选的，这使得互操作的智能体无法假定委派身份被安全地传播、约束和防重放。

新兴的多智能体风险。​ 一次入侵未必局限于单个智能体。Prompt Infection研究表明，恶意指令可以像病毒一样在智能体间自我复制，即使智能体不共享所有通信，也能在多智能体系统中静默传播（Lee等人，2026）。零点击GenAI蠕虫将此推广为通过智能体嵌入的应用程序传播的自复制载荷（Cohen等人，2024）。除了传染，协作的智能体可能共谋，放大彼此的错误，或进入耗尽共享预算和速率限制的反馈循环，这是一种“钱包拒绝服务”故障（OWASP Gen AI Security Project，2025b），没有单智能体层面的对应物。现有的协议级防御无法针对模型和推理层面的入侵在联邦中传播提供形式化保证（Nguyen等人，2026）。挑战在于界定一群智能体的涌现行为边界，而这些智能体的个体动作在本地都是合法的。

4. 模型路由：底层控制平面

迄今为止讨论的攻击面涉及智能体生态系统的执行和协作层。生产系统引入了第三个层面：模型路由控制平面。路由器不是将智能体绑定到单一模型，而是根据能力、成本、延迟和安全性为每个请求选择模型。它与智能体处理相同的不可信输入，决定了哪个模型——进而决定了哪些能力、安全对齐和成本配置——来处理该请求。这创造了第三个攻击面，即智能体到模型的控制平面，它位于智能体到工具和智能体到智能体交互的底层。

对抗性路由。​ 路由决策可能在整个技术栈受到攻击。在输入层面，精心构造的令牌序列可以强制触发导致成本激增的模型升级（Shafran等人，2025；Tang等人，2026），或将请求降级到更便宜、对齐程度更低的模型，制造一种绕过单工具权限检查的“降级越狱”（Shafran等人，2025；Shi等人，2026；Nguyen等人，2026）。路由器架构本身就是一个安全变量。可训练的神经网络路由器比无参数的相似性路由器更容易受到对抗性后缀和训练时后门的攻击，这使得鲁棒性成为一种架构选择（Lin等人，2025）。攻击面还延伸到模型内部。在混合专家模型中，对抗性输入可以抑制安全关键的专家，通过跨批次路由依赖关系泄露提示词，或通过专家不平衡触发拒绝服务（Xu等人，2026；Yona等人，2024；Huang等人，2025）。这些故障发生在路由拓扑内部，可能在输出层不可见。当前的防御主要集中在检测上。对比检测器可以在执行前以高报告准确率识别出重路由提示词（Zhang等人，2026），但它们不提供经认证的鲁棒性，缺乏对自适应攻击者的评估，且未解决模型内部或跨批次攻击。挑战在于将路由视为一种策略产物。一种最近的声明式方法将路由逻辑编译成非图灵完备的规范，具有穷尽、无冲突的决策、审计跟踪以及在MCP和A2A边界上经过验证的路由节点（Chen等人，2026），这反映了从咨询性指引向可执行不变性的更广泛转变。

路由来源与可观测性。​ 路由器本身就是一个供应链组件。其权重、训练数据和决策阈值可能包含部署前植入的后门（Lin等人，2025），然而现有的来源框架并未涵盖路由组件。路由遥测数据为检测异常（如钱包拒绝服务和静默模型降级）提供了天然信号，但在当前的可观测性框架中却缺失了。此外，路由决策对下游工具调用和智能体间委派的安全影响在很大程度上仍未得到探索。一个受损的路由器可以将请求导向具有可利用工具或智能体绑定的模型，将路由攻击面与第2节和第3节描述的攻击面组合起来（Shi等人，2025；Wang等人，2025b）。弥补这一差距需要将路由视为其他安全关键组件一样对待，需要路由机制的来源信息、可根据管理标准验证的策略，以及作为审计层一等信号的暴露的路由决策。

5. 行为轨迹遏制

垂直和水平攻击面存在一个共同的、未被任何协议弥合的缺口。工具协议定义了机械上可用的动作，而管理标准定义了允许的动作序列。目前没有部署的机制能将两者连接起来。遏制在两个层面运作。系统级隔离通过沙箱、作用域凭证和出口控制来限制智能体执行的爆炸半径，这在很大程度上继承自传统安全。剩下的挑战是行为层面的：确保智能体的执行轨迹保持在管理标准定义的行为边界之内。一系列单独被允许的动作，组合起来可能违反一个依赖于状态的不变性。例如，一个5G调度智能体可以逐步降低公共安全技术切片的优先级，每次重新分配都通过了本地检查，但却错过了规定的恢复窗口（3GPP，2024）。同样，一个临床智能体可以加速几项合理的出院决策，却违反了FHIR护理路径定义的聚合观察窗口（HL7 International，2023）。在这两种情况下，都没有涉及对抗性输入。违规源于执行轨迹本身，而非任何单个动作，这使得行为保障而非单动作验证成为核心挑战。现有的安全机制并非设计用于解决这类故障。运行时守卫强制执行无状态的单动作策略（Wang等人，2026；Shi等人，2026），而无法推理系统状态如何在长执行轨迹中演化。LLM到形式化规范编译器从规范中派生规则（Zhou等人，2026；Miculicich等人，2025），但无法保证其完备性、一致性和对管理标准的忠实性。概率性监视器从观察到的执行轨迹中学习（Wang等人，2025a）。近期的一些工作在运行时强制执行手工编写的时间、状态相关属性（Kamath等人，2025）。然而，这些方法均未扎根于管理策略，使得它们无法检测到未见但被禁止的轨迹。此外，执行仍然是单智能体的，这使其不适用于违规行为源自跨智能体交互的多智能体场景。而且，大多数智能体基准测试根本没有提供具体的策略规范（Hong等人，2026）。挑战在于桥接局部正确性与全局行为保障。未来的智能体系统必须验证不断演化的执行轨迹是否满足系统级行为约束，在执行的整个生命周期内确立安全性，而非仅在单个决策点。

6. 保障与治理

前述方向保障了执行期间的智能体行为。两个生命周期挑战同等重要，即在部署前建立信任和在部署后落实问责。它们共同决定了智能体系统能否被自信地部署和管理。

供应链完整性。​ 一个智能体由多方提供的部件组装而成，包括基础模型和嵌入、系统提示词、插件以及不断增长的第三方工具服务器生态系统。其中任何一个都可能被攻陷，并且与一次性代码依赖不同，工具定义在被信任后可能变得恶意。postmark-mcp软件包在前15个版本中都表现正常，直到添加的一行代码静默地将每封外发邮件复制给攻击者，在被移除前已影响到数百家组织（reversinglabs，2025）。同样的风险也延伸到智能体服从的指令和技能文档（作为可信指引），例如编辑器规则文件和SKILL.md描述符，它们可能隐藏指令，却通过相同的不可信生态系统传入（Pillar Security，2025；Saha等人，2026）。OWASP智能体安全倡议和微软红队分类法都将供应链破坏视为根本性的智能体安全风险（OWASP Gen AI Security Project，2025a；Microsoft AI Red Team，2026）。确保智能体供应链的来源和完整性仍然是一个开放挑战，需要将软件物料清单原则扩展到模型、提示词和行为在部署时并非固定的动态发现工具。正如微软的分类法所强调的，这些能力必须设计到智能体架构中，而非事后修补（Microsoft AI Red Team，2026）。

通过可审计性实现问责。​ 当自主智能体造成损害时，安全分析师必须重构其行为、归因责任，并生成满足诸如MiFID II和NIST SP 800-61等要求的记录（ESMA，2018；Cichonski等人，2012）。这很困难，因为智能体推理是不透明的，动作跨越工具和智能体，且审计盲点在当前部署中很常见。近期工作指出了通过智能体标识符、实时监控和支持归因与取证的活动日志来实现智能体行为可见性的必要性（Chan等人，2024）。然而，这些机制既未标准化也非强制性，并且引入了隐私和成本的权衡。与人类操作员不同，自主智能体可以生成结构化的、可验证的执行轨迹来记录其决策和行动，这使得智能体系统可能比其所替代的流程更加透明和可审计。实现这一点需要将可审计性设计为一项端到端的属性，覆盖智能体协议、执行环境和行为遏制机制。

7. 结语

保障自主智能体安全并非一系列孤立挑战的集合，而是一个横跨整个智能体技术栈的系统性问题，从推理、记忆、工具使用到多智能体协作、模型路由、行为遏制和生态系统治理。贯穿这些方向的一个共同主题是：安全性从根本上说是智能体行为随时间推移和跨交互组件的一种属性，而非孤立单个动作的属性。这呼吁我们从咨询性指引和无状态防护栏转向可验证的行为不变性，从单动作检查转向对组合的、有状态的、多方行为的推理。随着智能体日益自主化和互联互通，发展此类保障对于构建可信赖的智能体系统至关重要，这也代表了安全界的一项关键研究议程。