打开「潘多拉工具箱」：北大、微信安全团队构建通用智能体全生命周期安全图景

当大语言模型从传统聊天助手走向通用智能体，安全问题正在发生一次根本性的变化。 过去，我们更关心模型「会说什么」：它是否生成有害内容，是否泄露敏感信息，是否会被越狱提示绕过。但今天的智能体已经能够自主选择技能、调用工具、读写文件、访问数据库、操作网页和终端，甚至把一次任务中的经验写入长期记忆，用于影响下一次决策。 这意味着，智能体安全已经不只是「输出是否合规」，而是： 它加载了什么能力； 它如何组合技能、记忆与工具； 它最终执行了什么动作； 以及这些动作留下的状态，会不会在未来再次影响它。 一次攻击可能并不会立刻造成破坏。它可以先以一段看似正常的技能描述进入系统，在任务编排时悄然影响技能选择，再在工具执行阶段触发危险操作，最后把污染内容写入长期记忆、可复用技能或项目工件，使风险跨会话存活，甚至在后续工作流中持续放大。 例如，一个伪装成「酒店比价助手」的恶意技能，可能在任务编排阶段诱导智能体选中伪造的预订接口，在执行阶段窃取用户的行程和支付信息，并将该接口写入长期记忆。即使当前任务已经结束，这一风险仍可能在后续差旅任务中被反复触发。 问题的关键，不只是某一个模型、工具或记忆模块是否安全，而是风险如何穿过智能体的整个运行生命周期。 为此，北京大学知识计算实验室（KCL）和腾讯微信安全技术团队联合发布综述论文，从生命周期视角系统梳理通用智能体中的安全风险、攻击方法、评测基准与防御技术，并提出一个贯穿来源、编排、执行与持久反馈的统一分析框架。 论文标题： Pandora's Toolbox: A Survey of Generalist Agent Security from the Lifecycle Perspective 项目主页：https://github.com/MurrayTom/Awesome-Agent-Security-Papers 论文全文：https://openreview.net/forum?id=A0KU8ja2mo 接下来，让我们一起看看：当智能体真正开始「自主行动」，它的安全边界究竟延伸到了哪里？ 为什么传统的组件式安全视角已经不够？ 现有研究通常按照模型、记忆、工具、环境等组件划分安全问题。这种方式有助于定位局部风险，却难以回答一个更关键的问题：同一个风险如何在不同阶段之间传播？ 以第三方技能投毒为例： 攻击者首先在技能元数据或说明文件中植入隐蔽的恶意内容。此时，技能可能只是被系统读取，并没有立即执行任何危险操作；当用户发起一个正常请求时，智能体在编排阶段选择并加载该技能，潜伏的指令随之进入决策上下文；随后，智能体可能调用终端、API 或数据库，将风险转化为真实动作；执行结果还可能进一步污染长期记忆或修改可复用技能，使同一攻击在未来会话中再次出现。 如果只检查技能文件、某一次模型输出或最终工具调用，我们看到的都只是这条攻击链的一部分。 因此，这篇综述提出： 通用智能体安全本质上是一个生命周期问题，而不是若干孤立组件风险的简单相加。 来源 × 编排 × 执行： 风险如何穿过智能体生命周期 论文将通用智能体的运行生命周期划分为三个核心阶段，并特别强调执行结果对未来工作流形成的持久反馈，这也是未来递归式自我改善（RSI）智能体特别需要关注的问题。 来源阶段：什么能力被允许进入系统？ 在来源（Provenance）阶段，智能体读取技能元数据、能力描述、使用条件和接口信息，并由此建立可供后续选择的能力空间。 这一阶段的安全问题，本质上是「信任从哪里来」。一个技能可能伪造来源、冒充可信组件，或在自然语言说明、脚本、依赖、配置和外部资源中隐藏风险。危险能力一旦通过准入，就可能长期保持潜伏，等待未来任务触发。 编排阶段：潜伏风险如何被激活和放大？ 在编排（Orchestration）阶段，智能体开始理解用户请求、检索长期记忆、选择技能、构造计划并准备工具调用。 此时，来自用户、记忆和技能的多种信息会在同一上下文中汇合。单独看似良性的技能，在组合后可能形成越权链路；一次普通的记忆检索，也可能重新激活数周前写入的污染内容。风险不再只是「被看见」，而是开始改变智能体的决策和控制流。 执行阶段：风险如何变成现实世界中的后果？ 在执行（Execution）阶段，智能体通过工具与外部环境交互：访问网页、调用 API、运行代码、操作文件、查询数据库，或者控制计算机和移动设备。 环境返回的信息并不天然可信。网页隐藏文本、弹窗、终端输出、搜索结果乃至 MCP 工具响应，都可能携带提示注入内容。当智能体把这些观察误当成高优先级指令时，风险就会从内部决策转化为真实的外部动作。 持久反馈：执行结束，风险却没有结束 传统安全评测往往把任务结束视为终点，但对通用智能体而言，执行结果可能被写入长期记忆、沉淀为新技能，或保存在项目工件中。 这些状态会在未来重新进入来源或编排阶段，形成「反向污染」。换句话说，一次安全失败可能不再局限于当前会话，而会成为智能体下一轮行为演化的起点。 一张图看懂通用智能体安全全景 在生命周期主轴之外，综述还从三个相互正交的安全视角组织现有研究： 风险与攻击：风险从哪里进入，又如何传播和产生后果； 评测基准：安全证据在哪里被收集，以及如何判断智能体是否安全； 防御方法：安全机制应该在什么位置介入。 这套二维框架的价值在于：它不再只问「这是什么攻击」，还会继续追问——它在哪个阶段进入？在哪个阶段被发现？又应该在哪个阶段被阻断？ 四类攻击面：技能、用户、记忆与环境 沿着生命周期，论文进一步总结了四类相互耦合的主要攻击面。 技能供应链：能力本身也可能成为攻击载体 技能让通用智能体能够快速获得新能力，但也把软件供应链风险引入了智能体系统。 风险不仅存在于 SKILL.md 等声明式文件中，也可能隐藏在辅助脚本、依赖、配置、检索数据库和本地缓存里。更隐蔽的情况是：单个技能本身并不恶意，但多个技能被组合后，却形成了未授权访问、隐私泄露或破坏性执行路径。 部分攻击还会在当前会话中改写技能，在未来会话或特定触发条件下才启动后门。例如，SkillHarm [2] 就从生命周期角度研究了技能攻击如何跨阶段构造并持续影响智能体。 用户侧攻击：从人工越狱走向自动化红队 用户可以通过有害请求、角色扮演、编码混淆、多轮诱导和优化生成的越狱提示，驱动智能体执行危险任务。 与传统 LLM 越狱不同，面向智能体的攻击不再满足于让模型生成违规文本，而是尝试诱导它完成一条包含多次工具调用的真实攻击链。近年来，攻击方法也从人工模板和启发式搜索，逐渐发展为能够规划、反思并持续优化攻击策略的智能体化红队。 长期记忆：一次投毒，可能影响未来多个任务 长期记忆通常会被自动检索，并作为可信上下文参与后续决策。这种机制提升了智能体的连续性，也让一次投毒具有了持久性。 攻击者既可以直接污染知识库、RAG 语料和记忆索引，也可以通过普通对话、网页内容或环境观察，诱导智能体主动写入错误信息。更危险的后门型记忆平时保持沉默，只在特定主题、查询或上下文模式出现时触发。 外部环境：智能体看到的内容，并不只是「数据」 对于会浏览网页、操作电脑和调用工具的智能体而言，环境观察既是数据，也可能被误解成指令。 恶意网页、隐藏文本、GUI 弹窗、文件内容、