当同意超越上下文：长生命周期代理中的残余权限重放

LLM 代理越来越依赖用户批准来在运行时授权安全敏感操作。此类批准是在特定任务和执行上下文中授予的。在长生命周期代理中，授权决策可能需要跨任务或会话持续存在。我们发现，这种连续性可能会超越最初证明批准合理性的上下文，从而产生无需重新征得同意即可重复使用的残余权限。我们通过一种纵向攻击揭示了这一失效模式：该攻击从目标安全敏感操作出发，识别执行该操作所需的权限，诱导良性交互以合法获取该权限，并随后在对抗性执行期间重放残余权限。在受控环境和真实环境中，我们证明残余权限重放会在实践中出现，并显著提高提示注入和上下文重新绑定攻击的成功率。我们使用源自生产环境的授权语义，在六个 LLM 系列上评估了 508 个 AgentDojo 攻击案例。在存在残余权限的情况下，与全新的授权状态相比，攻击成功率（ASR）最高提高 35.1 个百分点。在针对三个真实生产编码代理、覆盖 55 个 Terminal-Bench 案例的真实上下文重新绑定攻击中，残余权限重放使 ASR 平均提高 24.9 个百分点。这些发现揭示了长生命周期 LLM 代理中持久授权与用户同意的上下文性之间的根本不匹配。