表征转变揭示多轮 LLM Agent 中正在出现的安全风险

arXiv:2610.00400v1 公告类型：新 摘要：针对 Agentic 系统的多轮攻击能够将单独看来均被允许的操作组合成有害结果，这对仅孤立评估操作或状态的防御机制构成了挑战。我们发现，此类攻击会在 Agent 的内部表征中留下可检测的特征：有害行为会随着上下文更新，以累积的表征转变形式出现，而触发该行为的上下文也可以通过同一信号识别出来。我们进一步发现，朴素聚合会受到良性表征漂移的干扰，因为对比式安全方向不一定会将良性转变赋值为零。为此，我们对该方向进行去噪：将良性流量锚定在零点，并移除其主导变化方向，且不增加运行时开销。这些发现促成了 DART——一个运行时框架，用于检测和归因表征偏移，并通过有针对性的提醒进行干预。在六个模型和两个多轮基准测试中，DART 将 MT-AgentRisk 上的攻击成功率从 84% 降至 25%，以 12% 的平均误报率捕获了每一次攻击；在 ASEval 上则将攻击成功率从 97% 降至 52%，同时对良性请求的非拒答率损失分别为 8% 和 0%。在 MT-AgentRisk 上，DART 在全部六个模型上均优于当前最先进的多轮防御 ToolShield：在相同协议下，ToolShield 的攻击成功率仅降至 55%。去噪至关重要：在 ASEval 上，未经去噪的监视器只能捕获 7%—40% 的攻击，而经过去噪的监视器可捕获 60%—85% 的攻击。同一监视器无需修改即可覆盖单轮间接注入，并且每个受监控步骤仅增加 0.14—0.56 秒的开销，无需辅助模型，因此可作为计算密集型推测式防御的轻量级补充。