AgentXploit：面向 AI Agent 的自主式从代码库到运行时红队测试

AI Agent 将语言模型与外部数据和工具相结合，这些工具可以修改文件、调用 API 或执行代码。当对抗性内容改变 Agent 的工具使用方式，或周边软件存在路径遍历、命令注入等漏洞时，可能会出现安全故障。我们研究授权的白盒部署前审计，其中审计者可以访问目标代码库和受控运行时，但成功攻击仍必须通过任务定义的攻击者接口实施，并由外部验证器确认。我们提出 AgentXploit，这是一个双角色审计系统，将代码库级别的攻击路径发现与运行时利用分离开来。Analyzer Agent 将攻击者可控输入追踪到敏感操作，并记录有代码支持的候选攻击路径；Exploiter Agent 将这些路径转化为具体攻击，并利用运行时反馈对其进行修正。我们还引入了 AgentXploit-Bench，其中包含 12 个开源 AI Agent 系统和框架中的 72 个可复现漏洞。在三次运行中，AgentXploit 达到 59.3% 的端到端成功率，而 Codex 为 38.4%。在令牌预算匹配的比较下，Codex 达到 46.3%。在 AgentDojo 上，由于提供了注入点，Exploiter Agent 达到 79.2% 的攻击成功率，而 AgentVigil 为 52.7%。这些结果凸显了代码库发现和运行时利用是端到端 Agent 安全审计中的不同挑战。