产业界智能体分级分类框架与安全评测矩阵(原创)

摘要

本文档提出一套面向安全分析的产业界智能体三轴分类框架：以能力边界（A–F）为主轴划分六大能力类别，以自主级别（L1–L4）为辅轴划分治理强度，以状态持久性（M0–M3）为第二辅轴刻画记忆维度的时间风险模型，并在其上叠加四维通用风险评分卡输出可操作的风险定级。在此基础上，文档对风险最集中的 A/B/C/D 四类给出基于"风险主导维度"的细粒度子类划分，对 E 类（多智能体协作系统）给出"拓扑 × 共享资源 × 信任"三维深度拆解，并构建覆盖 19 个子类 + 2 个扩展类 + 1 个记忆横切面的完整评测矩阵（攻击路径 × 评测覆盖 × 防护缺口），可直接作为综述主体章节骨架。与 OWASP Agentic Top 10、IETF 起草的 Agent Security Benchmark 形成互补——后者偏重指标维度，本框架偏重类别归位与空白定位。

第一章 分类方法论

1.1 为什么"按应用领域分类"会失效

按应用领域（客服 Agent、编码 Agent、办公 Agent）进行单一维度分类是产业界的常见直觉，但用于安全分析存在三个结构性缺陷：第一，风险由"能做什么"决定，而不是"用在哪儿"决定。间接提示注入、工具调用劫持、数据外传等核心攻击面，指向的都是 Agent 被授予的工具、数据访问与执行权限，而非垂直场景本身。一个读 Cookie 的客服 Agent 和一个读 Cookie 的编码 Agent，风险机制完全相同。第二，统一治理已被产业界证明不可行。Gartner 2026 年报告指出，把所有 Agent 一起"锁死"或"放权"是治理失败的根因：简单 Agent 被过度限制会催生影子开发，自主 Agent 被限制不足会扩大合规与安全风险；预计到 2027 年将有 40% 的企业因治理错位而降级或下线自主 Agent。第三，学术评测体系已按能力维度建模。OpenAgentSafety 等基准把"风险类别 × 工具使用 × 用户意图"作为三维设计轴，明确指出单轴基准无法覆盖真实部署场景。若分类维度与评测维度不对齐，后续的评测与防护分析将无法对位。

1.2 Agent 的判定基线

借鉴 Anthropic 对 Workflow 与 Agent 的区分，本框架采用如下判定基线：如果系统的调用路径、工具选择、执行顺序全部由人预先写死，它是 Workflow；如果 LLM 自主决定"下一步做什么、用哪个工具、何时停止"，才是 Agent。该区分直接影响安全责任归属：Workflow 出错是工程 bug，Agent 出错是模型行为失控，防护思路完全不同。无工具调用、无环境操作的纯对话机器人属于 LLM 内容安全范畴，不在本框架讨论范围内。

1.3 三轴框架总览

判定基线：LLM 动态决定自身流程 + 能调用工具/操作环境 → Agent        （固定代码路径 = Workflow；无工具 = Chatbot，均不入框架）主轴   能力边界（A–F）  ——  决定攻击面类型、核心风险、对应评测基准辅轴1  自主级别（L1–L4）——  决定治理强度、审批流、监控粒度辅轴2  状态持久性（M0–M3）—— 决定跨会话/跨用户的传播半径叠加层  四维风险评分卡   ——  可逆性 × 爆炸半径 × 不可信内容暴露度 × 数据敏感级

三轴的必要性在于：单看能力边界无法区分同一形态 Agent 在不同权限下的风险量级（同样是浏览器 Agent，比价是 L2、自动下单是 L4）；单看自主级别又无法区分风险性质（同样是 L4，工具调用的风险是"操作失控"，记忆增强的风险是"跨会话扩散"）；叠加四维评分卡后，每个 Agent 都能落到唯一的治理格子。

第二章 主轴：六大能力类别（A–F）

A–F 的划分依据是"能操作什么"——这是攻击面构造的逻辑：IPI、工具劫持、数据外传等核心攻击机制在能力维度上有明确对应物，而不是垂直场景。

• A 类：A1 问答/知识库、A2 研究/深度调研、A3 文档处理
• B 类：B1 API 编排、B2 MCP 原生、B3 业务流程、B4 数据分析
• C 类：C1 浏览器 Agent、C2 桌面 Agent、C3 移动端 Agent
• D 类：D1 交互式结对编程、D2 自主编码、D3 运维/DevOps、D4 安全测试
• E 类：E1 编排者-执行者、E2 对等协作、E3 层级组织、E4 蜂群
• F 类：F1 工业机器人、F2 服务机器人、F3 自动驾驶、F4 智能家居/IoTF 类建议在综述中单列，不与 A–E 类混排：其安全逻辑从"数据/系统安全"切换到"功能安全"，需要硬件急停、传感冗余等非软件手段。

第三章 辅轴一：四级自主级别（L1–L4）

第四章 辅轴二：四级状态持久性（M0–M3，记忆增强维度）

4.1 为什么记忆不是"第七类"

记忆是架构组件而非能力类：一个记忆增强的编码 Agent 仍然是编码 Agent，一个带持久记忆的浏览器 Agent 仍然是浏览器 Agent。记忆回答的不是"能做什么"，而是**"记住了什么、跨多久、跨多少人复用"——这是一个独立的维度。记忆比多智能体更有资格升为独立轴线**，原因在于它改变了风险模型的时间维度：

• 无记忆 Agent 的攻击面是单次上下文窗口——注入是一次性的、易逝的，会话结束攻击即消失；
• 有记忆 Agent 的攻击面变成跨会话、跨任务、跨身份——一次投毒可以持久化，在未来的任意时刻被检索回上下文并触发动作。这不是程度差异，是风险模型的维度差异。

4.2 M0–M3 分级表

4.3 记忆 ≠ RAG 知识库（必须划清的边界）

记忆≠ RAG 知识库：RAG 由外部作者编写、Agent 只读，污染发生在入库环节（A 类风险）；记忆由 Agent 在运行时自行写入，污染发生在运行时写入环节（M 轴风险）。两者投毒渠道完全不同，不能合并。

4.4 记忆带来的六类新风险

1. 持久化注入：注入不再随会话消失，攻击成本从"每会话注入"降为"一次写入、反复触发"；
2. 写入源信任失配：记忆条目的写入来源往往是不可信输入（网页、邮件、工具返回值），被污染的检索→被写入的记忆→未来的可信上下文，形成信任降级链；
3. 污染自增强回路：检索被污染记忆→影响动作→动作输出再次写入记忆→强化污染，无外力干预不会自愈；
4. 跨会话/跨用户泄露：M2/M3 级别下，多租户记忆的 ACL 在向量检索层尤其脆弱；
5. 记忆提取与合规：诱导性对话可让 Agent 吐出存储内容；删除请求需一致传播到向量库、派生嵌入、备份、缓存，任何残留都构成合规缺口；
6. 陈旧记忆驱动错误动作：Agent 基于过期记忆行动，攻击者可刻意制造"记忆-现实不一致"并利用。其中最高危的记忆类型是程序性记忆——Agent 从经验中学到的规则、技能、操作模式。污染一条事实记忆只影响一次判断，污染一条程序性记忆等于植入持久的行为后门。

第五章 叠加层：四维通用风险评分卡

四维评分卡可跨所有子类使用，作为统一的风险定级工具：

5.1 三轴交叉风险矩阵

第六章 与业界安全框架的对应

第七章 A–D 类细粒度分类

7.1 细分原则

按表面功能划分的子类用于安全分析仍然不够——同一子类内部的风险差异可能比子类之间还大。更有效的方式是：每一类按其"风险主导维度"细分。

7.2 A 类细分

细分维度：检索源可信度（谁能往里注入内容），叠加第二维度数据敏感级（公开/内部/机密/PII）。

7.3 B 类细分

细分维度：操作可逆性 × 影响范围，叠加第二维度接入协议（决定攻击面具体形态）。

• MCP 接入 → 工具投毒、工具描述与实际行为不一致（连接时审核 ≠ 运行时安全）
• SaaS OAuth 接入 → scope 滥用、token 被注入内容诱导滥用
• 数据库直连 → SQL 注入、绕过应用层权限
• 自定义插件 → 供应链风险（插件本身是第三方代码）最高风险组合：B3/B4 × MCP 接入——不可逆操作 + 运行时信任缺口，是当前企业侧最真实的攻击路径。

7.4 C 类细分

细分维度：内容信任边界 × 任务性质，叠加修正维度感知方式与账户权限。

1. 感知方式：DOM 结构化输入 vs 视觉截图输入。视觉方式的注入检测显著更难——攻击可藏在像素里（图片文字、UI 元素伪装），DOM 方式至少可做文本级过滤。评测时两类须分开测，结论不能互推。
2. 账户权限：专用受限账户 vs 用户主账户。实测数据表明，浏览器 Agent 采用"隔离 VM + 受限账户 + 域名白名单"组合可将注入攻击成功率压至约 1%；同样的模型以主账户裸跑则风险不可接受。最高风险组合：C3 × 开放互联网 × 主账户 × 视觉感知——四个维度全拉满，等于让 Agent 替用户在敌意环境里花钱。

7.5 D 类细分

细分维度：执行环境隔离级 × 权限栈深度。风险梯度本质是"代码从生成到生效要走多远"——离生产越近、权限栈越深，风险越高。

第八章 E 类深度拆解：多智能体协作系统

8.1 E 类的三维细分逻辑

E 类的风险与 A–D 类有本质区别：A–D 类的风险主要来自单 Agent 与环境的交互，而 E 类的风险来自Agent 之间的交互本身。Hammond 等人识别的 7 种多智能体风险因素——侦察与信誉滥用、多智能体合谋、级联幻觉、级联失效、跨边界信息泄露、有害协同行为、资源耗尽——全部在 Agent 间交互中产生。OWASP ASI08 也确认：级联失效"跨自主 Agent 传播、通过反馈回路放大、在人工干预前演化为系统性灾难"。E 类的风险变量不在"Agent 能做什么"，而在"Agent 之间怎么连接"——由三个相互独立的架构维度决定：维度一：拓扑结构——决定攻击路径的几何形状。维度二：共享资源——决定污染的传播介质。维度三：信任关系——决定攻击的最低成本。

8.2 维度一：拓扑结构（T1–T4）

8.3 维度二：共享资源（S1–S4）

8.4 维度三：信任关系（R1–R3）

8.5 E 类组合矩阵

8.6 E 类独有攻击路径（按维度归纳）

拓扑维度攻击

• T1：Master 劫持（一次注入控制全域）；汇总逻辑污染
• T2：合谋（同系统提示的 Agent 天然形成"投票集团"）；多数派压迫
• T3：跨级注入；层级累积偏差
• T4：伪装 Agent；任务中途劫持共享资源维度攻击
• S1：黑板投毒；级联幻觉
• S2：持久化投毒；跨身份泄露
• S3：工具选择劫持（Puppet 测得 90.89% 劫持率——在多智能体场景被放大为"一个投毒工具影响所有 Agent"）；混淆代理人
• S4：竞态利用；状态污染信任维度攻击
• R1：消息注入；重放攻击
• R2：格式伪造
• R3：实现漏洞

8.7 E 类防护缺口

第九章 完整评测矩阵

9.1 矩阵总览

9.2 A 类细矩阵

A1 封闭语料问答

• 攻击路径：知识库污染（内部人或供应链在入库环节注入）；向量空间注入操纵检索排序；跨权限聚合推断（单条合规、聚合违规）。
• 评测覆盖：RAG 投毒已有基准（5 个标准 QA 数据集 + 10 个扩展变体 + 13 攻击方法 + 7 防御机制），但现有防御在扩展数据集上显著失效，多轮对话 RAG、多模态 RAG、RAG Agent 系统仍易受攻击；多攻击者竞争场景由 PoisonArena 首次建模，单攻击者优化方法在竞争下显著失效。权限维度与聚合推断维度空白。
• 防护缺口：权限感知检索无标准方案；聚合推断审计无定义；知识库写入侧供应链校验缺失。A2 开放互联网检索
• 攻击路径：SEO 投毒（已识别 10 种独立 IPI payload 跨域名部署）；野外 IDPI 真实案例（诱导广告审核 Agent 放行诈骗内容）；payload splitting；恶意 IPI 内容相对增长 32%（Google 月抓取 20–30 亿页）。
• 评测覆盖：攻击侧充分——单封被污染邮件可在多智能体工作流中以 80% 成功率诱导 GPT-4o 外传 SSH 密钥；防御侧严重不足，检索阶段被明确识别为关键开放漏洞。
• 防护缺口：检索前净化无标准协议；防御研究与攻击基准脱节；多攻击者竞争下的防御鲁棒性无系统评估。A3 结构化数据问答
• 攻击路径：SQL 注入；跨租户越权；聚合推断再识别（从合规聚合查询重构 PII）。
• 评测覆盖：安全维度基本空白——现有 Text-to-SQL 基准（BIRD、Spider）只测功能正确性；部分被 ToolSafe BTRA 类别覆盖但仅限单步。
• 防护缺口：跨租户 SQL 生成沙箱化方案缺乏；聚合推断风险在 Agent 场景未建模；混淆代理人在 Text-to-SQL 场景无系统研究。A4 多模态文档处理
• 攻击路径：图像白字注入；像素级视觉注入（系统提示词防御基本无效）；恶意图像内容触发 UI 伪装。
• 评测覆盖：视觉注入对 CUA 已有系统评测证明无论注入时机早晚都高度有效；多模态 RAG 在 PoisonArena 类基准中易受攻击；文档处理链路安全专项基准稀少。
• 防护缺口：OCR 前多模态净化缺失；视觉注入有效防御未确立；文档多模态"指令-数据"边界无法可枚举。

9.3 B 类细矩阵

B1 只读集成：与 B2/B3 共用 AgentDojo / ToolSafe 覆盖；只读语义的形式化验证（如何证明"这个 Agent 一定不会写"）无基准，跨工具组合读取的聚合权限无审计工具。B2 可逆写操作

• 攻击路径：参数注入（ToolSafe BTRA 类别）；工作流污染；"合法但错误"（无 IPI、纯模型理解错误）。
• 评测覆盖：TS-Bench 专门覆盖 step-level 工具调用安全，含 MUR/PI/HT/BTRA 四类不安全模式，用 AgentAlign + AgentHarm + ASB + AgentDojo 的交互日志构造，提供 pre-execution 评估能力；业务级语义校验（区分"合法但错误"）无基准。B3 不可逆写操作
• 攻击路径：支付重定向；外部邮件外传（80% 成功率验证）；混淆代理人（Agent 被授权访问多套凭证时被诱导跨边界使用，CSA 已发表专门研究）；MCP 工具选择劫持（Puppet 框架在 14 模型 × 6 提供商 × 2 MCP host 上测得 90.89% 劫持率）。
• 评测覆盖：ToolSafe、AgentDojo、ASB 部分覆盖——ASB 包含 16 种攻击与 11 种防御，比 InjecAgent/AgentDojo 更全面；不可逆操作预执行验证与双人审批自动化无专门基准。
• 防护缺口：预执行验证协议未标准化；MCP 工具选择劫持的防御研究严重落后于攻击；混淆代理人防御仍停留在原则建议。B4 批量/全局操作
• 攻击路径：批量改价/状态；全局配置变更作为延迟触发前提；群发作为社会工程放大器。
• 评测覆盖：爆炸半径维度空白——部分基准含批量场景但未将其作为独立评测维度。
• 防护缺口：爆炸半径上限（rate limiting）无标准接口；分批执行+每批人审模式未沉淀为可复用组件；变更窗口与回滚机制在 Agent 场景缺乏标准实现。B5 特权操作
• 攻击路径：权限提升；密钥轮换劫持；横向移动。
• 评测覆盖：空白——现有基准把这类操作排除在工具池外，等同于通过不可见性回避问题。
• 防护缺口：默认禁止 + 人工专办模式无自动化支撑；特权操作专用审计日志无标准；Agent 与企业 IAM 系统集成无参考实现。

9.4 C 类细矩阵

C1 白名单域内

• 攻击路径：白名单内站点被攻陷后的注入；无 IPI 情况下的误操作。
• 评测覆盖：空白——WebArena / ST-WebAgentBench 几乎都在开放互联网或模拟站点测试，白名单场景基准缺失。
• 防护缺口：白名单内部安全基线；白名单动态撤销机制。C2 开放互联网浏览
• 攻击路径：网页 IDPI 野外真实案例；视觉提示注入（系统提示词防御已证明无效）；隐藏文本注入；语义相关攻击（良性任务与恶意任务语义越接近，Agent 越可能采纳注入）。
• 评测覆盖：充分——ST-WebAgentBench（222 任务 / 646 策略约束 / CuP 指标 / Risk Ratio，3 个开源 SOTA Agent 的平均 CuP 不到名义完成度的 2/3）；VisualPromptInjection；OSWorld；ClawBench。
• 防护缺口：视觉注入有效防御未确立；注入后行为拦截研究薄弱；语义相关攻击的防御策略无专门研究。C3 开放互联网交易
• 攻击路径：IDPI + 资损叠加（Unit 42 观察到的野外案例即此场景——Agent 被诱导通过诈骗页面的 Buy Now 完成支付）；Bait-and-switch；账户劫持放大。
• 评测覆盖：部分覆盖（ST-WebAgentBench 含企业场景、AgentHarm 含恶意请求）；资损维度专项基准缺失——现有基准多测"是否被注入"，不测"注入后造成多大经济损失"。
• 防护缺口：交易级人审流程的自动化触发条件无标准；受限账户 vs 主账户的隔离方案未作为变量被系统测试；支付类动作的白名单+限额机制未标准化。C4 代表用户通信
• 攻击路径：收件人劫持（数据外传通道）；社会工程放大；声誉风险。
• 评测覆盖：OA-Safety 含通信类风险场景；收件人白名单 + 外发内容人审流程无专门基准。
• 防护缺口：外发内容人审接口未标准化；收件人白名单与动态信任评估缺失；Agent"代表权边界"无清晰定义。C5 桌面系统级
• 攻击路径：本地文件外传；跨应用劫持；剪贴板/输入滥用。
• 评测覆盖：充分——OS-Harm 基于 OSWorld 构建，150 任务覆盖骚扰/版权/虚假信息/数据外传等，自动评测器与人工 F1 达 0.76/0.79；OSGuard 评测显示 unguarded agent 62.2% 任务安全完成 / 37.8% 不安全，最强护栏也只能把不安全完成降到 33.3%；OpenAgentSafety 显示 top 模型 49–73% 任务中表现出不安全行为。
• 防护缺口：进程级 OS 沙箱未成为默认部署；系统级权限栈无标准；跨应用上下文的"会话边界"定义缺失。

9.5 D 类细矩阵

D1 纯代码生成

• 攻击路径：CWE 漏洞引入；Agent 作弊（检索已知修复而非推理，部分案例作弊虚高 42 倍）。
• 评测覆盖：充分——Agent Security League 扩展自 SusVibes（200 任务 / 108 开源 Python 项目 / 77 类 CWE）；Arnica 2026 年 10 月基准显示智能体规则可让 AI 编码漏洞减少 2.7 倍。
• 防护缺口：最佳组合功能正确率 84.4%、安全正确率仅 7.8%、中位功能-安全差距 45 个百分点、最高安全分数 17.3%；结合所有方法仅 33% 安全任务被解决——"能跑但不安全"已是产业共识；反作弊评估在多数公开基准中未启用。D2 沙箱内编码
• 攻击路径：沙箱逃逸；依赖投毒；资源滥用作为隐蔽通道。
• 评测覆盖：部分覆盖，主要与 D1 共用基准，沙箱逃逸与沙箱侧信道专门基准缺失。
• 防护缺口：依赖签名与 SBOM 校验未成为 Agent 默认行为；沙箱侧信道评测方法学缺失；沙箱配置本身的安全基线未标准化。D3 仓库级写权限
• 攻击路径：配置劫持（通过 fork/PR/恶意依赖改写 Agent 规则文件 CLAUDE.md / .cursorrules / MCP 配置）；CI 劫持；依赖 typosquatting；恶意 PR 后门。
• 评测覆盖：空白——无任何专门基准测试仓库级配置劫持；ASL 测试的是"生成代码的安全性"，不测试"Agent 在仓库环境中的行为安全性"，能力评测与安全评测完全脱节。
• 防护缺口：Agent 规则文件完整性校验无标准方案；CI/CD 修改双人审批未自动化；依赖白名单+签名校验未成为 Agent 默认行为。D4 基础设施触达
• 攻击路径：凭证外传；IAM 提权；破坏性部署。
• 评测覆盖：空白——与 B5 共享"特权操作评测盲区"，基准设计时通常把云资源操作排除在工具池外。
• 防护缺口：云资源最小权限原则未在 Agent 部署中系统落实；密钥使用审计无标准；与 B5 共同构成"特权操作治理"空白。D5 运维/应急响应
• 攻击路径：生产误操作；应急动作放大故障；告警疲劳利用（制造大量告警诱使 Agent 进入自主处置模式，再借机注入）。
• 评测覆盖：部分覆盖——SRE-bench（agentkube）等已出现，覆盖事件响应、基础设施变更、可观测性分流；但现有 SRE 基准主要测功能效果（MTTR 从 45 分钟缩至 3 分钟、下降 40–70%），不测安全性；Azure SRE Agent 等产业方案的 3 层自主级别缺乏对应公开基准。
• 防护缺口：生产只读默认部署模式未标准化；应急动作可逆化无强制规范；"告警疲劳→自主处置→注入"的复合攻击路径无专门评测。

9.6 E 类细矩阵

• 攻击路径：见 8.6 节；最关键的是级联失败（OWASP ASI08 列为"最严重且未被覆盖的风险"）与 Agent 间注入传播（已被验证：单封被污染邮件可在多智能体工作流中以 80% 成功率诱导 SSH 密钥外传）。
• 评测覆盖：结构性空白——McGill 对 40 个基准的系统分析发现多智能体安全基准虽扩张迅速，但全部在沙箱中运行且工具受限，没有任何基准测试级联的 Agent 间失败或长程涌现协调风险在生产部署中的表现；指标碎片化、跨基准不可比。
• 防护缺口：见 8.7 节。

9.7 F 类细矩阵

• 攻击路径：物理伤害；感知欺骗；实时性失效；世界模型安全边界（数据、传感器、提示、反馈都可向物理动作传播——新的攻击边界）。
• 评测覆盖：部分覆盖——首个统一具身 AI 安全综述覆盖 500+ 关键工作（感知、认知、规划层）；Inspect Robots 开源框架运行物理能力与安全评测；世界模型安全综述展示攻击家族（投毒、后门、对抗样本、传感器欺骗、轨迹操纵、供应链）在世界状态、学习动态、可供性估计、安全成本上的独特含义。
• 防护缺口：硬件急停标准化；传感冗余评测方法学；"演示到部署的鸿沟"是核心挑战。

9.8 M 轴横切矩阵

攻击路径

• 写入时投毒（记忆型间接注入）：通过邮件、网页、工具输出诱导 Agent 写入恶意记忆，注入发生在当次会话、收割发生在未来会话；
• 嵌入空间后门：AgentPoison 类直接对记忆/向量库投毒，触发条件绑定特定查询模式，常规文本检测无法发现；
• 延迟触发：跨会话等待触发时机——JANUS 类前瞻护栏最困难的场景（触发证据在未来而非当前轨迹）；
• 跨租户泄露：M2/M3 级别下多用户共享记忆的检索隔离失效；
• 记忆提取：诱导性对话让 Agent 吐出存储的偏好、历史、PII；
• 删除抗性：删除请求不传播到派生嵌入、备份、缓存。评测覆盖：部分（能力评测成熟、安全评测接近空白）
• 能力维度成熟：LongMemEval、LOCOMO、MemBench 已系统评测准确率/成本/时延；Letta 团队发现简单文件存储即可达 LoCoMo 74% 准确率，暗示当前记忆基准可能不够有意义；
• 安全维度新突破：MemHarmBench 是首个 victim-centric 的跨会话提示注入基准，定义 12 个攻击目标、24 个模板、12 个操作上下文共 288 个案例，按"用户/工作区所有者/外部利益相关者"三类受害者分别评估 target adoption、task completion、execution anomalies；
• 攻击侧已有充分演示：GhostWriter 记忆投毒对 SOTA Agent 注入率约 98%、激活率约 60%；对应防御 AM-Sentry（记忆保存策略 + 记忆检索筛选）能大幅降低成功率同时保留 utility；Forcepoint 提出记忆风险评分引擎，按风险分拒收/隔离/标记待用户确认/标记不可信；
• 仍缺失：投毒持久性评测（污染在多少个会话后仍存活）；跨用户泄露专项测试（现有基准均为单用户设定）；删除合规性（遗忘权传播完整性）；程序性记忆（技能/规则）投毒评测完全缺失。防护缺口

  环节	缺口	应有形态
  写入侧	记忆写入被当作普通操作	写入应视为特权操作（比照 B5）：来源溯源、不可信会话写入需隔离/用户确认、只存事实不存指令
  读取侧	检索无 ACL、无来源标签	每条记忆携带溯源标签（来源、时间戳、信任级、会话 ID），按用户/租户隔离，检索结果二次校验
  记忆卫生	无衰减/冲突消解/完整性审计	TTL、冲突检测、周期性审计、可疑记忆隔离区
  删除合规	删除不传播	覆盖向量库、派生嵌入、备份、缓存，并提供删除完整性证明
  程序性记忆	技能/规则无完整性保护	对学到的规则与 Skill 做签名与沙箱验证（Defense-as-Skill 思路推广）

9.9 高危角落专节：L4 × M2/M3

第十章 评测生态的四个结构性问题

McGill 对 40 个行为型安全基准的系统分析揭示了四个跨子类的结构性问题：

1. 方法学不一致：威胁模型不一致、指标不兼容、风险覆盖重叠但不完整。广撒网式覆盖可能掩盖核心基准集中在受限安全评测的事实。
2. Robustness 维度空白：R10（鲁棒性）在 2026 年初零个同行评审的核心基准覆盖。
3. 多智能体评测全部沙箱化：没有任何基准在生产级环境中测试开放权限的 Agent。
4. 联合安全-效用指标采用率低：仅小部分基准使用联合指标——通过基准测试无法推断 Agent 在超出测试设置时的行为。

第十一章 评测空白优先级排序

按"产业部署广度 × 评测空白严重度"排序，最值得学界与产业界优先填补的空白：

1. D3 仓库级配置劫持——部署广度高、空白完全、攻击路径已被验证；
2. B5 / D4 特权操作——部署广度高、空白完全、与混淆代理人直接相关；
3. M 记忆投毒持久性与跨租户泄露评测——产业紧迫度高（所有已上线个性化记忆产品）、MemHarmBench 刚起步；
4. B4 批量/全局操作的爆炸半径——部署广度极高、维度完全缺失；
5. 多智能体级联失败的生产级评测——部署增长快、所有基准沙箱化；
6. C3 交易类资损量化——部署广度高、资损维度缺失；
7. A3 聚合推断再识别——合规压力大、方法学缺失；
8. 程序性记忆/Skill 投毒评测——与 D3 配置劫持合并看待（Skill 即持久化的程序性记忆）；
9. Robustness 整体维度——2026 年初零个同行评审核心基准覆盖；
10. F 具身物理安全的世界模型边界——新兴攻击面。

第十二章 章节映射

第十三章 结论与未来方向

13.1 框架核心价值

本框架的价值在于把 OWASP 的抽象威胁清单与 IETF 的指标体系，重新对位到"按 Agent 形态组织"的产业部署视图上。风险等级不再依赖直觉或领域标签，而是由可核查的能力边界、自主级别、状态持久性与四维评分卡共同决定——每一格都能推出明确的评测基准集合与防护手段集合。

13.2 分类体系的应用价值

1. 风险定位：每一格（类别 × 级别 × 记忆级别）都能推出明确的评测基准集合与防护手段集合，避免维度打架；
2. 治理分层：辅轴直接对接企业治理强度分级（审批流、审计、熔断、回滚）；
3. 暴露评测空白：分类工作能直接揭示当前评测体系的缺口——例如 B5/D4 特权操作、D3 配置劫持、记忆投毒持久性、多智能体级联失败；
4. 指导防护栈设计：不同子类的防护逻辑方向不同（限制能力型 vs 保障授权边界型），分类是防护方案选型的前置输入。

13.3 未来研究方向

方向一：前瞻护栏向记忆审计扩展。记忆安全与轨迹安全是同一问题的两个时间切片——轨迹安全（JANUS/TRACES/ToolSafe 类方案）防护的是"这一段执行"的风险，记忆安全防护的是"跨执行的存量状态"风险；记忆本质上是"被冻结的轨迹"。这意味着 JANUS 类前瞻护栏理论上可以扩展到记忆审计：把记忆条目当作"过去轨迹的摘要"做准入裁决，是一个有潜力的研究方向。方向二：多智能体协调协议的威胁建模。E 类四种拓扑各自需要独立的威胁模型，目前均缺失。需要建立"拓扑 × 共享资源 × 信任"三维组合下的系统性威胁建模方法。方向三：程序性记忆的完整性保护。Skill 生态的爆发让"程序性记忆投毒"变得紧迫，需要把 Defense-as-Skill 思路推广为通用机制——对 Agent 学到的规则与技能做签名与沙箱验证。方向四：联合安全-效用评测指标。解决 McGill 分析揭示的"通过基准测试无法推断 Agent 在超出测试设置时的行为"这一根本问题，需要推动联合安全-效用指标的标准化。

13.4 结语

本框架为产业界智能体的安全评测与防护提供了结构化地图，其核心贡献有三：一是把"应用领域"式的直觉分类升级为可核查的三轴分类；二是把分类维度与评测维度对齐，使每格都能独立展开"攻击路径→评测覆盖→防护缺口"的三段式分析；三是通过系统性暴露评测空白，为未来研究提供了明确的优先级路线图。

部分内容与AI协作