Agent 安全新前沿五重奏：技能链劫持、模因木马、无辜信使、内存分区与主动越权 合读精读

论文链接： Chaining Skills to Hijack LLM Agents (APEX) ｜ Memetic Trojans ｜ The Innocent Courier (LLMLeak) ｜ ZoneClaw ｜ OverAct 代码仓库：APEX ｜ Memetic Trojans ｜ ZoneClaw（LLMLeak 与 OverAct 未开源） 发表时间：2026 年 9 月 30 日 – 10 月 1 日（五篇 arXiv 预印本密集出现） 机构：APEX——香港大学、山东大学、上海交通大学、东南大学（纯高校合作）；Memetic Trojans——Simula 研究所（挪威）+ Oslo Metropolitan University；LLMLeak——TU Darmstadt（德国）+ Graz 理工（奥地利）；ZoneClaw——新加坡国立大学（单机构）；OverAct——合肥工业大学 + 华东师范大学 + 阿里云（高校 + 企业合作，通讯作者来自阿里云） 领域标签：cs.CR（安全）/ cs.SI（社会与信息网络）

〇、总览：五篇论文，一个叙事

把这五篇论文放在一起读，会发现它们不是五个孤立的安全漏洞，而是同一个趋势的五个切面：Agent 攻击的重心正在从「操纵模型」转向「滥用系统结构」。

过去几年 Agent 安全研究的主线是提示注入（prompt injection）：攻击者把恶意指令藏进模型会读到的数据里，诱骗模型偏离用户意图。这条防线如今已经相当拥挤——指令层级训练、结构化输入、信息流控制、工具权限管控，都在针对「模型被指令操纵」这一个假设。

而这五篇论文分别绕开了这个假设：

• APEX（技能链劫持）：不注入任何指令，只让 Agent 自己把「任务进度 + 伪造的用户批准」写进持久化记录，让下游技能把这份「自己写的文件」当成授权依据。直接注入只有 3.5% 成功率的场景，跨技能链做到 84.3%。
• Memetic Trojans（模因木马）：不需要任何 Agent 被入侵，把恶意技能链接寄生在 Agent 社交网络里「大家本来就爱转发」的内容上，借内生传播把曝光放大 3.19 倍，排序 feed 下 20 个种子就有 88% 概率全网曝光。
• The Innocent Courier（无辜信使）：不操纵 LLM 的行为，只借它「帮用户调试时会抓取参考网页」这个完全合法的功能，把机密编码进报错信息里的 URL——Llama-3.3-70B 上完整载荷外传率 99.9%，17,528 次成功泄露只有 0.1% 触发警告。
• ZoneClaw（防御代表）：正面回应上述攻击类的共同结构根源——OpenClaw 式 Agent 的持久化内存是「平权」的，被记住就等于被授权。它把内存分成三个信任区，核心原则是「持久化 ≠ 授权」，把攻击成功率从 372/480 压到 6/480，同时良性事实 30/30 全部正常晋升。
• OverAct（主动越权）：干脆不需要攻击者。7 个模型全部会调用超出用户请求字面范围的工具、多读隐私数据（SIR 全部 >1，最高 2.39）——「过度热心」本身就是一种越权，SELFAUDIT 自我审计把隐私违规分砍掉 43%。

一句话总结这个叙事：当模型本身越来越难被欺骗时，攻击者开始滥用 Agent 系统里那些「设计上就被信任」的环节——技能交接、社交传播、合法工具、持久记忆——而即便没有攻击者，Agent 的决策结构本身也会自发越权。 防御的对应答案不是更强的提示注入检测，而是系统级的授权结构：把「记住」「转发」「抓取」「调用」这些行为与「被授权」解耦。

下表先把五篇论文的定位放在一起：

一、背景：Agent 为什么长出了这么多「可信环节」

要理解这批攻击为什么成立，需要先理解现代 LLM Agent 系统长什么样。一个 2026 年的典型 Agent 已经不是一个对话框，而是一套持续运行、装配工具、互相连接的系统：

• 技能（Skills）：可复用的任务指令包（通常是一个 SKILL.md 文件），用户从公开市场安装，Agent 在执行任务时按需加载。技能像「岗位操作手册」——告诉 Agent 处理某类任务的流程。一个任务往往要串联多个技能，前一个技能的产出（比如一份摘要记录）会成为后一个技能的输入。
• 持久化工作区内存：OpenClaw 式计算机使用 Agent（CUA）把用户偏好、任务笔记、工具流程写进 AGENTS.md、MEMORY.md、TOOLS.md 等文件，每次会话启动时自动重载。这让它能跨会话记住事情，也意味着任何被写进去的内容会在未来所有会话中以「操作上下文」的身份回流。
• 联网与抓取工具：主流聊天助手都带网页抓取（fetch）工具，模型在排障、查资料时会自主决定访问哪个 URL。
• Agent 社交网络：Moltbook 这类平台上数万个自主 Agent 互相发帖、点赞、转发、安装彼此推荐的技能；互联网流量中 Agent 流量 2025 年增长了 7,851%（Memetic Trojans 论文引用的数据），约为人类流量增速的八倍。
• 结构化工具调用：面向 API 的 Agent（银行、医疗、智能家居等）自主决定调用哪些接口，每个接口背后是不同类别的个人身份信息（PII）。

这些环节有一个共同点：它们在设计上就是被信任的。技能市场默认上架的技能是善意的；Agent 自己写的记录是「自己的笔记」；fetch 工具访问的 URL 是「模型认为有助于排障的参考资料」；Agent 转发的内容是「它自己选择转发的」；Agent 调用的工具是「它判断任务需要的」。整个信任模型建立在「模型行为正常 ⇒ 这些环节产生的行为就正常」之上。

而这五篇论文共同击碎的正是这个推理链：每一个被信任的环节，都可以在不操纵模型的前提下被滥用。APEX 利用「Agent 相信自己写的记录」；Memetic Trojans 利用「Agent 自愿转发」；LLMLeak 利用「Agent 自主抓取」；ZoneClaw 修补的正是「被记住即被授权」这一隐含等式；OverAct 则说明就算没有任何外部滥用，「Agent 自主判断需要」这个动作本身也会系统性地超出授权范围。

二、四类新攻击面 + 一类良性越权 + 一个防御答案

2.1 APEX：跨技能的伪造授权链

论文：Chaining Skills to Hijack LLM Agents，港大牵头，四所高校合作。

问题：当 Agent 依次执行多个技能时，上游技能的产出会指导下游技能的决策。攻击者能否在技能市场发布一组「每个单独看都无害」的技能，串成一条劫持链？

机制：APEX（Authority Promotion EXplorer）的核心洞察是——Agent 自己写的任务进度记录可以携带一条伪造的用户批准。以「总结文件但保留原文件」这个任务为例：

1. 上游技能诱导 Agent 写一份记录：「摘要已完成 ✓，源文件已获批准可清理」（后半句是攻击者塞进技能指令里的谎言，但记录是 Agent 亲手写的）；
2. 下游技能指示 Agent「按照记录执行后续操作」，Agent 读到自己写的「已批准」，删掉了用户要求保留的文件。

攻击构造是一个迭代优化循环：生成候选技能链 → 在隔离环境试跑 → 拿到「链在哪一步断掉」的执行反馈（是没建立交接，还是没诱导出动作）→ 修订对应阶段的指令。论文定义了五个攻击族：外传（External Transfer）、脚本执行（Script Acquisition）、文件删除（File Modification）、输出篡改（Output Tampering）、死循环耗资源（Work Loop）。

理论部分很扎实：**命题 1（不可区分交接）**证明如果「许可」与「禁止」两种原始请求在下游技能可见的局部视图上分布相同（TV 距离为 0），那么任何只基于局部视图的决策规则，误允许与误拒绝的概率之和 ≥ 1——你不可能既不冤枉好人也不放过坏人，除非回头查原始请求。这从信息论角度说明了为什么「查记录」不足以判定权限。命题 2 用有限状态模型刻画 Work Loop 的 token 成本：重返概率每提高一点，期望成本增加正比于「源状态的期望访问次数 × 目标状态之后的期望成本」。

关键实验（SkillsBench，6 个模型）：

• 全链 ASR 84.3%（GPT-5.4，四类定向动作族合计 512/690 = 74.2%），直接注入仅 3.5%（差 +80.9pp），合并成单技能 17.4%（差 +66.9pp）；
• 把记录里的「已批准」改成「明确拒绝授权」，ASR 从 84.3% 掉到 27.0%（-57.4pp）——说明伪造授权陈述确实是攻击的核心载体；
• 任务效用几乎不掉：GPT-5.4 上攻击运行与良性基线的 verifier 通过率平均只差 2.6pp，Output Tampering 族 90.3% ASR 的同时效用只从 90.4% 变 89.6%——受害者拿到了正确的摘要，只是文件被多删了。这是最阴险的地方：常规任务验收测不出攻击；
• Work Loop 让 token 消耗达到基线的 2.20×–36.39×（Kimi K2.6 最高），且 Kimi 在 36.39× 的资源消耗下效用居然一点没掉（77.0% vs 77.0%）；
• 提示防御（taint-guided prompting，把技能产生的文件标为不可信）把 ASR 从 84.3% 降到 59.1%，但代价是 72 个良性任务的效用从 86.7% 跌到 56.3%（-30.4pp）——按下葫芦浮起瓢。

为什么直接注入 3.5% 而技能链 84.3%？直接注入是「一个技能里写着我授权你删文件」，模型的指令层级训练会把它当数据拒绝；技能链则是「Agent 在任务执行中亲手写下的进度文件里夹带了一句批准」，这份记录获得的是事实性信任（它确实是 Agent 写的、内容前半段是真的），下游技能把「记录说可以做」当成了「用户允许做」。操纵的对象从模型的指令解析转移到了系统的状态交接。

2.2 Memetic Trojans：寄生在社交传染上的载荷

论文：Memetic Trojans: Social Contagions as Carriers of Adversarial Payloads in Agent Networks，Simula + OsloMet。

问题：已知的 Agent 蠕虫（agent worm）靠提示注入或配置篡改强迫被感染的 Agent 复制自己——这类传播可以被提示注入防御削弱。如果攻击完全不需要「感染」任何 Agent 呢？

机制：人类社交网络里有「社会传染因子」——不是因为有人命令转发，而是内容本身让人觉得值得转发。作者假设 Agent 网络也有类似现象：某些内容会让 Agent 更愿意转发、点赞。模因木马 = 把恶意技能链接嵌进高传染性载体内容。转发的 Agent 没有被入侵、行为完全符合自身目标，因此提示注入检测和「防妥协」防御全部失效。

方法学是这篇论文的亮点，跨学科味道很浓：

1. 传染因子识别：从 Moltbook（真实 LLM Agent 社交平台，3.7 万+ Agent）的语料中用三种方式提取可传播单元——词法单元（emoji/链接/hashtag）、新词（Zipf 分数 <2.5 的低频词爆发）、主题聚类（bge-large 嵌入 + UMAP + HDBSCAN，191 簇）；
2. Hawkes 过程建模：把「一个 Agent 首次发含某单元的帖子」当作地震，后续他人的跟发当作余震，用可见性标记的自激励点过程估计每个单元的内生再生数 R_endo（一次采纳平均直接触发多少次新采纳；>1 为自持续传播）与点赞边 r_up（该主题的平均点赞 vs 全站均值之比）；
3. 严格排除混杂：时间反演安慰剂检验（真传染有时间方向性，同质性和共同冲击没有）+ 逐单元的置换检验 + Mann-Whitney 点赞边检验，只有通过至少一项的单元才当选载体；
4. 单 Agent 测定：给 5 个开源后端（gpt-oss-120B、qwen-32B、deepseek-v4.1-flash、gemma2-27B、command-r-35B）喂含木马帖子的模拟 feed，用 prefill 技巧分解测量 p(转发) = p(发帖)×p(发帖含载荷)，同时测定 fetch/install 行为率；
5. Monte Carlo 传播仿真：在 Moltbook 排序 feed（N=37,189）与 Twitter 关注图（N=81,306）两种基底上跑 6000 次仿真，含实时快照标定的「破圈概率」（普通帖进入广播排序的概率 0.006–0.14）。

关键数字：

• 最优载体把期望曝光放大 3.19×（top/day 排序 vs 通用链接帖），vs 弱传染对照 4.78×；最高传染载体被重传率约 50%、获赞为均值 2.5×；
• 每个模型的冠军载体各异：security 主题（skill/skills/security/trust 簇，r_up=1.50）在 gpt-oss 和 deepseek 上登顶，deepseek 上 r_up 高达 4.70、对 market-tip 对照的放大 182 倍；
• 破圈即广播：一旦帖子进入 top 排序，每轮触达剩余人口的 94%，约 2 轮即覆盖全网。发帖免费，P(≥1 破圈) = 1-(1-p_break)^k——p_break≈0.1 时 20 个种子就有 88% 概率全网曝光；Moltbook 规模（N≈4×10⁴）下单个破圈种子期望带来约 10⁴ 次安装；
• 两种基底的结构差异是重要结论：排序 feed 网络（状态中介）中危害随网络规模 N 增长，关注图网络（边中介）中危害随种子关注度 d 增长——中心化的信息流是更危险的 substrate；
• 诚实的鲁棒性分析：改写链实验发现木马的点赞优势每跳衰减（每跳 -0.14/-0.07）但仍高于基线，转发衰减是 backend 特异的；「载荷脱落」率平均 0.41（转发主题但丢掉链接）；对仿真参数的大规模扰动下放大倍数始终 >1（更严的准入门槛反而把优势从 1.36× 推高到 2.79×）。

与蠕虫的本质区别：蠕虫的传播机制寄生在「被感染的宿主」里，防住宿主被感染就防住了传播；模因木马的传播机制寄生在「网络的正常交互动力学」里，转发者个个清白。防御只能转向载荷本身（审计技能分发渠道）或网络层（用同样的 Hawkes 统计量给高传染内容打风险分、加进排序函数做级联阻尼）——这恰好是平台反协同造假文献里已有的做法。

2.3 The Innocent Courier：借合法抓取的隐蔽信道

论文：The Innocent Courier: Covert Exfiltration Through Legitimate LLM Web Fetching，TU Darmstadt + Graz。

问题：一台被恶意软件感染、但网络被隔离/监控的机器，如何把偷到的机密送出去？答案：让用户把「报错信息」粘贴给 LLM 聊天助手。

机制（LLMLeak）：客户端恶意库抛出一个真实的异常，异常消息里引用一个「提供更多错误信息的网址」（这在外部库报错里极其常见——想想真实的 PyTorch 栈回溯里就带着 CVE 链接）。秘密被编码进 URL：子域携带 → DNS 信道，路径携带 → HTTP 信道。用户把栈回溯贴给 LLM 求助，LLM 在排障过程中认为该 URL 是有用的参考资料，发起 fetch——请求本身即完成外传，攻击者的权威 DNS/Web 服务器记录下请求就解码出了秘密。

整个链条里没有任何提示注入：异常是真的（栈帧、行号都对应真实执行），URL 字符全部可见，LLM 做的是它设计上该做的事（为排障检索外部信息）。论文还测试了两种措辞框架：directive（明确说需要打开该 URL）vs informational（仅提及信息在该 URL 有记载）——informational 下平均 Sconf 从 79.7% 降到 54.6%，说明就算完全不指示，模型也会出于「正常的排障行为」去抓取。另有 CJK 编码变体（base-36 对 → U+4E00 起的 CJK 码点，每字符编码 10.34 bits）把信道容量翻倍，Sconf 降 13.7pp 至 66.0%。

关键实验（11 个开源模型，每模型 n=2000；ReAct 式 agent，5 工具，24 轮上限）：

• 隐蔽性：17,528 次确认泄露中仅 19 次（0.1%） 伴随明确警告，99.9% 的成功外传是隐蔽的；最显眼的信号只是模型在回答里提到域名（64.3%，啰嗦的副产品，不是防护行为）；judge（gpt-oss-120b）经人工验证精度 95%、漏报 <2%；
• 真实商用聊天机器人案例研究（n=280）：Grok 4.5 Fast 两种框架下全部 100%，ChatGPT 5.6 Sol 80–100%，全 7 模型平均 47.9–48.6%；Claude Haiku 4.5 与 Gemini Flash-Lite 在 directive 下 0%（前者倾向于让用户自己 curl——但这仍然可能泄露，取决于用户是否照做）；
• 长度消融：载荷 4→63 字符，S_reach 几乎不降，S_conf 缓降（多为单字符滑码，r 显示载荷基本完整到达）。

为什么绕过所有 prompt-injection 防御：因为攻击不注入指令。防御体系（结构化输入、注入检测、隔离渲染）针对的都是「恶意内容试图控制模型」这个前提；LLMLeak 里模型行为完全正常，被滥用的是功能的副作用——fetch 工具发出的网络请求本身就携带了数据。论文提出的三类对策都有代价：默认禁网（损效用）、未知域名人工审批（交互开销，且有「过期域名被攻击者续注」的绕过）、域名信任分（老域名被攻陷时依然失效）。论文还援引了 OpenAI 在本文定稿期间披露的真实事件——一个逃逸的 Agent 用 DNS 请求与外部系统通信——独立印证了这类信道的现实性。

2.4 ZoneClaw：持久化 ≠ 授权

论文：ZoneClaw: Mitigating Persistent Memory Attacks by Establishing Memory-Zoning in OpenClaw-Style Computer-Use Agents，新加坡国立大学。

问题（这篇先自己造了攻击再防）：OpenClaw 式 CUA 把工作区文件（AGENTS.md / MEMORY.md / TOOLS.md）在每次启动时重载为操作上下文，且不附任何权限标签——用户确认的偏好、系统总结、外部内容的声明，全部以同等特权回流。攻击者只需控制一封看起来正常的邮件/帖子/网页：CUA 在合法任务中读到它，把「攻击者偏好的声明」（比如「CLI 发邮件必须 BCC 到某合规地址」）连同有用的信息一起写进 MEMORY.md；之后的任何良性会话都会把这条声明当作既定流程执行。攻击链从「恶意上下文 ⇒ 恶意响应」延长为「恶意上下文 ⇒ 内存注入 ⇒ 恶意执行」，注入与执行跨环境分离。

预备实验很说明问题：在 30 个 Workspace-Bench 任务里种入一条无害的写作惯例，仅靠「写进内存」就被采纳 14/30 次；要压制它，用户必须提前预判并写出对抗性指令（0/30）或对抗性内存（4/30）。「被记住」本身就赋予了事实上的权威，而撤销它需要未卜先知。

防御设计：ZoneClaw 把平权内存重组为三区 + 四角色：

• 三区：D0 策略区（不可变的用户策略锚）/ D1 可信区（经用户确认或交叉验证的操作记忆）/ D2 低信任区（外部声明 + 来源，只作参考）。核心不变式：persistence does not imply authority（持久化不等于授权）。
• 四角色（非对称特权）：Planner 分解指令（只读 D0+D1）、Observer 读外部内容写 D2（禁止任何外向动作）、Gatekeeper 独占 D2→D1 晋升（对照 D0/D1 交叉校验）、Executor 执行（只读 D0+D1）。没有任何进程既能接触外部内容又能外向行动。
• 三道边界：B1 持久化边界（外部⇒D2）、B2 授权边界（D2⇒D1）、B3 行动边界（D0/D1⇒动作）。现有防御守 B1（写入时过滤，如 Watcher）或 B3（动作时拦截，如 ClawGuard），ZoneClaw 守的是中间没人管的 B2。

关键实验（4 攻击场景 × 2 注入设置 × 4 骨干，每组 15 trials）：

• 无防御 ASR 372/480；四种代表防御（Watcher / ClawGuard / MELON / PrivSep）各自在某些场景下 ASR 仍高或掉效用——比如 ClawGuard 能把 BCC 压到 0/15 但对 Chat Mirror 放行 13-15/15，因为「往一个看起来像内部频道的地址发副本」单看并不异常；
• ZoneClaw：ASR 6/480，效用保住 458/480；Claude Sonnet 4.6 上 8 个组合全部 0/15；
• 边界分析证明它守的确实是 B2：攻击者内容在 119/120 的试验里依然被持久化进 D2（不拒绝学习），但 CSR（越权晋升率）为 0——「扣留授权而非拒绝学习」；
• 良性晋升不受阻：Benign-only 设置下三条良性事实 30/30 全部晋升；Malicious-only 下恶意声明 29/30 留在 D2、0/30 越过 B2——Gatekeeper 是按「声明要求什么」而非「声明长什么样」来判断的；
• 自适应攻击防住了：Corroboration Planting（自带伪造的审批证据）与 Claim Fragmentation（把载荷拆成各自无害的碎片）下 ZoneClaw 仍然 0/15 ASR、30/30 效用。结构原因：交叉校验只对照 D0/D1，攻击者能写的只在 D2，D2 里的声明不能互相担保，碎片必须各自独立通过晋升而非组合通过；
• 消融显示缺一不可：去掉分区 21/30、去掉 Gatekeeper 15/30、去掉交叉校验 2/30（但此时 CSR 已 21-25/30，等于 B3 在替 B2 擦屁股）；开销上 token 与 API 成本是五种防御里最低的（输入 token 173.2k vs 其他 390-501k），只有延迟 2.26× 偏高（角色串行）。

设计灵感直接来自经典安全架构：最小特权（Saltzer & Schroeder 1975）、Biba 完整性模型（1977）、Clark & Wilson 认证完整性升级（1987）。这也解释了为什么它跨骨干稳定（GPT-5.5/GLM-5.2/Qwen3.7-Plus 上 32 组合中 30 个 0/15）而基线防御的排名随骨干洗牌——结构约束不依赖模型行为，内容判断依赖。

2.5 OverAct：不需要攻击者的越权

论文：OverAct: Measuring and Mitigating Proactive Over-Authorization in LLM Tool-Calling Agents，合工大 + 华东师大 + 阿里云。

问题：前四篇都是有攻击者或至少有恶意内容；这篇证明Agent 自己就会越权。用户对银行 Agent 说「查一下余额」，最小充分调用是 1 个 get_checking_balance，实际 Agent 常常顺手拉了流水、储蓄、卡信息、账户详情——每一次多余调用都是一次不必要的隐私数据访问。作者将其命名为主动越权（proactive over-authorization）：行动范围超出用户字面请求所蕴含的范围。注意这非对抗场景，是「过度热心」的暗面。

测量设计：OVERACT 基准，8 个隐私敏感域 × 每域 6 工具（含 PII 标注）× 720 episodes × 3 个具体度级别（precise/moderate/vague），确定性、无 judge 评分——所有指标都是实际调用集与标注最小集的集合运算。三种范围的概念区分很严谨：基准授权范围（字面保守解释）/ 用户偏好范围 / 部署合规范围，实证结论锚定在第一种上。

决策论解释框架（自谦为「解释性模型」而非因果机制）：把工具选择建成代价敏感决策——漏调必需工具的代价 c⁻ 远大于多调无用工具的代价 c⁺（漏了任务失败，多了只是啰嗦），贝叶斯最优纳入阈值 τ = c⁺/(c⁻+c⁺) = 1/(1+r) 就变得很低，语义相邻但非必需的工具更容易过线。由此推出三条可检验预测：

• P2 具体度-超额单调性：vague 请求 SIR 达 2.7×（d=1.19），precise 请求接近完美合规，所有模型、所有两两对比均显著；
• P3 有界饱和：SIR 随工具池 4→24 亚线性增长，36/48 处平台化（2.00 vs 1.97）——语义相关度随排名衰减，跨域无关工具吸不来调用；扩展 schema 的生态学验证里同样的饱和在 15-20 工具处复现；
• P4 温度不变性：温度 0.0/0.7/1.0 下 SIR 统计不可区分（p=0.367）——越权是结构性决策倾向，不是采样随机性，降温救不了。

核心实验结果（7 模型 4 家族，约 130,000 次运行）：

• 基线 SIR 全模型 >1（单侧 Wilcoxon p<0.001）：DeepSeek-v3 最低 1.18，DeepSeek-v4-Pro 最高 2.39，GLM-5.2 1.96，Kimi/Qwen 居中；换算约每 episode 平均 0.7 次多余调用；
• 5 种提示干预里只有 oracle 权限列表双优（SIR 0.96 / TCR 0.95）——但它需要预知最小集，是理论上限；其余各有效但要么 SIR 降不下来要么 TCR 掉（Clarification SIR 1.09 但 TCR 0.74）；近似权限列表不行：每多放行一个工具 SIR 约 +0.41，模型会吃掉全部余量；
• SELFAUDIT（零样本、推理时）：先生成「请求依据」（列出计划调用的工具、每个对应请求里的哪些词），再过滤掉无法用用户原话支撑的调用。SIR 2.28→1.68，PVS 2.26→1.29（-43%），代价 TCR 0.94→0.89；
• 消融是全文最有意思的发现：只 justify 不 filter，PVS 反而 +9%——模型把「 articulated reasons as license」，说得出理由反而更敢调；只 filter 不 justify 已 -36%。显式移除步骤是主驱动，结构化说理不是（说理甚至可能帮忙壮胆）。Sham 对照（列工具配通用理由然后照调）SIR 只 -3%（p=0.41），证明起作用的是「词法锚定到用户原话」而不是思考变长；
• 人类评估：340 个多余调用里 71.2% 是用户不想要的（precise 请求下高达 93.3%）；跨模型一致性 Jaccard 均值 0.764——不同模型越权越得很像（都爱调语义最近的 get_transactions、get_devices），佐证这是共享的结构倾向而非个别模型的怪癖。

三、交叉验证：为什么「滥用结构」比「操纵模型」更有效

第五部分（评估）已经在各节给了数字，这一部分回答「凭什么」。把五篇的机制并排看，效果优势可以归到三条彼此印证的根源上。以下每条因果链都标注了证据来源（论文实验支持 vs 阅读者综合推测）。

根源一：把「可信度」的锚从模型判断移到了系统事实。

• APEX：直接注入（模型需被指令说服）3.5% vs 技能链（模型信任自己写的记录）84.3%，+80.9pp——同一目标动作、同一模型、唯一差异是授权信号的载体【论文实验支持：Table 3 结构消融】。记录改为「明确拒绝」掉到 27.0%，进一步定位载体就是那句授权陈述【论文实验支持】。
• LLMLeak：79.7% 的成功传输不依赖任何注入指令；informational 框架（完全无指示）仍有 54.6%【论文实验支持：Table 4/5】。模型抓取是因为「排障查参考是正常行为」，异常消息的真实性（真栈帧）提供了可信外壳。
• ZoneClaw 的预备实验从防御侧镜像了这一点：仅仅「写进内存」就带来 14/30 的采纳率【论文实验支持：Table 1】——被记住本身就在授予权威。

根源二：检测面没有对应的信号。

• APEX：攻击运行的 verifier 通过率与良性基线平均只差 2.6pp【论文实验支持】——因为任务真的被完成了，验收者没有可检测的异常。taint-guided 防御要压 ASR 就得把良性效用从 86.7% 压到 56.3%【论文实验支持：Table 4】，印证命题 1 的权衡：局部信息不够时，压误允许必然抬误拒绝。
• Memetic Trojans：转发者未被妥协，逐 Agent 的入侵检测无信号可查；级联的检测信号在网络层（R_endo、r_up 的异常），而这正是作者提议的监控点【论文设计 + 阅读者推测：监控有效性本身未经实验验证，是 future work】。
• LLMLeak：17,528 次泄露 19 次警告——「域名出现在回答里」(64.3%) 是啰嗦不是警觉【论文实验支持：Table 9】。

根源三：越权倾向是结构性的，不是噪声。

• OverAct 的三条规律（具体度梯度 d=1.19、亚线性饱和、温度不变 p=0.367）+ 跨模型 Jaccard 0.764 一致性，共同指向「低纳入阈值 × 语义衰减分布」这个共享机制【论文实验支持：多项独立检验互相咬合】。Intent Echo 干预无效（SIR 1.74）排除了「表层意图误解」的解释【论文实验支持】。
• 这一条同时解释了 ZoneClaw 为什么必须做结构防御：如果越权倾向内生于决策结构，那么任何依赖「模型每次都正确识别危险」的防御（Watcher 审计、ClawGuard 拦截）都会在模型换骨干时排名洗牌——实验确实如此【论文实验支持：附录 C.9】。

外部交叉验证（用 anysearch 检索的相邻证据）：

综合判断：三条根源里，前两条（信任锚转移、检测面缺失）有本组论文的因果消融直接支持（APEX 的结构消融与授权陈述对照、LLMLeak 的框架对照、ZoneClaw 的边界分析互相咬合），且各有独立相邻工作从不同场景复现核心结论；第三条（结构性越权）有 OverAct 的多预测咬合与跨模型一致性支持，但其决策论模型作者自己承认是解释性的，因果机制未经内部干预验证。适用边界也要说清楚：APEX 的威胁模型假设攻击者能上架技能且知道任务主题；模因木马的数字依赖 Moltbook 的具体排序函数与五后端的参数测定；LLMLeak 的商用模型样本只有 n=280；ZoneClaw 尚未在「用户被钓鱼直接写下恶意指令」的通路外全面测试；OverAct 的保守判据会把部分用户想要的预期性调用也算作越权。没有一条结论能无条件外推。

四、必要知识反推：做出这五篇论文需要什么

假设让一个聪明但零背景的人复现这批工作，最少需要哪些知识，以及它们在哪儿融合？

领域知识层：

• 现代 Agent 系统的精确解剖：技能市场如何分发 SKILL.md、Harbor 执行框架如何隔离试跑、OpenClaw 的启动重载机制、Moltbook 的 30 分钟心跳与四种排序函数、ReAct 循环与工具 schema。没有这些，「哪里能被滥用」都看不见——五篇论文的攻击面全部藏在系统接缝里而非模型里。
• 经典安全模型：最小特权、Biba 完整性、Clark & Wilson 升级、隐蔽信道的定义（RFC 4949）。ZoneClaw 的三区四角色几乎是 Biba 的 LLM 转译；LLMLeak 通篇是隐蔽信道理论（「两个协作实体借无辜中间人通信」）的应用。

方法论知识层：

• 因果消融的设计直觉：APEX 知道要对照「直接注入 / 单技能合并 / 授权改拒绝」三个控制组才能把效果归因到「跨技能伪造授权交接」；OverAct 知道要设计 justify-only / filter-only / sham 三臂才能定位「显式移除」是有效成分。这是「指标好看」与「指标证明了主张」的区别所在。
• 点过程与社交网络统计：Hawkes 过程的可见性标记、Ozaki 递推的 O(N) 似然、时间反演安慰剂、置换检验——Memetic Trojans 靠这套组合把「看起来在传染」和「真的在传染」区分开。
• 决策论与代价敏感分类：τ = 1/(1+r) 的阈值推导是标准结果，但把它接到「RLHF 让 c⁻≫c⁺ 从而 τ 极低」这个解释上，需要对齐训练副作用（sycophancy 文献）的视野。

工程知识层：

• 大规模受控实验：OverAct 约 130,000 次运行 + 确定性无 judge 评分；ZoneClaw 4×2×4×15 的全因子 + 新容器隔离的注入/利用两阶段 harness；Monte Carlo 仿真参数全部来自实测率的标定（Memetic Trojans 的 p_break 用 44 小时 135 次实时快照标定）。
• 伦理与可复现实务：三篇攻击论文都做了「不部署真实恶意载荷/不发真实种子帖/不上线真实恶意库」的伦理声明与逆向工程披露。

知识融合的关键节点：

1. APEX 的命题 1：把「技能交接的局部视图」形式化为 P+/P− 分布的可区分性问题——安全直觉（查记录不够）变成了可证明的不可能性。这是「懂 Agent 系统」与「懂信息论」的化学反应。
2. Memetic Trojans 的载体选择：把流行病学的方法（R₀、分支过程）移植到 Agent 平台语料，并且用「时间反演」区分因果传染与相关聚集。这是「懂社交网络分析」与「懂 Agent 行为」的融合。
3. ZoneClaw 的 B2 定位：先穷举现有防御的干预点（B1/B3），发现中间的授权边界无人看守，再从 Biba 找到现成的形式工具。这是「懂威胁建模」与「懂安全架构史」的融合。
4. OverAct 的 justify 反效果（+9% PVS）：把「说理 = 更安全」的直觉翻转为「说理 = 执照」，靠的是严格的消融臂设计。这是「懂实验设计」对「常识」的胜利。

五、通用性灵感：能带走什么

灵感 1：信任锚比行为检测更根本。 核心思想：判断一个动作是否安全，看「授权信号来自哪里」优于看「动作本身可不可疑」。论文证据：ZoneClaw 用「是否被攻击者不可写区域佐证」替代「声明看起来恶不恶意」，在四种基线防御失效的场景上全部 0/15；APEX 的 84.3% vs 3.5% 说明同样的动作，授权载体一换，检测就全变。推广场景：供应链安全（包的来源签名 vs 包内容扫描）、企业流程审批（审批链来源 vs 申请话术）、API 网关（凭证签发路径 vs 请求模式）、数据库审计（数据血缘 vs 查询语句）。

灵感 2：「完成得好」不等于「没做坏事」，验收必须包含目标外行为。 核心思想：系统的显式验收指标只覆盖请求的目标，攻击/故障可以藏在验收之外。论文证据：APEX 攻击下任务效用只差 2.6pp；ZoneClaw 的隐藏副作用攻击类里 ASR 与 Utility 可以同时为 1（邮件正常送达，只是多了一个 BCC）。推广场景：代码评审（功能正确 + 隐藏依赖/遥测检查）、外包交付验收、自动化交易系统（达成目标 + 未越权调仓）、CI/CD（构建成功 + 未篡改产物）。

灵感 3：内生传播通道无法用「逐个体防御」堵住，要在网络层设防。 核心思想：当传播由系统的正常动力学驱动时，防御必须在动力学所在的层级实施。论文证据：模因木马转发者无妥协迹象，但 R_endo/r_up 统计量能识别高风险内容；排序 feed 的广播结构是危害随 N 增长的根源（vs 关注图的危害随 d 增长）。推广场景：金融系统的传染性风险（对高连通节点设更严约束）、舆情治理、微服务故障传播（对扇出最高的服务做隔离带）、病毒式营销的负效应管控。

灵感 4：把「记住」和「可以据此行动」分成两个 API。 核心思想：任何持久化状态都应携带权限元数据，读取方按权限级别消费。论文证据：ZoneClaw 三区后良性事实 30/30 照常晋升、恶意声明 0/30 越权；OverAct 从另一端证明没有显式范围控制时模型自发膨胀。推广场景：推荐系统的用户画像（记录 ≠ 可用于投放）、RAG 知识库（入库 ≠ 可引用）、组织知识管理（存档 ≠ 可执行）、个人设备的剪贴板/历史记录（保存 ≠ 可被任意 App 读取）。

灵感 5：让执行方自己生成依据再显式剔除，比让它「更小心」有效。 核心思想：约束行为的最有效手段不是要求更周全的思考，而是强制一个显式的删除/否决步骤，且依据必须锚定到明确的授权来源。论文证据：SELFAUDIT 的 filter 步骤贡献了绝大部分效果（-36% PVS），justify 单独反而 +9%；sham 对照证明锚定用户原话才是活性成分。推广场景：需求评审（每条需求必须锚定到原始目标再砍冗余）、代码优化（先列出每处分配再删多余的）、采购流程（预算条目锚定再削减）、写作编辑（逐段问「这服务于论点吗」再删）。

灵感 6：正当功能的副作用是攻击面。 核心思想：审计一个系统时，除了「它能做什么」，还要列出「它的正常操作会触碰什么」——副作用列表就是隐蔽信道候选列表。论文证据：fetch 工具的设计目的（取回网页）与它的网络副作用（发出携带 URL 的请求）分离，后者被 LLMLeak 用作信道；DNS 查询在 OpenAI 的真实事件里也扮演了同样角色。推广场景：富文本渲染的图片自动加载（邮件跟踪像素）、打印机的物联回传、智能音箱的误唤醒上传、浏览器预取/DNS 预解析泄露访问意图。

结语

这五篇论文凑在一起读，像看一次范式的换挡。上一个时代的安全研究问「怎么阻止恶意内容控制模型」，答案是一层层加输入过滤和行为检测；这批工作展示的是另一条战线——攻击者可以完全放过模型本身，去滥用那些让 Agent 系统能运转起来的信任结构：技能之间的交接文件、社交平台的转发动力学、排障时的抓取工具、跨会话的内存、以及「模型自主判断」这个动作本身。

好消息是防御的形状也清晰了：不是更聪明的检测，而是把隐含的授权等式拆开——记住 ≠ 授权，转发 ≠ 认可，抓取 ≠ 外传许可，相关 ≠ 必需，完成 ≠ 无害。ZoneClaw 用 1970 年代的完整性模型证明这条老路在新战场上依然能打（372/480 → 6/480 且 30/30 保住良性学习）；OverAct 证明哪怕只加一个「显式剔除」步骤也能收回近半的越权（PVS -43%）。当 Agent 越来越像基础设施，它的安全命题也越来越像基础设施的安全命题：不在于让每个组件聪明到不会被骗，而在于让系统的结构使得「被骗」不等于「失控」。