1. 智能体安全与传统大模型安全的根本区别是什么？传统大模型安全的核心对象是“输入→模型→输出”这一单向链路，防御目标是防止模型生成有害内容、泄露训练数据或被越狱诱导。智能体把推理与行动耦合在同一条轨迹中，安全对象扩展为“目标→推理→记忆→规划→工具→环境→新状态”的闭环。一次异常输入可能改变推理，推理结果被写入长期记忆，受污染的记忆影响后续规划，错误规划调用具有真实权限的工具，最终修改外部系统状态，而新状态又成为下一轮观察的输入。因此智能体安全本质上是系统安全、执行安全与状态安全，而非单纯的内容安全。

2. 为什么“模型对齐做得足够好”不足以保障智能体安全？模型对齐解决的是“模型倾向于产生什么输出”，但智能体的危险行为往往在模型输出“看起来合理”的情况下发生。攻击者可以完全不改变单次模型输出的“合理性”，只改变智能体正在追求的目标或它所信任的上下文，让后续多步规划围绕错误目标持续展开。一个对齐良好的模型在一个被污染的记忆或伪造的工具返回面前，仍然可能做出逻辑自洽但后果灾难的决策。对齐是必要条件，不是充分条件；智能体安全需要在模型之外建立目标完整性、状态完整性、授权完整性和行为可控性的独立防线。

3. 什么是智能体的“攻击面”，它与传统软件的攻击面有何不同？传统软件攻击面主要由网络接口、输入参数和依赖组件构成。智能体的攻击面至少包括七个层次：目标与状态、推理与规划、记忆与知识、工具与执行、身份与权限、智能体间通信、人机交互界面。更关键的是，这些层面之间存在跨层传播：外部文档中的一段文本可以进入推理层，被写入记忆层，在后续会话中重新激活，最终驱动工具层执行越权操作。攻击面不再是静态的入口集合，而是一个动态的、有状态的传播网络。

4. 智能体威胁建模为什么需要“跨维度”而不是简单的攻击名称清单？仅用“提示注入”“记忆投毒”“工具滥用”等标签，无法回答攻击从哪里进入、影响了什么组件、跨越了什么信任边界、最终破坏了什么安全属性。四维威胁表示T=⟨S,B,P,A⟩将攻击面（Surface）、信任边界（Boundary）、安全属性（Property）和验证架构（Architecture）交叉关联，使同一个攻击可以被完整描述为“影响了推理、记忆和工具，跨越Agent—Tool边界，破坏状态完整性和授权完整性，并在多Agent系统中得到验证”。这种建模方式的价值在于：它迫使防御者从“打补丁式”应对转向沿传播链设防。

5. 什么是智能体的“过度代理”（Excessive Agency），为什么它是结构性风险？过度代理是指智能体被授予了超出任务实际需要的工具、权限或自主性。它与普通软件“权限过大”的区别在于：普通软件的权限滥用通常需要人的操作来触发，而智能体具备自主执行能力，即使是一次误判或轻微注入，也会被自主放大为高危操作。过度代理不是某个实现缺陷，而是能力设计与安全边界之间的结构性错配：为了完成复杂任务，系统倾向于授予宽权限；而智能体的长期运行和自主迭代特性，又使权限“只增不减、持续扩散”。

6. 智能体的“自主性”如何改变风险的时间结构？短程交互的风险集中在单次会话内，而长程自治智能体的风险具有跨会话持续性和累积性。一次在会话N中植入的对抗性内容，可以写入持久记忆，在会话N+1中在没有任何当前恶意输入的情况下触发未授权执行。这意味着安全评估不能只看“当前输入是否恶意”，还必须看“系统历史状态中是否已经埋入了延迟触发的条件”。自主性越高、运行时间越长，历史状态的攻击面权重就越大。

7. 为什么“人在回路”不等于安全？人在回路通常被当作最后一道防线，但OWASP将“人机信任滥用”（ASI09）单列为一项风险，正是因为攻击者可以操纵智能体的输出来影响人类判断，使人类在“知情”的情况下批准高风险操作。智能体可以以权威、紧急或高度合理的方式呈现被污染的建议；可以隐藏关键上下文；可以通过解释性文字制造虚假的确定性。最终按钮由人按下，但决策过程已经被系统性误导。人在回路的安全性取决于人类接收到的信息是否完整、可验证，以及审批点是否设置在不可逆动作之前，而不是取决于是否存在一个“人工确认”的形式。

8. 智能体供应链与传统软件供应链的风险差异在哪里？传统软件供应链主要涉及代码、库和构建产物。智能体供应链还包括模型权重、Prompt模板、工具描述符、Agent描述文件、MCP服务器、注册服务，以及运行时动态发现和加载的外部工具。这些“软逻辑”组件往往在运行时才被信任和连接，且可能被多个智能体共享信任。一个被污染的MCP服务器或工具描述符可以在不修改任何代码的情况下改变智能体的行为语义，而传统SCA工具对此几乎没有可见性。

9. 什么是“困惑副手”（Confused Deputy）问题在智能体中的体现？困惑副手是指一个拥有合法权限的实体，被诱导将其权限用于攻击者所期望的目的。在智能体中，这一问题被系统性放大：智能体通常同时持有用户凭证、工具访问权和跨系统委托关系，而它又无法在结构上可靠区分“用户的真实指令”和“嵌入在外部数据中的伪造指令”。当智能体读取一封邮件、一个网页或一份文档时，其中的文本可能被其视为指令并以自身权限执行。智能体的权限越合法、越宽泛，困惑副手攻击的破坏力就越大。

10. 智能体风险的“级联失败”为什么难以用传统故障隔离思路处理？级联失败（ASI08）的根源不是某个组件独立失效，而是自治执行与多智能体协作机制本身会复制和放大异常。一个规划错误、一段被污染的记忆或一次错误的工具返回，可能被下游智能体视为可信输入反复执行，形成自我强化的错误循环。传统故障隔离假设“故障可以被限制在边界内”，但智能体之间的信任委托和共享上下文使得边界本身成为传播通道。防御必须引入爆炸半径控制和跨边界的传播阻断，而不仅仅是单点冗余。

11. 智能体的“身份”为什么比传统非人类身份更复杂？传统NHI（非人类身份）通常是静态的、绑定到特定服务或角色的凭证。智能体的身份具有流动性：它可能继承用户的身份、在委派链中传递身份、在上下文中缓存凭证、在记忆中持久化权限，甚至在多智能体协作中冒用或合成身份。一个智能体在任务开始时以低权限运行，可能在中间步骤获得临时提权，而这一提权如果被写入记忆，就会在后续会话中持续存在，形成“权限蠕变”。智能体身份管理需要操作级授权和上下文绑定的权限生命周期，而非静态角色分配。

12. 为什么说智能体安全的评估对象应该是“轨迹”而不是“单点输出”？智能体的危害往往不在某一步的输出中，而在多步轨迹的漂移中。一个智能体可能在每一步都输出“看起来合理”的内容，但整体轨迹逐渐偏离原始任务目标，最终触发一个在单步视角下完全合规的工具调用。2025—2026年的智能体失败大量发生在多步轨迹层面，因此红队和验证器需要评估的是逐步轨迹上的漂移检测，而不仅仅是单轮响应是否被越狱。这要求评测体系从“响应级”升级为“轨迹级”。

13. 智能体安全的“最小必要认知”原则是什么？类比数据安全的“最小必要权限”，智能体在认知层面也需要最小必要原则：只向智能体提供完成任务所必需的信息、上下文和工具描述，避免将敏感指令、内部策略或超出当前任务范围的知识暴露在其可访问的上下文中。CERT的处置建议明确要求“将敏感指令移至安全配置库，并拦截包含‘system prompt’等关键词的查询”。过度丰富的上下文不仅增加泄露风险，还为间接注入提供了更多可植入恶意指令的载体。

-