简介：面向AI智能体技能安全评估场景，本文围绕“按攻击手段分类”与“按攻击后果分类”两种风险体系进行对比分析，剖析二者在检测导向、盲区暴露和选型适配上的核心差异。结合首期评测中暴露的跨工具检测盲区，帮助安全团队理解为何攻击手段导向更利于构建可复现、可对齐的评测基准，并给出不同业务阶段下的分类与检测选型建议。
随着 AI 智能体逐步接入真实业务系统，Agent Skills 作为一类可复用、可分发的能力单元，正在快速成为智能体应用生态中的核心组成。它既承担了扩展智能体功能的作用，也天然构成了新的供应链攻击入口：恶意技能可能通过指令篡改、记忆污染、工具误用、外部资源劫持等方式，影响智能体的决策链路、数据边界与执行行为。
在这一背景下，安全团队面临的实际问题并非“是否需要检测”，而是“依据什么分类来组织检测能力”。当前行业中存在两种主要思路：一种以攻击后果为组织核心，例如将风险划分为数据外泄、文件破坏、拒绝服务、权限提升等类别；另一种以攻击手段为组织核心，例如按攻击者利用的智能体依赖元素来划分风险类型。
两种思路看似只是分类维度的差异，但在实际安全评估中会直接决定检测规则的编写方式、评测基准的设计逻辑、误报与漏报的分布特征，以及跨工具评测结果的可比性。因此有必要对二者进行系统性对比，明确各自的适用条件与使用边界。
按攻击后果分类是传统安全治理中较为常见的做法。其基本逻辑是：从业务影响出发，将安全事件归纳为若干可感知的损失类型。例如，数据泄露对应机密性破坏，文件篡改对应完整性破坏，拒绝服务对应可用性破坏，权限提升对应访问控制失效。这种分类的优势在于与业务语言接近，便于向非安全角色解释风险严重程度，也便于与合规要求、审计条目进行映射。
在 Agent Skills 场景中，攻击后果分类通常会将恶意技能的行为结果作为判定依据。例如，一个技能尝试读取环境变量并外发到未知端点，会被归入“数据外泄”类别；一个技能尝试删除工作目录文件，会被归入“文件破坏”类别。安全扫描器可以基于最终行为特征构建检测签名。
按攻击手段分类的核心逻辑是：不首先问“造成了什么后果”，而是先问“攻击者利用了智能体的哪一个依赖元素”。在这一视角下，Agent 的运行依赖被拆解为若干层次，每一层次对应一类可被恶意技能操纵的入口。由此形成的分类体系更贴近攻击面的结构性特征。
例如，一个技能可以在加载阶段篡改当前会话目标，也可以向持久记忆中写入误导性规则，还可以在工具调用参数中注入额外指令。这些行为在后果上可能都表现为“智能体执行了非预期操作”，但攻击手段分别对应指令层、记忆层和工具层。不同层次需要的检测逻辑、取证位置和防护机制差异显著。
两种分类体系并非完全对立，它们在几个基础目标上存在一致性：
第一，都服务于风险识别与安全评估。 无论按后果还是按手段组织，最终目的都是帮助安全团队系统地识别恶意技能、评估检测方案的有效性，并为防护策略提供依据。
第二，都覆盖智能体技能安全的主要威胁面。 二者在范围上可以高度重叠。一个完整的后果分类体系可以覆盖数据、文件、服务可用性、权限等维度；一个完整的手段分类体系同样可以覆盖指令、记忆、工具、外部资源等维度。区别不在于覆盖范围，而在于组织逻辑。
第三，都可以与行业安全框架进行映射。 攻击后果分类更容易映射到传统信息安全的风险模型，而攻击手段分类更便于映射到智能体安全与 LLM 应用安全的新兴框架。二者在成熟度不同的安全治理体系中各有接口价值。
攻击后果分类在不同业务场景下往往需要频繁调整。同一个“数据外泄”类别，在面向内部知识库的智能体与面向公开网页的智能体中，严重程度和业务含义完全不同。随着智能体接入的数据源和工具集变化，后果类别也可能需要重新划分。
攻击手段分类则更为稳定。智能体对指令、记忆、工具、外部资源等元素的依赖结构相对固定，即使业务场景变化，攻击者可以利用的结构性入口仍然一致。这种稳定性使得基于手段的分类更适用于构建长期维护的评测基准。
按后果分类的检测逻辑通常先定义“坏行为模式”，然后扫描技能代码或运行日志中是否存在匹配特征。这种方式在攻击手法较为直接时效果较好，但面对隐蔽对抗时容易失效。例如，攻击者可以通过多步组合、条件触发或延迟执行来规避单步行为签名。
按手段分类的检测逻辑则先识别“攻击者操纵了哪一类依赖元素”，再分析该操纵是否构成风险。这种方式更关注攻击路径与依赖关系，而非孤立的行为结果。即使最终后果尚不明确，只要发现技能对指令层或记忆层的异常写入，就可以触发风险研判。
误报方面，后果分类体系在检测特征过于宽泛时容易产生告警疲劳。例如，一个技能读取文件路径属于正常功能，但若扫描器将所有文件读取行为归入潜在数据外泄风险，误报率会显著上升。
漏报方面，后果分类体系在攻击者使用间接手段时容易出现盲区。例如，攻击者不在技能代码中直接执行数据外泄，而是通过向智能体记忆写入一条低权限规则，诱导智能体在后续会话中主动查询并外发数据。按后果扫描时，技能本身可能不触发任何数据外泄特征；但按手段分析时，记忆层异常写入即为明确风险信号。
构建可复现的评测基准需要分类体系具备清晰的边界和一致的判定标准。攻击后果分类在跨工具评测中容易出现口径不一致：不同扫描器对“数据外泄”的认定阈值不同，对“拒绝服务”的影响判定标准不同，导致同一用例在不同工具间的评测结果缺乏可比性。
攻击手段分类则将判定焦点前移。例如，将“技能在加载时修改系统提示词”定义为指令劫持，这一判定不依赖于最终后果是否发生，因而在不同检测工具之间更容易形成一致的标注口径。首期评测的实践表明，基于手段的组织方式能够更稳定地暴露出跨工具共通的检测盲区。
后果分类体系指导下的防护措施偏向“阻断后果”：在检测到数据外泄特征后切断网络、在发现文件破坏行为后回滚快照。这类措施具有事后响应特征。
手段分类体系指导下的防护措施更偏向“切断攻击路径”：在智能体加载技能时校验指令完整性、在写入持久记忆前进行策略审查、在工具调用前验证参数来源。这类措施具有事前或事中防御特征。
| 对比维度 | 按攻击后果分类 | 按攻击手段分类 |
|---|---|---|
| 组织核心 | 业务损失类型 | 智能体依赖元素 |
| 分类稳定性 | 随业务场景变化较大 | 相对稳定，依赖结构固定 |
| 检测导向 | 事后匹配坏行为特征 | 事前识别异常操纵路径 |
| 误报来源 | 宽泛行为特征导致告警疲劳 | 依赖元素边界不清时产生误判 |
| 漏报来源 | 间接攻击、多步组合、延迟触发 | 新型依赖元素尚未纳入分类 |
| 评测可复现性 | 后果判定口径难以统一 | 手段判定更易对齐 |
| 防护落点 | 阻断后果为主 | 切断路径为主 |
| 适用对象 | 合规审计、业务影响评估 | 检测引擎设计、评测基准构建 |
| 与智能体安全框架映射 | 较间接 | 较直接 |
在安全治理成熟度要求较高、需要向管理层或合规部门汇报风险时，攻击后果分类更便于表达业务影响。例如，数据保护审计中需要明确区分“可能造成个人信息泄露的技能”与“可能造成服务中断的技能”。此时后果分类能够直接对应风险等级和整改优先级。
在安全事件应急响应中，后果分类也有明确价值。当智能体已经出现异常行为，安全团队首先需要判断的是影响范围和损失程度，而非攻击者利用了哪一类依赖元素。后果导向有助于快速收敛应急处置范围。
在构建 Agent Skills 安全评测基准时，攻击手段分类更有优势。评测基准需要稳定、可扩展、可对齐的风险划分框架。手段分类不依赖具体业务场景的后果定义，能够支撑跨工具、跨模型、跨批次的横向比较。
在安全检测引擎的规则设计阶段，手段分类也更契合智能体的技术架构。智能体在运行时的安全边界由指令、记忆、工具、外部资源等依赖元素构成，这些元素正是检测引擎最直接的观测点。围绕这些观测点组织检测规则，可以更早发现异常操作，降低对最终攻击成功的依赖。
对于安全团队而言，两种分类体系并非互斥关系，实践中往往需要结合使用。但结合的方式应当有主次之分。
如果团队的核心目标是建设一套可长期维护、可复现评测的 Agent Skills 安全检测能力，建议以攻击手段分类为主干，以攻击后果分类为辅助标注。手段分类负责稳定地覆盖攻击面，后果分类负责在告警产生后评估业务影响和响应优先级。这种组合既能保证检测覆盖度的可量化，又能满足安全运营中的影响评估需求。
如果团队当前阶段以合规审计和风险汇报为主，且检测能力尚处于探索期，可以先以后果分类快速建立风险清单，但需要意识到这种方式的检测盲区可能集中在间接攻击手段上。随着检测能力成熟，逐步向手段分类过渡是更可控的路径。
无论选择哪种路径，都应避免仅凭单一维度构建完整的安全评估体系。分类的目的是降低复杂度，而不是简化判断。
从后果分类体系向手段分类体系迁移时，需要注意几个方面：
第一，已有检测规则的重新映射。 原后果分类下的检测规则不能直接废弃，需要逐条分析其实际检测的攻击手法，将其归入对应的手段类别。例如，一条检测“通过环境变量读取敏感信息”的规则，在手段分类下可能同时涉及工具层异常调用和外部资源层越权访问，需要拆分而非简单归类。
第二，标注口径的统一。 如果团队计划参与跨工具评测或构建内部评测集，需要在标注阶段明确各手段类别的边界条件。例如，“指令劫持”是否包含间接注入，“记忆污染”是否包含只读探测，这些边界定义会直接影响评测结果的一致性。
第三，检测盲区的持续跟踪。 手段分类虽然稳定性较高，但智能体的依赖元素会随着技术演进扩展。例如，当智能体开始广泛使用多模态输入、浏览器自动化或代码解释器时，新的依赖元素可能催生新的攻击手段。分类体系需要预留扩展空间，而非一次性固化。
第四，安全运营闭环。 分类调整会影响告警的聚合方式、责任归属和响应剧本。在迁移过程中，需要同步更新安全运营知识库和应急手册，避免检测与响应脱节。
Agent Skills 安全评估的核心挑战不在于“是否检测”，而在于“依据什么框架来组织检测与度量”。按攻击后果分类擅长表达业务影响，适合合规审计与应急响应；按攻击手段分类擅长刻画攻击路径，适合检测引擎设计与评测基准建设。二者在覆盖范围上可以重叠，但在分类稳定性、检测导向、误报漏报分布、评测可复现性和防护落点上存在系统性差异。
对于希望建立客观、可复现的智能体技能安全评测能力的安全团队而言，以攻击手段为主干、以攻击后果为辅助标注，是一种更贴近智能体技术架构、也更具备长期维护价值的组织方式。与此同时，分类体系不应被视作静态结论，而应在技术演进过程中持续校准，才能真正支撑起 Agent Skills 供应链安全的长周期治理。