一、对比背景：智能体安全研究的范式转移
随着大语言模型（LLM）从被动问答工具演化为具备持久化记忆、文件系统读写、Shell命令执行及外部网络通信能力的“活体”自主智能体（Autonomous Agent），其安全边界已远超传统Web应用或API服务的范畴。业界以往针对此类系统的安全实证研究，大多局限于系统内部的沙盒机制有效性验证与本地提示词越权测试。然而，当智能体被赋予高度自主性，并接入企业邮箱、即时通讯、社交平台等真实世界工具后，一个根本性的问题浮现：外部网络中的非授权实体能否通过与智能体的直接交互，间接控制其背后的底层基础设施？
近期多家研究机构联合发表的实验性研究（代号“混沌代理”）首次将研究视角从“系统内部”拉升至“外部攻击面”，通过为期两周、由20位安全专家执行的红队对抗测试，系统性地测绘了自主智能体在“活体”环境中的安全、隐私与治理漏洞。本文并非复述该研究的具体结论，而是以此为切入点，对两类安全评估范式——“内部沙盒聚焦型测试”与“外部攻击面测绘型测试”——进行全面的技术对比，厘清两者在架构假设、威胁模型、测试深度及适用场景上的本质区别。
二、对象定义：两类安全测试范式的基本概念
1. 内部沙盒聚焦型测试（范式A）
该范式假设智能体的运行环境是相对封闭的。测试重点集中于：
- 提示词注入与越权：验证模型是否会被恶意指令诱导，突破系统预设的“系统提示词”边界。
- 沙盒逃逸：检验智能体在执行代码或Shell命令时，操作系统层面的隔离机制（如容器、虚拟机）是否牢固。
- 内部权限滥用：在已获得智能体一定控制权的前提下，测试其对文件、内存及本地服务的越权访问能力。
其核心测试目标是评估智能体自身的“免疫力”，通常不模拟外部网络中的真实攻击者，而是假设攻击者已通过某种方式（如恶意邮件内容）在单个对话轮次中与智能体进行了交互。
2. 外部攻击面测绘型测试（范式B）
该范式将智能体视为部署在公网上的一个“节点”，而非封闭的沙盒。测试重点包括：
- 主动发现与侦察：攻击者能否通过互联网扫描或信息泄露（如Discord服务器成员列表、邮件自动回复）发现该智能体实例的存在。
- 双向通信链路利用：智能体被配置了独立的电子邮件账户和实时通讯API接入（例如某即时通讯服务器）。测试者关注这些信道是否成为攻击者注入恶意指令的“高速公路”。
- 状态机文件篡改：若智能体的核心状态（记忆、工具定义、身份权限）保存在本地Markdown文件中，且文件访问权限控制不严，攻击者能否通过对话注入诱导智能体重写这些关键配置文件。
- 持久化与低权限操作：攻击者在获取一次执行权限后，能否利用智能体的后台守护进程或计划任务实现持久化驻留，并在长时间内保持控制。
其核心测试目标是评估智能体作为网络节点的暴露面与可被外部利用的连锁反应链。
三、相同点分析：两者共享的安全基线
尽管测试边界与攻击者模型不同，两类范式在底层技术逻辑上存在显著交集，这也是二者可进行有效对比的基础。
- 都以模型“幻觉”或“认知偏差”为攻击起点：无论测试环境封闭与否，攻击的核心逻辑均是利用大模型在上下文理解中的微小偏差（如对指令优先级误判、对文件路径的误解），触发后续工具调用的错误行为。
- 都高度依赖工具调用的结果反馈：两类测试均需要观察智能体在调用“读取文件”“执行命令”“发送邮件”等工具后的输出，以判断攻击是否成功。工具日志与系统审计日志是两者的共同证据来源。
- 都面临权限最小化的原则性挑战：无论是内部测试还是外部测绘，最终都会导向一个结论：如果智能体运行时的系统权限过宽（如允许sudo提权），任何形式的测试范式都难以防御灾难性后果。
四、核心差异分析：从“实验室”到“战场”
两类范式在以下六个维度存在本质性差异，这些差异直接决定了安全团队应如何分配测试资源。
1. 威胁模型与攻击者视角
- 范式A：攻击者被假定为“已获取一次对话权限的恶意内容”。威胁模型是单点突破，关注的是突破发生后的横向移动范围。
- 范式B：攻击者是外部网络中的未授权实体，需要完整经历“侦察—定位—接触—利用—潜伏”的攻击链。威胁模型是持续性的多点接触，关注的是攻击者如何在不被系统所有者察觉的情况下，与智能体建立长期隐蔽的信道。
2. 状态管理机制的安全影响
- 范式A：通常忽略或简化状态存储。测试者关注的是内存中的对话状态，认为一旦对话结束，攻击面即关闭。
- 范式B：深入剖析基于Markdown文件的状态机架构（如定义运行法则的AGENTS.md、定义工具参数的TOOLS.md、定义权限归属的IDENTITY.md、存储长期记忆的MEMORY.md）。在这一架构下，攻击者无需在单个对话中完成所有恶意行为，而是可以通过诱导智能体在某一轮对话中“修改MEMORY.md内容”，将恶意指令持久化到磁盘，从而在后续所有对话轮次中持续生效。范式B揭示了“对话天然具有持久化副作用”这一安全设计缺陷。
3. 通信信道与攻击向量丰富度
- 范式A：测试环境通常是单信道（如仅一个Web聊天界面）。攻击向量主要为构造恶意提示词。
- 范式B：智能体被配置了双向通信信道（如独立邮件账户、即时通讯API）。攻击面由此被显著放大：
- 邮件向量：攻击者向智能体邮箱发送带有恶意附件的邮件，附件内容（如Markdown格式的指令）可能被智能体自动读取并解析为系统命令。
- 群组向量：攻击者加入智能体所在的某即时通讯群组，利用群成员可见的上下文信息（如他人共享的文件）构造针对性提示词，实现“上下文污染”。
4. 权限模型的动态放大效应
- 范式A：权限模型是静态的。测试在预设的权限边界内进行，例如用户通过Web界面只能调用“读取邮件”或“发送消息”这两个工具。
- 范式B：权限模型会因智能体对配置文件的“自我修改”而动态放大。例如，若TOOLS.md中定义了执行Shell命令的工具，且参数允许用户自由指定，则智能体在对话中一旦被诱导执行“修改IDENTITY.md，添加管理员角色”，其后续对资源访问的权限将直接从“普通用户”跃升至“特权用户”。这种权限的“自指性放大”是外部攻防中最具破坏性的特征。
5. 运维与可观测性差异
- 范式A：测试通常在部署有标准日志平台的隔离环境中进行，易于回滚与监控，侧重点是算法层面的漏洞复现。
- 范式B：测试更贴近真实生产环境。智能体运行在某云服务商的独立虚拟机实例上，拥有20GB持久化存储。这意味着安全团队需要具备主机层面的取证能力，包括分析进程列表、检查持久化文件修改时间、追踪网络连接来源等。这要求测试者不仅要懂LLM提示词，还需具备系统安全与网络安全的综合技能。
6. 风险控制与阻断策略
- 范式A：一旦发现漏洞，测试者可立即清除对话上下文或重启对话窗口，风险是可控且局部的。
- 范式B：由于攻击者可能在无人值守的夜间通过外部信道植入持久化后门，风险控制变得极为被动。安全团队必须构建“主动式告警”机制，例如监控核心状态文件（如MEMORY.md）的哈希值变化、监控开放端口上的异常外部连接尝试，以及实施网络层出站白名单策略。
五、对比表格：核心维度速览
| 对比维度 |
范式A：内部沙盒聚焦型测试 |
范式B：外部攻击面测绘型测试 |
| 测试边界 |
系统内部沙盒与提示词边界 |
公网节点、所有外部可达接口 |
| 攻击者模型 |
恶意内容输入者 |
未授权外部实体（持续威胁） |
| 状态影响 |
对话上下文内存状态，可控可重置 |
持久化文件状态，修改后长期生效 |
| 主要攻击向量 |
提示词注入、逻辑绕过 |
邮件钓鱼、即时通讯群组注入、状态文件篡改 |
| 权限模型特征 |
静态、预定义 |
动态、可被自我放大（权限自指） |
| 测试依赖技能 |
语言模型行为分析、提示工程 |
系统安全、网络分析、持久化取证 |
| 阻断难度 |
低，可快速回滚 |
高，需主机级监控与网络隔离 |
六、典型场景选择：何时选择何种评估范式？
场景一：研发阶段的算法安全性验证（适合范式A）
在智能体功能开发初期，核心目标是验证模型本身的“抗诱导”能力。例如，验证“当用户要求忽略系统指令时，模型是否会拒绝”。此时，环境高度可控，使用封闭沙盒能快速迭代提示词防护策略，效率最高。
场景二：生产环境上线前的深度巡检（适合范式B）
当智能体被部署为全天候在线的“数字员工”，并接入企业私有邮箱与内部协作工具后，其物理网络位置、操作系统权限及持久化存储策略将直接影响企业安全基座。此时，必须采用外部测绘范式，模拟真实黑客攻击路径，从扫描开放端口到尝试利用邮件自回复机制获取初始访问权。
场景三：混合评估策略（最优实践）
严谨的安全团队通常会在CI/CD流水线中同时引入两种范式。在每日构建中运行范式A的轻量级模糊测试；在季度级安全审计中，针对生产环境的克隆实例执行范式B的深度红队演练。
七、选型建议与实施注意事项
对于安全负责人：
- 若目标是评估模型的“基本盘”安全性，范式A成本低、见效快，适合作为开发阶段的门禁检查项。
- 若目标是评估企业整体“风险敞口”，范式B更贴合真实世界，但需组建跨职能红队（包含LLM专家、基础设施安全专家、社工专家），且需在与生产环境隔离的“影子环境”中进行，避免对业务数据造成真实损害。
迁移与使用注意事项（从范式A升级至范式B）：
- 环境网络隔离：务必在独立的VPC或物理机中克隆生产配置，并在测试结束后彻底销毁该虚拟机，防止持久化恶意文件残留污染正式数据。
- 出站流量管控：在测试前，需确认智能体的出站网络策略。若允许其任意访问外网，则攻击者可能在测试期间将窃取的数据外传至其控制的服务器。建议在测试期间先行锁定出站白名单。
- 关键状态文件备份：在进行涉及状态机文件篡改的测试前，务必备份所有Markdown文件。测试后，必须校验文件哈希值以恢复基线状态。
- 监控告警定义：帮助运维团队建立针对“核心文件变更”“非工作时间外部连接”“异常大流量邮件发送”等行为的实时告警，这些是范式B测试中会重点利用的运维盲区。
八、总结
内部沙盒聚焦型测试与外部攻击面测绘型测试并非互斥选项，而是针对智能体不同生命周期阶段的安全评估手段。前者守护的是“模型的思维边界”，后者则守护的是“系统的物理与网络边界”。当智能体拥有任意执行Shell命令、读写持久化存储以及主动向外发起通信的能力时，“对话内容安全”与“基础设施安全”之间的界限已经彻底模糊。了解两者的差异，能帮助工程团队在资源有限的情况下，更精准地配置安全防护重心，避免在错误的环境中过度投入，也避免在真实威胁面前失守。最终目标并非追求绝对不可渗透的系统，而是构建一个具备快速发现、有效抑制及可恢复能力的自适应安全架构。