LLM 智能体的安全二元性：既要保护它，也要运用它

这是什么？

关于 LLM 智能体安全的多数研究，往往把智能体要么当作受害者，要么当作武器。一类研究关注如何攻击智能体——提示注入、工具滥用、记忆投毒。另一类研究关注如何让智能体承担网络安全任务——分流告警、挖掘漏洞，或者不太光彩地，自动化入侵。2026 年 6 月 26 日发表在 arXiv 上的一篇综述，LLM agents security duality: a comprehensive survey of self-security and empowered cybersecurity（2606.28450），认为这两类文献其实是同一个问题的两面，而将它们合在一起考量，会改变投入的方式。

该文是 Yiwei Xu、Yong Zhuang、Juan Wang、Hongxin Hu 等人的一篇 73 页系统化综述，发表于 Artificial Intelligence Review（DOI 10.1007/s10462-026-11563-0）。它的贡献不是新的攻击或防御，而是一张地图：一套按来源组织的威胁分类、一份缓解措施与评估框架的清单，以及——最有价值的部分——对智能体自身鲁棒性与其作为安全工具的效用之间反馈回路的明确阐述。

工作原理

综述把该领域分为两半，再将其连接起来。

第一半是自身安全（self-security），即熟悉的攻击面。作者按威胁的来源而非症状来组织。内部攻击面是智能体自身的组件：模型、其规划与推理循环、其记忆，以及它串联工具调用的方式。外部攻击面涵盖智能体所摄入或触及的一切：用户提示、检索到的文档与网页、工具输出、其他智能体。这种按来源的划分很有用，因为同一个可见的失败——智能体做了不该做的事——可能经由差异极大的入口到达，而每个入口需要不同的控制。相应的缓解措施从输入输出过滤，到运行时监控、最小权限的工具限定、记忆完整性校验，再到用于衡量其是否有效的基准测试。

第二半是赋能的网络安全（empowered cybersecurity），把智能体视为攻防生命周期中的操作者：侦察、漏洞发现、利用、检测、分流、响应。作者提出了他们所称的首个与完整生命周期对齐的”智能体赋能”框架，既覆盖防御用途（一个猎捕威胁或复现漏洞的智能体），也覆盖进攻用途（一个从头到尾串联入侵的智能体）。

两半之间的联系是全文的核心论点：一种正反馈协同。更鲁棒的智能体是更可信的安全操作者，而在对抗性安全工作中部署智能体所得的经验，又反过来促进对智能体自身的加固。两种能力要么共同进步，要么都停滞不前。

为什么重要

这是一篇综合性梳理，而非新发现：其价值在于重新框定问题，而非新颖性。对从业者而言有三点值得关注。

第一，按来源的威胁分类比按症状的分类更适合做规划。若按”智能体泄露了数据”或”智能体执行了错误命令”来归类风险，最终只会堆砌零散的单点防御。若按来源归类——不可信的检索内容、被投毒的工具描述、被操纵的记忆条目——则可在每个入口处放置控制，并据此推理覆盖情况。这与 OWASP LLM 应用十大风险等实践框架的方向一致，也呼应了一个众所周知的观察：危险集中于智能体同时具备私有数据、不可信输入和行动能力之处——即致命三要素。

第二，二元性的框定有效纠正了团队的割裂。对内部智能体做红队测试的人，与在 SOC 中部署智能体的人，往往并非同一批；综述的论点是他们的工作会相互叠加：每一条防御经验也是一条进攻经验，反之亦然。这令人不适，却很准确，也正是真实事件中可见的同一张力——智能体既能轻易自动化入侵，也能轻易自动化威胁猎捕。

两点提醒。综述会继承其所总结领域的盲区：在截止日期之后发表的快速演进的攻击不会出现在其中；而”正反馈协同”是作为一种框定提出的，而非经过测量的效应。请把它当作地形图来读，而非某项具体防御有效的证据。

防御

这篇综述在构造上就是防御导向的；对运营智能体者而言，可落地的要点很具体。

1. 按来源而非症状清点你的攻击面。 列出不可信内容可能进入智能体的每一处——提示、检索文档、工具输出、记忆、对等智能体——并确认每一处都有控制。这样更容易看出缺口。

2. 将工具限定到最小权限。 多数严重事件都源于某项能力过于宽泛。约束每个工具能做什么，并对高影响面的操作要求显式批准，与工具滥用的指南一致。

3. 把记忆当作不可信通道来保护。 持久记忆是入口，而不只是存储。校验并溯源写入其中的内容，因为记忆投毒会跨会话存续。

4. 用对抗性基准而非演示来衡量。 综述之所以列出评估框架的清单，正是因为一次顺利的演示对鲁棒性毫无说明力。针对各攻击类别测试，并同时跟踪漏报与误报。

5. 将进攻能力与防御能力视为相互关联。 若你为安全工作部署智能体，就应假设对手同样掌握该能力，并让双方的发现相互启发。

状态

项目	参考	日期	备注
综述（v1）	arXiv 2606.28450	2026-06-26	自身安全 + 赋能网络安全的系统化
期刊版	Artif Intell Rev，DOI 10.1007/s10462-026-11563-0	2026	经同行评审；73 页、12 图、9 表
框定参考	OWASP LLM 十大风险	2025	按来源划分的智能体威胁类别

阅读这篇综述的正确方式，是把它看作一个关于”如何组织问题”的论证。智能体既是你要防御的对象，也是你要部署的工具；其论点是：忽视其中一面，另一面也做不好。这个论点并不宏大，却正是多数团队——被割裂为加固智能体的 AppSec 职能与部署智能体的 SOC——尚未真正内化的道理。