当智能体改写自身：为何自进化让每一次攻击都在整个谱系中持久化

这是什么？

大多数智能体安全分析都假设目标是固定的：模型权重、记忆库和工具集在两次部署之间不会改变，因此防御者可以枚举接口并加以保护。2026 年 6 月 22 日发表于 arXiv 的一篇系统化研究 Safety in Self-Evolving LLM Agent Systems: Threats, Amplification, and Case Studies（arXiv 2606.23075）指出：一旦智能体能够修改自身——在无人干预下更新自己的参数、记忆、工具乃至架构——这一假设便告失效。

其核心论点是：自进化并非又一项需要保护的功能，它改变了每一种既有威胁的性质。原本只持续一次会话的入侵，会被编码并跨越多个世代，而智能体自身的改进循环则成为承载攻击的基础设施。

工作原理

作者围绕他们所称的 **Module–Lifecycle Attack Surface（MLAS，模块—生命周期攻击面）**矩阵展开分析：五个功能模块（Brain、Cognitive Resource、Execution、Self-Design、Collective）与五个生命周期阶段（Bootstrap、Propose、Evaluate、Commit、Serve）交叉，共 25 个单元格。他们为每个单元格描述暴露的接口以及已知攻击在此处的表现。

静态智能体                            自进化智能体
-----------------------------------   -------------------------------------------
注入只污染一次会话                     注入被写入记忆 / 蒸馏进权重 / 存为新工具
重置即可清除入侵                       无从重置：改动跨周期持续
一次利用 -> 一个效果                   利用经由 evaluate/commit 循环自我强化并传播
权重 + 工具 = 不可变锚点              一切组件皆可变，连防御与验证逻辑本身也是

三重转变驱动了这一点。瞬时变为持久，因为被注入的指令可被刻入长期记忆或微调之中。单点变为自我传播，因为一条被投毒的记忆条目可以污染下一轮训练所用的选择信号，进而引入更多毒素。而智能体同时成为攻击的目标与载体：自我博弈中的奖励作弊可产生训练循环主动选中的失准，在多智能体群体中，单个被攻陷的智能体可通过知识共享扩散。

在 25 个单元格中，论文将 17 个评为无有效防御的关键级，7 个评为现有防御不足的高危级，仅 1 个部分可缓解。它形式化了七种放大效应——包括世代累积、拉马克式传播、抗清除的能力棘轮，以及优化器—被优化者塌缩（本应约束进化的组件自身也被进化）。在对两个开源框架的对比案例研究中，一种”进化原生”设计激活的攻击面单元格数量是”进化增强”设计的 3.5 倍，在 40 个载荷上报告的持久化率达 100%，而其并置的安全扫描器在进化路径上仅拦截约 2.5% 的攻击。

为何重要

这重新定义了一类正快速从研究演示走向产品的系统。若自我修改进入路线图，那么惯常的防御姿态——在部署时过滤输入、隔离工具、约束输出——在结构上就是不完整的，因为它假设了已不复存在的锚点。“扫描器紧贴进化循环却几乎一无所获”这一发现是具体的警示：把静态检查嫁接到自我修改的流水线上，并不能覆盖真正改变智能体的那条路径。

需要诚实说明的是：这是一项系统化研究和两个框架的案例分析，而非对生产事件的普查，且它有意研究那些为激进进化而构建的设计。100% 的持久化数字描述的是那些特定框架与载荷，而非泛指所有智能体。其价值在于这张地图，而不在于某个通用的严重性数字。

防御

论文的防御原则与任何构建或评估自我改进智能体者的具体步骤相吻合：

1. 保留一个真正不可变的锚点。 若一切组件皆可变，就没有任何东西可供验证比对。将核心对齐约束、评估逻辑与审计记录置于进化循环之外，放在智能体无法改写的基础设施上。
2. 守护进化路径，而不只是服务路径。 把扫描器放在推理时会漏掉引入改动的 Propose/Evaluate/Commit 阶段。对每一次自我提出的权重、记忆、工具或架构改动，都应经过智能体不受控制的审查。
3. 将记忆与自生成的训练数据视为不可信。 被投毒的经验是放大循环的种子；在它喂入下一世代之前先验证其来源，正如针对记忆投毒与休眠记忆的防御所做的那样。
4. 进行纵向监控。 局限于会话的检测无法看到跨世代累积的威胁。请比较各进化周期之间的行为，对漂移告警，而不仅是对单次不良输出告警。
5. 偏好有界的进化。 “进化原生”设计激活的攻击面远多于”进化增强”设计。请约束哪些可以改变、多久改变一次，以及在何种独立检查之下改变。

状态

项目	参考	日期	备注
自进化智能体攻击面（MLAS 矩阵）	arXiv 2606.23075	2026-06	25 个单元格：17 关键 / 7 高危 / 1 部分缓解；7 种放大效应；进化原生案例中持久化率 100%
针对智能体的休眠 / 持久化攻击	arXiv 2605.28201	2026-05	进化循环可加以固化的”植入—潜伏—触发”模式
长期记忆安全综述	arXiv 2604.16548	2026-04	记忆攻击及其治理的生命周期视角

论文所记录的转变令人不安却清晰：自进化把每一种已知攻击从”限于会话”变为”贯穿谱系”，而静态防御是为智能体保持不动的世界所设计的。在具备进化意识的验证出现之前，最稳妥的控制反而是最古老的一条——保留一样智能体无法改变的东西。