247 篇论文综述：LLM 智能体安全是系统问题

一项题为《Toward Secure LLM Agents: Threat Surfaces, Attacks, Defenses, and Evaluation》的综述论文（arXiv:2606.10749，2026 年 8 月修订）梳理了 247 篇相关研究，核心结论是：当大模型具备工具调用、状态保持和代为执行能力之后，安全问题就不再主要是提示过滤，而升级为一个涵盖信息流、委托授权与持久状态的系统问题。

为什么智能体安全不同于传统 LLM 安全

综述从一个简单的事实出发：LLM 智能体不只是生成文本，它还会规划、调用工具、浏览网页、执行代码、更新状态，并与其他智能体协同。这些能力把模型输出变成了软件控制流的输入。

由此带来的失效模式也有所不同：

• 隐藏在网页里的恶意指令，可能影响后续的工具调用。
• 被污染的工具结果，可能成为下一次决策的上下文。
• 被攻陷的记忆条目，可能在原始会话结束后仍然存活。
• 被委托的凭据，可能让一个糟糕的计划产生真实的副作用。
• 在多智能体系统中，同一份被污染的信息可能向更远处扩散。

综述因此把智能体安全概括为三个相互耦合的维度：信息如何进入智能体、授权让它如何行动、持久状态让攻击如何跨越原始会话存活。

攻击面贯穿整个智能体生命周期

Ling 等人采用基于生命周期的、面向系统的框架，而非平铺的攻击清单。在操作上，可以将核心动作路径——输入、规划、决策、工具执行、输出——与记忆、监控、多智能体协同等横切面分开，因为后者会影响或观察运行中的多个阶段。

这一生命周期视角也解释了为什么防御是「弱可组合」的：

• 内容过滤可能挡住一类恶意文本，但管不了过度授权的凭据。
• 沙箱可以限制代码执行，却无法阻止一次被授权的 API 调用。
• 审批关卡可以拦住一次副作用，却拦不住一次被污染的记忆写入。
• 链路追踪可以让事件可观测，却不阻止事件发生。

因此，安全来自边界、权限、状态控制与证据的组合，而非单一层级的「银弹」。

三类需要叠加的控制

综述强调，仅靠单一控制无法建立完整的智能体安全。可用的控制面包括：

• 运行时与接口的显式信任边界，把执行循环与沙箱及外部服务分开。
• 共享网关层的统一治理，覆盖身份、访问、凭据、预算、护栏与证据。
• 应用层的来源可追溯状态，由系统记录保持权威，处理业务副作用。

这些层之间需要相互配合：审批不能替代常驻授权；网关治理不覆盖绕过它的流量；持久化事件不等于对每段记忆或业务状态的完整性证明。

提示注入只是问题的一部分

综述的另一个关键判断是：工具介导的控制流劫持仍然突出，而持久状态污染与多智能体间的传播正变得越来越重要。这意味着企业的智能体安全建设需要从「能不能拦住恶意提示」转向更系统的三个问题：

• 这段内容会影响什么？
• 由此产生的行为轨迹会行使哪些授权？
• 这条轨迹会留下什么状态？

原文中关于综述到具体产品平台的映射，因截断无法完整呈现；从已有内容看，相关论述带有较强的厂商视角，读者在引用具体控制能力时应回到原论文核对。