AI Agent防御也能进化：打造可进化的守卫Skill

在当前的智能体系统中，能力依赖技能持续积累，经验通过记忆不断沉淀，整体处于快速进化的状态。但安全防御环节却长期保持静态，往往是一份写完就可能过时的手写策略文本，难以跟上攻击手法的快速迭代。这一不对称性催生了新的研究方向，相关工作提出将防御本身转化为可进化的技能，以此解决防御滞后的问题。

要让防御实现进化，首先需要将其转化为可编辑、可评估、可替换的实体。这一思路的具体落地是构建名为SkillSonar的防御技能，它与普通任务技能类似，可被安装、加载，与不可信的任务技能并行运行在同一智能体中。

每当智能体要执行敏感操作时，SkillSonar会基于用户任务边界进行核查，给出三类裁决结果：

• 在任务边界内则直接放行；
• 需要收窄或重新规划动作；
• 风险较高时要求用户显式确认。

这种核查机制不局限于恶意技能诱导的攻击，无论是指令注入、模型自身偏差产生的违规操作，只要越过任务边界都会被拦截。该设计无需修改智能体底层运行时，也不需要额外的分类器或独立审核服务，可直接部署到多个现有智能体框架中。同时，由于它是普通的技能文件，任何人都可以打开检查、修改，具备天然的透明性。

不过，写死的防御技能存在致命缺陷，一旦脱离初始版本就会快速过时，而攻击手法始终在演变，这正是后续优化的核心出发点。

要实现防御的进化，需要解决数据支撑的问题，即如何在拦截恶意操作的同时不影响正常任务执行。为此，相关研究构建了SCOPE-R数据集，将技能引发的风险按运行时路径分为六大类，细分为21个子类。数据集通过“攻击者—受害者—裁判”的三智能体闭环构造：攻击智能体在不改动用户任务的前提下修改技能注入恶意行为；受害者智能体用被污染的技能执行任务；裁判智能体对照运行时证据判定攻击是否成功，失败的攻击会将原因反馈给攻击者迭代优化。最终的数据集包含206个恶意实例和43个良性任务，其中两类攻击家族不参与训练，用于测试模型的泛化能力。

有了载体和数据支撑，还需要进化的核心引擎。手工设计的防御技能容易陷入两难：要么被自适应攻击绕过，要么过度拦截影响正常任务。因此，研究将防御技能本身作为优化对象，提出运行时防御技能进化的思路：训练阶段用蒙特卡洛树搜索维护候选防御的搜索树，每轮选择候选防御在真实任务中测试，裁判返回的不仅是分数，还有具体的绕过方式等自然语言反馈，据此对防御做局部编辑扩展出新变体。进化的目标以安全为核心，将任务效用、确认次数、token开销作为次级约束，避免防御陷入过度拦截的退化解。通过9轮迭代，恶意攻击成功率从0.300降至0.078，防御效果得到显著提升。

为验证防御的效果，研究开展了多组实验，覆盖了多个智能体框架和受害者模型。实验结果显示，该防御能在保障安全的同时维持任务效用，相比传统权限闸门，它在降低攻击成功率的同时，任务完成率没有出现大幅下降。对于未见过的攻击类型，防御也表现出良好的泛化能力，在多个模型上都实现了攻击成功率的显著降低。此外，该防御还具备跨框架的鲁棒性，无需针对不同模型重新训练，可直接部署到多个独立开发的基准测试中，表现优于其他同类方法。

相关的对照实验也验证了设计的有效性：技能原生形式的防御比直接将策略塞进系统提示的效果更好，token开销更低；显式指派安全职责的触发方式，比普通任务检索匹配的效果更优，能在保持良性效用的同时大幅降低攻击成功率。

需要明确的是，SkillSonar属于软防线，并非沙箱、内核监控这类硬隔离措施，理论上存在被绕过的可能，攻击成功率也未降至零。它的价值在于无需改动原有系统，具备透明可审计的特性，用较低的接入成本换取攻击成功率的显著下降，适合作为纵深防御的一层，而非唯一的防御手段。

这项研究的核心观点是，在能力持续进化的智能体系统中，防御不应是唯一静止的部分。技能提供了防御进化的载体，SCOPE-R提供了数据燃料，MCTS搜索提供了进化引擎，三者结合让防御随能力一起迭代成为现实。研究也期待社区能在相关数据集上做出更强的攻击和防御方案。