AI Agent 安全研究方法
本页记录 AI Agent 安全研究的范围、证据标准和沉淀流程。研究材料优先进入现有人工智能安全知识体系；已有的Agent 与工具调用安全负责安全架构与技术结论，本页不重复其正文。
研究什么
围绕六类信任边界开展研究：
- 输入与上下文：Prompt Injection、Jailbreak、RAG Poisoning。
- 工具与执行：Tool Injection、MCP、工具参数注入、代码执行与沙箱逃逸。
- 记忆与状态：Memory Poisoning、跨会话污染、持久化攻击。
- 身份与权限：Agent 身份、委托授权、凭证隔离、越权调用。
- 自主行为与多 Agent：目标劫持、跨 Agent 信任边界与协作链攻击。
- 运行时与现实世界：浏览器、桌面、IoT Agent 的执行与物理影响。
每项研究回答：攻击者控制了什么、越过哪条信任边界、实际影响是什么、哪个独立于模型的控制点可以阻断。
研究流程
- 发现：检索论文、CVE/GHSA、原始公告、开源代码与真实事件。
- 核验：确认受影响版本、披露日期、前置条件和原始证据；区分真实事件、实验演示和推测。
- 分析：还原入口、数据流、工具调用、授权判断、执行副作用与持久化路径。
- 验证：仅在授权且隔离的环境中验证；未复现必须明确标记，不以模型推断替代测试。
- 防御：优先评估资源侧权限、工具网关、凭证代理、沙箱、网络出站控制、记忆写入审核与审计。
- 沉淀：将结论写入对应技术文章；案例保留原始证据链接和更新记录，避免重复维护同一事实。
案例记录字段
每个高价值案例至少包含：稳定 ID、标题、首次披露日期、受影响产品及版本、攻击者可控输入、前置条件、攻击链、信任边界、实际影响、原始证据 URL、PoC 状态、修复状态、验证状态、未解决问题。
证据状态使用 原始证据已核验、多来源交叉验证、单一来源待核验、无法验证；验证状态独立使用 已授权复现、公开 PoC 未复现、无公开 PoC。不将缺失字段视为无风险。
Deep Research 专题任务
首期主题：2025-01-01 至 2026-10-25 AI Agent 安全攻击面、真实漏洞与防御架构。
要求覆盖六类攻击面，优先一手来源，建立不少于 20 个高价值案例的候选池（不足则说明缺口），对 5 个代表性案例分析攻击链与信任边界，比较检测与阻断能力，提出企业级参考架构。每条重大事实提供可追溯引用；不得虚构 CVE、PoC、版本、复现结果。
研究前先审阅计划与来源；研究结束后人工审核证据，再将内容分流到现有文章和案例数据。Deep Research 报告是候选材料，不自动成为已验证事实。
持续更新
每日关注新增漏洞与论文；每周筛选高价值案例；每月选择一个方向开展专题研究；每季度复核防御架构。自动任务负责发现和提醒，不能代替证据审核、授权复现或 Git 提交。公开仓库不得存储凭证、客户数据或未经脱敏的内部事件材料。