主题演讲主要内容：网络安全智能体与认知安全——从能力跃迁到可信行动

一、核心结论

网络安全智能体正在由“辅助分析”走向能够连续执行漏洞发现、验证与利用构造的“自主攻防”。这会让攻击更快、更隐蔽、更易规模化，也会明显压缩发现漏洞到实施攻击之间的防御窗口。

演讲的核心主张是：不能只评估智能体“会不会做事”，还必须确保其认知可信、行动可控。网络安全智能体的能力来源——Skill、长期 Memory、多智能体协同、模型规划和工具调用——同时也是认知操纵的主要攻击面。防护应形成从 Skill 准入扫描、形式化验证、运行时审计，到 Memory 投毒/抽取防御，再到独立控制面约束执行权限的体系化闭环。

二、从能力跃迁到自主攻防

1. 演讲对能力跃迁的判断

页面引用 Anthropic 披露的 Mythos 相关案例，用于说明 AI 安全研究智能体可连续完成真实漏洞的发现、验证和利用生成。页面举例提到：

• 在 OpenBSD 中发现长期遗漏的远程崩溃漏洞；
• 在 FreeBSD NFS 中发现存在多年的远程代码执行漏洞；
• 在初始提示后，智能体可在数小时内生成可工作的利用；
• 在 Firefox 目标上可多次生成可工作的利用。

页面还提到英国 AI Safety Institute（页面缩写为 AISI）的专家级 CTF 任务成功率信息。上述案例意在强调：AI 已能把漏洞发现、验证和利用连续推进，安全防御的时间窗口正在被压缩。

2. 网络安全智能体改变的不只是攻击速度

演讲将网安智能体带来的变化概括为四个方向：

因此，演讲提出：当发现和利用提速时，修复、验证与治理也必须同步提速。

3. “扫地僧”网络安全智能体：可验证的漏洞挖掘闭环

天津大学的“扫地僧网络安全智能体”被描述为不是简单给出答案，而是持续完成：

理解 → 分析 → 构造 → 验证 → 可复核证据输出

其结构要点包括：

• 以代码与系统、攻击面与约束、任务目标为输入；
• 通过 Skill 指导长程执行，通过 Memory 保存中间状态；
• 由多智能体协同开展探索、分析、构造和验证；
• 输出漏洞证据、验证样例与风险路径，形成可复核成果。

4. 演讲展示的阶段性能力效果

页面称其在两个月内覆盖 134 个开源项目，形成规模化、多类型的漏洞发现与自动验证能力；页面还列出了“300+ 自动化发现漏洞”“200+ CNVD/CVE”“高危/严重漏洞”等信息，但图中不同数字与标签的对应关系部分不清晰，故不将其组合为精确统计结论。

可清晰辨认的能力覆盖包括：

• 文件与路径安全；
• 注入类漏洞；
• 身份认证与访问控制；
• 权限与业务逻辑；
• 信息泄露；
• 代码执行、二进制漏洞与服务端风险。

5. 支撑长程任务的三类核心能力

演讲认为，网安智能体要持续完成自主漏洞挖掘等长程任务，需要三类支撑：

1. 专业知识 / 网安知识：回答“会什么”，支撑信息感知、分析研判与构造验证。
2. 长期 Memory 管理：回答“记住什么”，实现知识沉淀、检索复用、复盘修复与持续迭代。
3. 多智能体协同机制：回答“如何持续完成”，支持分工协作和交叉验证。

能力、知识、记忆与协同共同决定了智能体能否完成可靠的长程安全任务。

三、认知安全：阻断错误认知转化为越权行动

1. 认知安全的定义与攻击面

演讲将“认知安全”定义为：确保智能体的能力、知识与协同可信，并阻断错误认知进一步转化为越权行动。

页面给出的关键逻辑链为：

外部输入 → 模型与规划 → 工具行动 → 反馈与写回

在该链条中：

• Skill 和多智能体协同提供能力，也可能遭投毒、恶意节点影响或协同机制操控；
• Memory沉淀知识和经验，也可能面临投毒、泄露与约束丢失；
• 一旦目标可信度下降、规划出现错误，可能导致错误决策、越权调用乃至现实世界影响；
• 错误经验写回后还会持续放大，形成自强化风险。

四、Skill 供应链：从单文件检查走向链、数据流与执行过程

1. 开源 Skill 的供应链风险

演讲指出，开源 Skill 将供应链风险带入智能体的能力入口。页面基于对 31,132 个公开 Skill 样本的系统分析，给出如下材料性统计：

材料列出的潜在影响包括敏感数据外传、凭据窃取、远程代码执行和智能体行为操纵。其关键提醒是：Skill 即使能正常完成表面任务，也可能在后台执行用户未授权的高风险操作。

2. 新型 Skill 链攻击：单点无害、组合有害

页面以 ColluSkill：Multi-Skill-Chain Attack 描述一种链式组合攻击：

1. 将完整恶意目标拆解为多个相互依赖的子载荷；
2. 将子载荷分别植入看似正常的 Skill；
3. 单独检测时，任何单个 Skill 都未呈现完整恶意行为，因而可能通过检查；
4. Agent 运行时借助上下文关联与执行交接重新组合载荷并触发攻击。

该案例的结论是：Skill 安全分析不能停留在“单个文件”，必须扩展到 Skill 链、数据流和完整执行过程。

3. Skill 三层防御：准入扫描、形式化验证、运行时审计

准入扫描：识别“有没有可疑”

• 检查 Skill 描述、自然语言指令、脚本、依赖和权限声明；
• 识别危险模式、隐藏语义风险、提示词注入、数据外传、权限提升和供应链风险；
• 页面展示的检测效果为精确率 86.7%、召回率 82.5%（按页面可辨认文字记录）。

形式化验证：证明“安全边界是否始终成立”

• 为关键 Skill 建立行为契约；
• 验证敏感数据流、高风险操作前置条件及多 Skill 组合约束；
• 将安全要求从“看起来正常”提升为可验证的持续约束。

运行时安全审计：观察真实行为并阻断

即使通过形式化验证，动态生成、环境依赖与真实组合行为仍可能引入建模外风险。页面提出在隔离沙箱中：

• 执行可疑 Skill；
• 捕获运行时生成或解码的新指令；
• 跟踪敏感数据在上下文、文件、进程与网络之间的流动；
• 按真实行为判定数据外传、越权写入与恶意执行。

页面展示“现有实验：检出率 96.7%、误报率 2%”的结果性文字；由于图中实验条件与完整定义无法从照片完全核验，本整理仅按演讲材料转述。整体上，三层机制形成“发现—证明—阻断”的防线。

五、Memory 安全：防投毒、防抽取、防约束丢失

1. 多维 Memory 风险

演讲指出，Memory 风险既可能来自外部对话中的恶意写入，也可能来自压缩、摘要和遗忘造成的约束丢失。错误记忆一旦被再次检索，会跨轮次影响推理与行动。

材料强调两类问题：

• 对抗安全：攻击者用对话形式注入有害信息，诱导错误行为；
• 内生安全：记忆压缩可能丢失原始指令、意图或限制条件，导致安全边界退化。

页面以公开报道式案例说明，自动化清理邮箱等具备执行权限的 Agent，若在记忆/上下文处理中丢失“不执行”的限制，可能造成批量删除等不可逆后果。该案例用于说明风险机制，不作为本整理的独立事实核验。

2. Memory 投毒：一次写入，跨会话持续控制

Memory 投毒跨越两个阶段：

• 写入阶段（Write Session）：攻击载荷进入长期记忆；
• 检索阶段（Retrieval Session）：后续正常任务中召回被投毒的 Memory，影响行为。

页面列出的投毒类型包括：

• 显式命令插入；
• 条件命令插入；
• 显著性驱动的压缩投毒；
• 策略一致型虚假事实注入；
• 虚假先例注入；
• Skill 程序注入。

页面以 ASR（写入成功率）衡量恶意目标是否进入长期 Memory，以 RSR（检索成功率）衡量已写入投毒 Memory 是否在后续会话被召回并影响行为。关键风险在于：攻击载荷只需出现一次，恶意影响却可以跨会话持续并被正常任务重新激活。

3. Memory 抽取：由辅助上下文变成隐私外泄通道

Memory 抽取不一定修改 Memory；攻击者可通过黑盒查询诱导 Agent 检索并输出历史交互记录。演讲展示的攻击路径是：原本用于辅助当前任务的历史记忆，被带入搜索/API 等工具调用，从而被导出到外部工具界面。

因此，隐私风险不仅来自 Memory 的存储本身，也来自检索结果进入工具后的越权使用。

4. Memory 防御：自检与自纠错

演讲提出两类防御机制：

共识验证：让 Memory 自检

• 同一查询召回多条相关记忆，形成平行推理路径；
• 比较路径间的一致性，识别偏离多数共识的异常路径；
• 过滤异常路径对应的记忆，避免其进入最终决策。

双 Memory 结构：让 Memory 自纠错

• 将异常推理蒸馏为负面 Lesson，与正常经验分开存储；
• 行动执行前检索相关 Lesson，命中时触发计划修正；
• 将已发现攻击转化为防御经验，避免同类错误重演。

其目标不仅是识别异常记忆，更是阻断错误经验在“检索—执行—写回—持续放大”循环中自我强化。

六、高风险行业：认知偏差会被执行环节放大

演讲以医疗和能源基础设施说明，认知偏差一旦进入执行环节，可升级为生命伤害、设备事故和系统停摆。

演讲要求高风险场景同时验证：知识来源、版本、判断依据和执行边界，并引入权威知识版本、时效/冲突检查、业务规则硬约束和专业人员复核。

七、可信行动架构：认知可信，行动可控

演讲的最终架构将系统分为两部分：

1. 认知层：负责形成方案，包括可信能力（Skill）、可信 Memory/经验/约束、模型、工具与参数建议以及任务计划。
2. 独立控制面：负责最终授权，不能由模型自我判断，应独立施加任务级最小权限、执行权限边界、参数约束、独立验证、沙箱与网络控制、人工审批等机制。

总结性观点是：

可信不是永不出错，而是认知可校验、行动可阻断、状态可恢复。

八、主要启示

1. 把 AI 安全能力提升视为攻防时钟加速器：漏洞发现、验证和利用已趋于连续化，防御流程必须同步自动化和前移。
2. 把 Skill、Memory、协同机制纳入关键供应链治理对象：它们不只是增强能力的组件，也是可被投毒和利用的认知入口。
3. 分析对象从单点扩展到运行全链路：应同时审查 Skill 链、上下文连接、数据流、实际执行行为和反馈写回。
4. 将 Memory 视为可持续攻击面：需要覆盖写入、压缩、检索、工具调用和回写各环节，防止跨会话持续控制与隐私外泄。
5. 模型决策与行动授权必须分离：模型可以提出建议，但高风险权限、参数、网络和现实系统操作需由独立控制面校验和授权。
6. 高风险行业要落实可恢复性与人工复核：在医疗、能源等领域，版本控制、规则约束、隔离和人工审批不是可选项。