AI Agent 安全系列：2. AI Agent 攻击面推导
2025 年 12 月，OWASP 发布 2026 版 Agentic Applications Top 10[1]，列出智能体应用的十类主要威胁，下面的推导以它为参照。 第 1 篇把 agent 运行时拆成六层与两个部件，并留下两条结构性事实：结构性事实 1 是所有外部内容在组装时汇成一条没有来源标记的平坦 token 流；结构性事实 2 是判定检查点只覆盖“模型 → 动作”这一段，内容进入与配置加载都不经过它。沿着这张结构图推导，得到的攻击面与威胁清单不同：它的意义在于可检验，任何一个新漏洞、新技术出现，都能定位它落在哪个攻击面上；定位不上，则暴露的是结构图的缺口，两种结果都推进认识。推导完成后，把上一节 OWASP 给出的十类威胁逐条放回七个攻击面，威胁清单与结构图的对应关系也就清楚了。 推导按三个问题展开：agent 的行为由哪些状态决定，执行由哪些关卡拦截；这些状态与关卡推出哪几个攻击面，各落在架构图的什么位置；一个攻击面要变成一次实际攻击，中间还差什么。 OWASP 2026 版 Agentic Applications Top 10 图源：OWASP Top 10 for Agentic Applications（2026）[1]。十类如下： 目标劫持（ASI01）：利用模型无法可靠区分指令与内容的固有弱点，操纵 agent 的目标、任务选择与决策路径，影响覆盖后续多步行为而非单次回答； 工具滥用与利用（ASI02）：agent 在授权范围内以不安全或非预期的方式使用合法工具，如删除数据、过度调用付费接口、外传信息；涉及提权归 ASI03，形成代码执行的归 ASI05； 身份与权限滥用（ASI03）：操纵委托链、角色继承与 agent 上下文实现提权；根源是身份体系以人为中心，agent 没有独立受治理的身份，最小权限无法真正执行； 智能体供应链（ASI04）：模型、工具、插件、数据集、MCP 与 A2A 接口、注册表、更新通道等第三方组件被投毒或篡改；与传统软件供应链的差别在组件多为运行时动态装配； 意外代码执行（ASI05）：注入、工具滥用或不安全序列化把文本变成可执行行为，后果是宿主或容器接管、驻留与沙箱逃逸；代码常由 agent 实时生成，绕过基于静态规则的安全管控； 记忆与上下文投毒（ASI06）：对话历史、长期记忆、检索库被写入恶意或误导数据，污染此后的推理、规划与工具选择，跨会话传播；这一类投毒针对存储的上下文，当次输入的注入归 ASI01； 不安全的智能体间通信（ASI07）：多智能体系统的消息交换缺乏认证、完整性与语义校验，可被拦截、伪造与篡改，威胁横跨传输、路由、发现与语义各层； 级联失败（ASI08）：单一缺陷沿智能体网络传播放大成系统性故障；它描述扩散本身而非起点，起点按性质归 ASI04、ASI06 或 ASI07； 人机信任利用（ASI09）：利用拟人化信任、权威偏差与自动化偏差，让人不加验证地批准 agent 的输出与建议，审批链上的人成为被利用的一环； 失控智能体（ASI10）：恶意或被攻陷的 agent 偏离预期功能与授权范围，行为漂移且伪装合规；清单关注漂移开始后的行为完整性丧失，不是初始入侵。 这份清单完成了自己的任务：给做 agent 安全的人当参考，收录影响最大的十类威胁，公开攻击的主要形态都在其中。它的组织方式是威胁类型，不是 agent 内部结构，所以回答不了这样的问题：每一类威胁落在运行时的哪个位置、哪几类威胁共享同一个根因、为什么公开漏洞集中在其中几类而其余几乎为零；回答这些问题，需要的是从结构出发的推导。 ...