防御进化成Skill：NeurIPS论文用MCTS让Agent守卫9轮迭代攻击成功率0.30降至0.078
青稞AI · wechat · 2026-10-15
论文《Defense-as-Skill》被 NeurIPS 2026 录用，核心观点：Agent 的能力和记忆都在进化，唯独安全防御是静态的手写策略文本，写完即过时。作者提出让防御本身也成为可进化的 Skill。
三大组件
- SkillSonar：以普通 Skill 形式部署的运行时守卫，在每次敏感操作（工具调用、文件读写、Shell、数据访问、外部副作用）前基于用户任务边界做三级裁决（Allow / Replan / RequireConfirm）。核查对象是"动作是否越界"，不限于恶意 Skill 来源。消融显示必须显式指派安全职责，靠普通任务-技能匹配触发几乎无效。
- SCOPE-R 数据集：按六大家族（规约完整性、能力管控、操作副作用、隐私数据流、执行安全、资源可靠性）组织 21 子类，含 206 个恶意实例和 43 个良性任务；由"攻击者-受害者-裁判"三 Agent 闭环构造，仅保留裁判确认真实发生的攻击，裁判与人工审计一致性 94%/98%。
- 进化引擎：用 MCTS 维护候选守卫搜索树，裁判返回"如何被绕过"的自然语言反馈指导局部编辑，以攻击成功率为主导目标，防止退化为逢操作必拦。
主要结果
- 9 轮迭代，GLM-5 上恶意攻击成功率从 0.300 降至 0.078，良性效用接近无防御水平；
- OOD 攻击家族 ASR 从 60.6% 降至 11.5%（GLM-5 重复 10 次）；GPT-5.4 点估计 55.9%→3.4%；
- 对比：平台自带权限闸门（AcceptEdits）虽压低 ASR，但 GPT-5.4 上 OOD 效用从 0.766 跌到 0.258；
- 零改动跑外部 benchmark：SkillSafetyBench ASR 93.3%→52.9%，WildClawBench 安全分 38.0%→54.0%，均为最优；
- 自适应攻击（针对守卫迭代三轮）下 ASR 仍从 45.1% 压到 22.9%；GLM-5 上优化的守卫可零样本迁移到 Kimi-K2.6、Haiku、GPT-5.4；
- 消融：同样策略内容，Skill 原生表示比拍平进系统提示 ASR 更低、效用更高、省约 21% token。
作者明确定位：这是 soft guard，不是沙箱或硬隔离，理论上可被绕过，价值在零改动接入、全透明可审计，适合作为纵深防御的一层。代码与数据集均已开源。
所属事件:NeurIPS论文提出Defense-as-Skill，让Agent安全防护可进化(2 条相关)→
「编程与Agent」频道最新
- DeepStation 社区活动现场演示 OpenAI DevDay 后 Codex 新功能 — MicahBerkley · 2026-10-23
- 开源语义搜索让 GitHub issue 检索快 2 倍、准 8 倍 — jamesmurdza · 2026-10-23
- HarnessRouter 开源：一套 API 统一调度 Codex 与 Claude Code 等编程智能体 — tom_doerr · 2026-10-23
- React Scan 作者预告新工具，称要解决性能调试老大难 — aidenybai · 2026-10-23
- Coinbase 推出 Agent 专区:让 ChatGPT、Claude 等代理代你交易加密货币与股票 — MurrLincoln · 2026-10-23
- GitHub DaisyUI-MCP 仓库被曝内置 luajit.exe 恶意软件 — AveryFreeman · 2026-10-23