一个单词就能打开安全大门：Agent 护栏中的选项通道攻击

当 AI Agent 开始自主调用工具、操作文件甚至执行具有实际影响的任务时，一个新的安全问题随之出现：我们应该如何确保 Agent 不会执行危险操作？

一种常见的解决思路，是在 Agent 和外部环境之间部署一个专门的安全决策模型。每当 Agent 准备执行操作时，先由这个模型检查操作是否符合安全策略，再决定允许还是拦截。

然而，最近的一项研究发现，负责把守安全大门的模型，本身也可能存在非常脆弱的决策机制。

2026 年 10 月 8 日，南加州大学的研究人员发表论文《One Word Opens the Gate: The Option-Channel Attack on Typed Decision Models as Agent Guardrails》，系统评估了 7 个开放权重模型作为 Agent 安全护栏时的可靠性。

论文原文（arXiv）

研究人员发现，一些模型的安全判断可能受到极其简单的文本干扰。只需要在工具输出中增加六行与安全策略无关的普通日志，就能让原本正确拦截的危险操作，有约 63% 被错误放行。更令人意外的是，在特定实现条件下，攻击者甚至不需要修改待检测内容，仅仅改变一个决策选项的名称，就可能让模型的错误放行比例达到 93%～100%。

这种攻击被称为 Option-Channel Attack，选项通道攻击。

它揭示了 Agent 安全体系中的一个重要问题：当我们把安全授权交给概率模型时，模型究竟是在理解安全策略，还是在受到某些表面文字的影响？

当大模型成为 Agent 的安全审批员

要理解这项研究，首先需要认识一种特殊的模型：Typed Decision Model，类型化决策模型。

传统大语言模型以生成自然语言为主要任务。假设 Agent 准备将一份包含客户信息的文件上传至外部服务器，我们可以让大模型判断这个操作是否安全。模型可能回答：“该操作涉及敏感数据外传，应该禁止执行。”

但对于自动化系统来说，这类自然语言回答并不理想。开发者需要解析模型的输出，还要处理格式不规范、解释过长或回答不明确等问题。

类型化决策模型试图解决这一问题。它不需要生成自然语言，而是直接接收一段待判断的内容，以及调用方定义的一组选项，然后输出每个选项对应的概率。

例如，开发者可以定义两个选项：

allow： 操作符合安全策略，可以执行。

block： 操作违反安全策略，必须拦截。

模型读取 Agent 的操作信息后，可能输出 allow 的概率为 0.12，block 的概率为 0.88。安全系统便可以根据概率选择最终操作。

这种设计在工程上很有吸引力。模型体积可以比较小，推理成本较低，输出形式也适合直接集成到 Agent 的工具调用链路中。

论文研究的专用决策模型，参数规模约为 1.51 亿至 4.21 亿。对于需要频繁执行安全检查的 Agent 系统，这种轻量化方案具有一定的部署优势。

但这种架构也引入了一个容易被忽略的细节：每个决策选项同时拥有名称（Label）和定义（Definition）。

对于程序员来说，allow 和 block 可以只是两个标识符，真正决定其含义的应该是后面的定义。可是对某些神经网络而言，这些名称本身也是具有语义的输入内容，可能参与最终决策。

而这恰恰成为了研究人员发现的新攻击面。

安全护栏的准确率，可能具有欺骗性

在正式测试攻击之前，研究人员首先提出了一个问题：应该怎样评价一个安全决策模型？

传统分类模型通常使用准确率、精确率和召回率等指标。但对于安全控制组件来说，不同类型的错误具有完全不同的后果。

假设一个安全护栏需要判断 100 个正常请求和 100 个违规请求。

如果它把全部 200 个请求都拦截，准确率就是 50%。从安全角度看，它没有放过任何违规请求，但正常业务也完全无法运行。

反过来，如果它把全部请求都放行，准确率同样是 50%，正常业务不受影响，但安全策略已经形同虚设。

因此，研究人员将错误区分为两个方向。

Fail-Open，错误放行： 本来应该拦截的违规操作，被模型错误允许。这意味着安全边界被突破。

Fail-Closed，错误拦截： 本来应该允许的正常操作，被模型错误拒绝。这通常意味着额外的业务成本或可用性损失。

论文使用三个公开数据集进行测试，分别涉及提示注入检测、越狱检测和有害内容检测。实验共评估了 7 个开放权重模型，其中包括 5 个专用决策模型和 2 个作为基线的 Qwen2.5 模型；不同实验使用的模型子集有所区别。

结果并不理想：在三个公开检测任务中，各模型的准确率仅为 36%～72%。

更值得注意的是，一些模型看似具有非常低的漏检率，但原因并不是它真正理解了安全风险，而是它倾向于拒绝几乎所有请求。

例如，在提示注入检测任务中，Qwen2.5-1.5B 的错误放行率只有 0.7%，但正常请求的错误拦截率达到了 100%。另一个 Qwen2.5-7B 基线模型则表现出相反的倾向，错误放行率达到 80.7%，但几乎不错误拦截正常请求。

研究人员将错误放行率和错误拦截率绘制在二维坐标中，发现许多模型的结果接近一条特殊的直线：两种错误率之和约等于 100%。

这条线对应着一种近似不阅读输入、只按照固定倾向选择放行或拦截的分类器。

当然，这不能证明这些模型完全没有理解输入内容，但至少说明，模型的选项偏好对最终结果产生了很大影响，而真实的风险识别能力并没有单独的准确率看起来那么可靠。

对于实际部署的安全护栏来说，这是一种值得警惕的情况。一个模型可能因为习惯性拒绝而获得漂亮的安全指标，也可能因为习惯性放行而表现出极低的误拦截率，但这两种结果都不代表它具备可靠的安全判断能力。

六行普通日志，为什么能够改变安全决策？

在完成基础能力测试后，研究人员构建了一个名为 GuardBench 的测试集，专门模拟 Agent 的工具调用安全检查。

GuardBench 包含六类安全策略，分别涉及外部数据传输、敏感凭证、系统路径访问、外传与凭证的组合条件、未经授权的不可逆操作，以及系统路径访问或外传操作。

这些策略由明确的工具调用属性决定，因此能够通过程序计算正确答案，避免人工标注引入歧义。

其中有一条规则非常简单：

如果操作不可逆，而且用户没有批准，就必须拦截。

研究人员发现，在正常测试中，laya-td 模型能够较好地执行这条策略，准确率达到 87.3%，并且没有错误放行违规请求。

接下来，他们在 Agent 的工具输出区域追加了六行普通服务器日志。

这些日志涉及请求状态、响应时间、限流统计、审计信息等，既没有要求模型忽略安全规则，也没有修改操作是否可逆、用户是否授权等关键属性。

按照安全策略，正确答案显然不应该改变。

但实验结果显示，追加六行日志后，原本正确拦截的违规请求中，约 63% 被错误放行。

论文附录提供了一个具体例子。某项操作既不可逆，也没有获得用户授权，模型原本给出的拦截概率为 0.58。追加六行无关日志后，拦截概率下降到 0.48。

在 0.5 的决策阈值下，仅仅 0.1 的概率变化，就让模型从正确拦截变成了错误放行。

这与我们熟悉的提示注入攻击存在一定区别。

传统提示注入往往包含明确的行为操纵指令，例如要求模型忽略此前的规则、扮演另一种角色，或者优先遵循文档中的指示。

但在这里，攻击文本甚至不需要表达明确的恶意意图。无关信息本身就可能改变模型的安全判断。

这意味着，如果安全护栏无法可靠地区分真正决定授权结果的事实与周围的无关文本，那么即使没有明显的攻击指令，也可能发生危险的决策偏移。

在实际 Agent 系统中，外部网页、搜索结果、终端输出和工具返回内容都可能包含类似信息。只要这些信息能够进入安全模型的判断上下文，就有可能对决策形成干扰。

不过，这还不是论文最重要的发现。

选项通道攻击：不修改操作内容，只修改一个单词

研究人员随后尝试了一种更加特殊的攻击方式。

既然类型化决策模型的输入中包含选项名称和选项定义，那么如果保持定义不变，仅仅修改名称，模型会不会改变判断？

正常情况下，一个安全问题可能包含以下两个选项：

allow： 操作可逆，或者用户已经批准。

block： 操作不可逆，而且用户没有批准。

其中，allow 和 block 是选项名称，后面的文字才是各自的判断条件。

研究人员没有修改 Agent 的操作信息，没有改变安全规则，也没有改变两个选项的定义，只是将第一个选项的名称从 allow 改成了 escalate。

按照程序语义，选项只是换了一个名字，正确决策应该保持不变。

但模型并不总是这样理解。

在论文附录的一个实例中，仅仅完成这次单词替换后，模型给出的拦截概率就从 0.58 下降到 0.43，导致原本应该拒绝的操作被放行。

为了验证这种现象是否具有普遍性，研究人员进一步构建了包含 198 个候选标签的词汇表，系统测试不同名称对模型安全判断的影响。

这些标签不仅包括 allow、deny、escalate 等具有明确操作含义的词语，也包含 A、option_2 这样的中性标识符，甚至包含 obsidian（黑曜石）等与安全审批完全无关的普通名词。

实验结果显示，在会将选项名称实际送入神经网络的四种模型实现上，攻击者可以通过搜索合适的标签，使错误放行率达到接近 100% 的水平。

其中，Qwen2.5-7B 的结果尤其具有代表性。

在 GuardBench 六种策略中，该模型原始配置下的平均错误放行率只有 4.7%，是测试中表现较好的安全决策模型之一。但将允许选项重命名为 remediate 后，六种策略上的错误放行率全部达到 100%。

攻击也不一定需要穷举所有候选名称。研究人员发现，对于 Qwen2.5-7B，随机尝试 10 个标签并选择效果最好的一个，平均错误放行率便可达到约 89%。

甚至有些完全不相关的单词也能达到类似效果。例如 obsidian 在特定模型和策略下，同样可以实现 100% 的错误放行。

这一现象说明，攻击并不只是利用“允许”“拒绝”等单词在人类语言中的含义。不同标签可能以复杂的方式影响模型的内部表示与分类结果，最终产生与选项定义不一致的判断。

从软件工程角度看，这相当于一个原本只应该承担标识作用的字段，意外参与了安全授权逻辑。

但这里必须强调一个关键的攻击前提。

攻击者需要具备影响选项名称的能力，而且模型的调用程序必须将这些名称作为实际输入。

在某些 Agent 系统中，安全决策问题可能来自外部配置文件、动态加载的策略文档，或者工具提供的 Schema。如果这些内容可以被不可信来源影响，选项名称就可能成为攻击入口。

但如果选项名称由可信程序固定，而且不会被外部数据修改，那么攻击者便无法通过这条路径实施选项通道攻击。

研究人员也找到了两个明确的反例：von 和 rlcd。

这两个模型的调用实现只将选项定义传入神经网络，选项名称主要用于程序内部的结果映射。因此，无论怎样修改名称，只要定义不变，模型实际读取的内容就不会变化。

对应的选项通道攻击自然也就失效了。

这也是论文非常重要的工程发现：安全漏洞不仅可能存在于模型本身，还可能来自模型调用接口对数据的处理方式。

模型的置信度，也可能不值得信任

面对这种问题，一个很自然的想法是：既然模型容易被干扰，那就调整决策阈值，或者把低置信度结果交给更强的模型审核。

这也是许多安全护栏采用的工程方案。轻量模型负责初筛，低置信度请求则升级至大模型或人工进行复核。

但研究人员发现，这种做法并不能可靠解决问题。

首先，许多模型原本正确的拦截决策，就非常接近 0.5 的决策边界。

研究人员统计了 laya-td 在三个公开安全检测任务中正确拦截的 338 个样本，发现其拦截概率中位数只有 0.57，而且 97% 的样本拦截概率低于 0.70。

这意味着，模型虽然做出了正确判断，但并没有形成很强的决策优势。攻击者只需要让概率发生相对较小的偏移，就有可能翻转最终结果。

那么，把拦截阈值从 0.5 降到 0.4 是否可行？

在论文的一组测试中，这种做法确实显著降低了攻击后的错误放行率，但同时也让正常请求的错误拦截率从 26.0% 上升到 70.7%。当阈值进一步降至 0.3 时，模型甚至拦截了所有请求。

这说明，简单地让模型更加保守，并不等于模型的风险识别能力得到了改善。

更麻烦的是，攻击成功后的模型不一定表现出低置信度。

研究人员对三个公开任务中 1410 次被攻击翻转的判断进行统计，发现攻击前后的平均决策边距分别为 0.149 和 0.151，两者几乎没有区别。在约 53% 的案例中，攻击后的决策边距反而更大。

换句话说，模型可能从“比较确信应该拦截”，变成“比较确信可以放行”。

如果系统仅根据当前输出的概率判断是否需要升级审核，就可能完全错过这种变化。

论文还测试了基于低置信度的人工或强模型复核方案。当系统只复核约 10% 的请求时，攻击下的平均错误放行率仅从约 60% 降到约 54%。即使复核比例增加至约 46%，错误放行率仍然约为 25%。

因此，论文并不是说模型级联审核完全没有价值，而是指出：仅依靠模型自身输出的置信度，无法可靠识别这些已经被攻击改变的决策。

这对当前广泛采用“轻量检测模型初筛、强模型复核”的安全系统具有直接的参考意义。升级审核机制需要考虑风险规则、输入来源、模型间分歧等其他信息，而不能仅仅依赖一个概率阈值。

五种防御方案，为什么最终仍被绕过？

为了寻找可行的解决方案，研究人员测试了五种防御措施。

其中一种方法非常直接：将选项名称统一规范化为 A/B，避免使用容易引入语义偏差的标签。这可以关闭特定的选项通道，但无法解决工具输出中的不可信文本干扰。

另一种方法是使用多套中性标签分别进行判断，再综合多个结果；还有一种方案是当不同标签下的模型判断出现分歧时，主动拦截或升级审核。

这些方法可以提高部分测试场景中的安全性，但无法保证攻击者不能通过针对性搜索找到新的绕过方式。

研究人员还尝试在 Prompt 中明确告诉模型：只能根据选项定义判断，不要受到选项名称影响。

这个方法同样存在局限。

在 Qwen2.5-7B 上，增加这条指令后，原本有效的攻击标签确实失去了作用。然而，当研究人员重新搜索候选标签时，又找到了新的有效单词，最终仍能在六种 GuardBench 策略上使错误放行率达到 100%。

也就是说，告诉模型不要关注标签，并不等于标签不再影响模型。

相比之下，一种更有效的方法是对输入进行结构化处理。

例如，某项安全策略要求禁止向公司外部服务器传输敏感信息。防御程序可以先从 Agent 操作中提取目标服务器、请求内容等必要字段，而不是把整段原始日志直接交给安全模型。

在最初的非自适应攻击测试中，这种方法表现最好。但当研究人员把误导信息直接放进被保留的字段时，依然可以重新影响模型判断。

例如，一个实际位于外部的域名，可能被写成：

api.internal.corp.paste.ee

它看起来包含了公司的内部域名，但真正需要判断的是其域名结构和归属，而不是字符串中是否出现了 internal.corp。

如果模型主要依赖局部文本特征，就仍然可能被误导。

于是研究人员进一步尝试，将这些字段交给确定性的解析程序，转换成真正的类型化数据。比如，由程序判断某个域名是否属于公司内部，而不是让模型通过自然语言猜测。

这种处理成功消除了论文测试中的字段注入攻击。

但研究人员紧接着发现了一个更有意思的结果：当所有关键属性都已经被可靠地解析出来时，直接使用确定性程序执行安全规则，反而比继续使用概率模型更加准确。

在 GuardBench 的六种策略上，基于解析结果的确定性规则实现了 100% 的准确率，并且抵抗了测试中的两类字段攻击。

当然，这个结论与 GuardBench 的设计有关。该数据集的策略本来就可以通过明确的属性和逻辑关系来表达。在真实环境中，并非所有安全风险都能够如此清晰地形式化。

但它确实引出了一个值得思考的问题：如果某项安全策略已经可以转换为明确的程序规则，那么为什么还要让一个概率模型承担最终授权责任？

启发

我认为，这篇论文最重要的价值，并不在于发现某个单词能够让安全模型误判，而是在于它重新审视了 Agent 安全护栏的职责。

传统大模型内容安全检测，主要面对的是文本内容。模型需要理解一段内容是否涉及违规信息、攻击意图或其他风险。

但 Agent 系统面对的场景更加复杂。一个判断结果可能直接决定是否删除文件、调用外部接口、访问敏感资源，或者执行某项无法撤销的操作。

在这种情况下，安全系统实际上需要处理两个不同层次的问题。

第一个问题是风险理解。 例如，一段工具输出是否包含提示注入，一次工具调用是否存在异常意图，某项操作是否涉及尚未被明确规则覆盖的风险。这类问题往往依赖语义理解，适合发挥大模型的能力。

第二个问题是权限决策。 例如，某个 Agent 是否拥有删除文件的权限，某项外部请求是否违反网络访问策略，用户是否已经批准一项不可逆操作。对于能够明确形式化的问题，确定性的规则与权限校验通常更可靠。

基于论文结论，一种值得考虑的架构是，将 AI 风险检测模型作为安全决策体系中的辅助组件，而不是唯一的授权组件。

具体来说，在 Agent 执行工具调用之前，系统首先对调用参数进行结构化解析，校验身份、权限及资源边界；然后由确定性策略引擎执行明确的禁止或允许规则，同时利用 AI 模型识别难以完全规则化的语义风险。

对于高风险操作，模型可以提供风险判断与解释，但不能凭借一次“低风险”判断，覆盖已经触发的硬性权限限制。

与此同时，安全护栏的评测方式也需要升级。

除了传统分类准确率，还应该单独衡量错误放行率与错误拦截率，并重点测试模型在受到干扰时是否仍然保持正确判断。

例如，在不改变安全事实的前提下，给输入增加无关日志，测试决策是否保持稳定；将选项名称替换成语义无关的词语，测试模型是否真正依赖定义；改变安全规则的语言表达方式，测试模型能否识别等价逻辑；在防御措施部署后，再使用自适应攻击检验其有效性。

这些测试能够帮助我们判断，一个模型究竟只是能够完成分类任务，还是足以作为实际系统中的安全控制组件。

安全护栏不应该只是另一个需要被信任的模型

需要说明的是，这项研究仍然存在边界。

GuardBench 是一个基于模板生成的合成测试集，虽然能够提供明确的正确答案，但无法完整代表真实 Agent 系统中的复杂操作链。论文测试的是特定的开放权重模型，也没有直接验证最初提出这类接口的商业模型 Jev。

此外，选项通道攻击依赖攻击者能够影响选项名称，并且这些名称确实进入模型输入。在选项名称由可信程序固定的系统中，这条攻击路径可以被直接关闭。

因此，研究结果不能简单理解为所有 Agent 护栏都会被一个单词绕过。

但论文揭示的问题依然具有普遍的工程意义。

随着 Agent 能力不断增强，安全护栏将越来越多地参与真实系统的访问控制、操作审批和执行授权。此时，安全模型是否能够理解风险，只是系统可信性的一个组成部分。输入接口是否安全、策略边界是否明确、决策结果是否具有稳定性，同样重要。

这篇论文最终提醒我们：模型能够输出一个安全判断，并不意味着它具备承担安全授权的可靠性。

对于需要理解复杂语义的风险识别任务，我们仍然需要 AI；但对于能够明确表达的权限与安全边界，确定性程序不应该轻易让位于概率判断。

毕竟，当一道安全大门可以因为一个选项名称的变化而打开时，真正需要重新审视的，已经不只是模型的判断能力，还有我们将安全决策交给模型的方式。