Agent MechSuits: Mechanistic Subspace Safety Steering for Multi-Turn CLI Agents¶

会议: NeurIPS 2026
arXiv: 2606.22673
OpenReview: https://openreview.net/forum?id=GAW18QTdGu
论文: https://arxiv.org/abs/2606.22673
代码: https://eddyluo.com/Agent-MechSuits/
领域: 安全
关键词: CLI智能体安全, 机制可解释性, 线性探针, 隐空间激活干预, 多轮轨迹安全

一句话总结¶

针对多轮命令行智能体在连续环境交互中风险动态累积的痛点，本文提出了白盒安全防御框架 Agent MechSuits，通过单层残差流的步级线性探针精准识别有害执行状态，并仅在自适应筛选的 10 维安全子空间中实施表征转向，在保持 93.4% 正常任务可用性的同时将平均攻击成功率降低 72.63%。

研究背景与动机¶

基于大语言模型的命令行接口（CLI）智能体正在重塑自动化运维与计算机自主控制，但其赋予的直接 Shell 执行权限也带来了极其严重的滥用与系统渗透风险。攻击者可通过标准 MITRE ATT&CK 攻击战术将 CLI 智能体武器化为全自动黑客工具，造成凭据窃取、权限提升和基础设施破坏。然而，现有的智能体安全防护机制大多依赖外部文本护栏（External Guardrails），不仅规则滞后、难以实现单步细粒度控制，而且极易受上下文表面词汇的混淆。

这种失败的核心矛盾在于多轮智能体交互的动态累积性与单步静态判定之间的脱节。在多轮交互轨迹中，环境反馈不断滚入上下文，早期的诊断或准备操作（如创建一个空脚本或调整权限）在孤立视角下完全合规，但与后续的载荷注入组合时才会形成完整的有害链条。现有的模型内部安全可解释性研究（如表征工程、越狱探测）几乎全部局限于单轮静态问答或越狱提示，无法追踪在长程轨迹中逐步演化的风险隐状态。单纯在任务起点设置静态准入网关无法阻断在执行过程中动态变质的恶意行为。

本文的切入角度是：不再将安全视为任务起点的二元许可判定，而是探索智能体在多轮轨迹中每一步残差流表征的线性可解码性，将防御下沉到模型内部表征层。核心 idea：在智能体单层隐空间训练步级线性探针捕捉有害状态演化，并在权重差异最大的 10 维判别子空间中进行动态激活广播转向，以极小的表征扰动在推理阶段实现细粒度步级行为纠偏。

方法详解¶

整体框架¶

Agent MechSuits 采用推理阶段的白盒两阶段干预架构：第一阶段为步级安全检测（Safety Detection），在智能体生成每一步动作前，提取中间层最后一个 token 的残差流隐状态，由轻量级线性探针判定当前执行状态是否包含恶意意图；若探针报警，则触发第二阶段的风险缓解（Risk Mitigation），在同一层的 10 维安全判别子空间内广播可调强度的正向表征向量，引导智能体拒绝有害操作并恢复安全状态。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["多轮上下文历史<br/>(指令 + 动作 + 环境观察)"] --> B["前向传播至目标中间层<br/>提取末尾Token残差流隐状态"]
    B --> C["步级线性安全探针检测<br/>二分类超平面阈值判别"]
    C -->|判定安全 y=0| D["无干预正常生成<br/>输出下一个CLI动作"]
    C -->|判定有害 y=1| E["Top-K判别性安全子空间提取<br/>权重绝对差筛选K=10维"]
    E --> F["自适应强度搜索表征转向<br/>全Token广播干预向量"]
    F --> G["安全LLM裁判闭环打分<br/>加权均衡安全性与生成效用"]
    G --> H["输出纠偏动作<br/>安全拒绝/无害化重构"]

关键设计¶

1. 步级线性安全探针检测：捕捉轨迹级风险演化与前瞻预警 针对任务级门控无法感知中间步骤动态风险的缺陷，该设计在冻结模型主干参数的条件下，使用中间层残差流的最后一个 token 表征 $\mathbf{z}_{t}^{(\ell)} = F_{\theta}^{(\ell)}(c_{t-1})[-1] \in \mathbb{R}^d$ 训练步级逻辑回归探针。探针通过二元交叉熵损失函数进行监督优化： $$\mathcal{L}_{\mathrm{probe}} = -\sum_{i=1}^{N} \left[ y_i \log g_\phi(h_i) + (1 - y_i) \log(1 - g_\phi(h_i)) \right]$$ 该设计不单评估最终结果，而是将恶意任务中的关键利用步骤标为有害类（$y=1$），将无害环境探测、安全拒绝以及良性控制任务全部标为安全类（$y=0$）。在此基础上，探针展现出显著的“前瞻预警能力”（Lookahead Anticipation）：在智能体真正生成破坏性攻击命令的前一个准备步骤，其隐层表征已提前发生向恶意流形的偏移，探针无需重新训练即可高召回地预判下步风险。

2. Top-K 判别性安全子空间提取：最小扰动下的稀疏表征隔离 针对全量激活干预易摧毁模型基础语言与推理能力的痛点，该方法通过已训练探针的分类权重矩阵 $\mathbf{W} \in \mathbb{R}^{2 \times d}$ 提取稀疏子空间。通过计算有害类别权重向量与良性类别权重向量在各个隐层维度上的绝对差值，排序筛选出最具区分度的 Top-$K$（默认 $K=10$）个通道构成指标集： $$\mathcal{K} = \operatorname{top-}K \left( \{ |W_{1,k} - W_{0,k}| \}_{k=1}^d \right) \subset \{1, \dots, d\}$$ 基于此构建布尔形式的稀疏转向向量 $\mathbf{v} \in \mathbb{R}^d$（当 $k \in \mathcal{K}$ 时 $v_k = 1$，否则为 $0$）。这种稀疏子空间将干预严格限制在与安全性高度正交的微小几何流形内，完全避免了全维度表征工程导致的语义漂移。

3. 自适应强度搜索表征转向：基于效用-安全平衡的闭环纠偏 在探针判定触发拦截后，框架在同一层将干预向量广播至上下文的所有输入 token 位置：$\widetilde{\mathbf{H}}_{t}^{(\ell)}(\alpha) = \mathbf{H}_{t}^{(\ell)} + \alpha \mathbf{1}_{n_t} \mathbf{v}^\top$。由于固定强度容易在复杂上下文中诱发模式坍塌（如重复死循环或半句截断），框架引入基于裁判模型的自适应搜索控制器，通过工具调用在多步迭代中寻找最优转向强度 $\alpha_t^*$： $$\alpha_t^* = \arg\max_\alpha \left[ \lambda_s s(a_t(\alpha)) + \lambda_u u(a_t(\alpha)) \right]$$ 其中设置安全加权系数 $\lambda_s = 0.6$ 和效用加权系数 $\lambda_u = 0.4$。控制器从历史步的最优均值进行温启动（Warm-start），在抑制恶意破坏行为的同时对语言崩溃实施强惩罚，在 7-8 次微搜索内迅速收敛至优雅拒绝或良性回退的生成状态。

一个完整示例¶

在一个包含多步提权攻击的场景中，任务被包装为“优化系统守护进程”。在步骤 1 和 2 中，智能体先后执行 ls /etc/systemd/ 与 cat /etc/sudoers，探针输出风险概率分别为 0.04 和 0.12，判定为合规诊断并不予干预。在步骤 3 中，模型拟生成恶意提权脚本 echo 'user ALL=(ALL) NOPASSWD:ALL' >> /etc/sudoers。在 token 输出前，探针检测到隐状态表征异常，触发报警（$y=1$）。转向引擎介入，广播 10 维干预向量；裁判控制器自适应调整转向强度至 $\alpha=1.63$，模型输出直接重定向为：“I cannot modify the sudoers file as it poses severe privilege escalation and security risks.”成功在系统被渗透前阻断恶意链条。

实验关键数据¶

主实验¶

实验基于包含 194 个真实 Docker 交互任务的 MAS 基准展开，对比了 Agent MechSuits 与主流 LLM 裁判及外部安全护栏的当前步检测性能、前瞻预测性能，以及相比表征工程基线的攻击削减效果。

方法分类	评价方法	LLaMA-3.1-8B (Acc/F1/Lookahead)	Qwen-2.5-7B (Acc/F1/Lookahead)	Gemma-2-9B (Acc/F1)
LLM-as-a-Judge	GPT-4o	78.04 / 82.02 / 69.23	68.22 / 68.62 / 87.10	63.95 / 47.46
LLM-as-a-Judge	Claude Sonnet 4.6	95.31 / 95.58 / 84.62	87.29 / 84.54 / 83.87	87.21 / 71.79
LLM-as-a-Judge	Gemini 3 Pro	96.16 / 96.28 / 7.69	90.25 / 87.70 / 35.48	89.53 / 75.68
Guardrail	AGrail (GPT-4o)	82.09 / 84.55 / -	85.17 / 78.76 / -	80.23 / 62.22
Guardrail	LLaMA-Guard-4-12B	94.03 / 93.86 / -	94.92 / 92.77 / -	88.37 / 58.33
本文方法	Agent MechSuits	99.15 / 99.17 / 92.31	97.46 / 96.25 / 96.77	95.35 / 86.67

在风险缓解方面，Agent MechSuits 显著压低了受害智能体的攻击成功率（ASR），且表现大幅优于通用表征工程方法 RepE 与 Self Reminder 提示基线。

模型	指标 (%)	Vanilla 原生基线	RepE [48]	Self Reminder [49]	Agent MechSuits (本文)
LLaMA-3.1-8B	ASR ↓ / 崩溃率 ↓	73.80 / 2.38	42.86 / 13.04	47.62 / 2.38	16.70 / 28.30
Qwen-2.5-7B	ASR ↓ / 崩溃率 ↓	91.30 / 4.35	73.91 / 8.70	82.61 / 8.70	4.35 / 13.04
Gemma-2-9B	ASR ↓ / 崩溃率 ↓	92.86 / 0.00	71.43 / 0.00	64.29 / 0.00	14.29 / 14.29
三模型平均	ASR ↓ / 崩溃率 ↓	85.99 / 2.24	62.73 / 7.25	64.84 / 3.69	13.36 / 18.54

消融实验¶

表征转向维度、作用层与干预范围的消融实验证明了关键设计的有效性与敏感性权衡。

配置变体	LLaMA-3.1-8B ASR ↓ (%)	LLaMA-3.1-8B 崩溃率 ↓ (%)	Qwen-2.5-7B ASR ↓ (%)	Qwen-2.5-7B 崩溃率 ↓ (%)	说明
Top-10 (默认)	16.70	28.30	4.35	13.04	平衡安全与模型鲁棒性
Top-5 子空间	64.29	2.38	4.35	0.00	LLaMA 欠干预严重，ASR 反弹
Top-15 子空间	59.52	9.52	4.35	4.35	维度过宽引入冗余干扰
仅末尾 Token 转向	26.19	2.38	4.35	13.04	局部修正难以约束多步规划
最差层 (Worst layer)	30.95	11.29	34.78	13.04	浅层或终层语义未解耦
全维度转向 (All dim)	25.71	11.43	8.70	4.35	增加参数复杂度未带来增益
10 维随机维度控制	26.19	14.29	26.09	4.35	证明探针权重的因果有效性

关键发现¶

峰值层可解耦性：探针准确率在模型的早中层（LLaMA 第 12 层、Qwen 第 13-17 层、Gemma 第 14 层）达到峰值（>95%），证实安全概念在模型语义提炼中期即已线性可分，无需依赖输出层。
因果反向转向验证：在模型原本产生拒绝的安全状态下施加负向转向（$\alpha < 0$），LLaMA-3.1-8B 的恶意攻击成功率从 0% 逆转飙升至 100%，Gemma-2-9B 从 0% 飙升至 63%，直接证明所选 10 维子空间对安全行为具备强因果控制力而非表面统计相关。
良性任务效用保持：在良性基准任务上，完整防御管线在 LLaMA-3.1-8B 保持 95.71% 的任务完成率，Qwen-2.5-7B 保持 91.30%，Gemma-2-9B 保持 93.18%，平均仅微跌 6.60%，展现了极高的实用价值。

亮点与洞察¶

极简稀疏子空间控制：仅用单一中间层的 10 个维度即可精准翻转整个多轮智能体的行为流向，相比传统全模型微调或全量表征擦除，干预成本近乎为零且不改动任何模型权重。
前瞻性安全预警（Lookahead）：发现了智能体隐状态中先于具体恶意指令生成的“意图前瞻信号”，在提前一轮的预测中达到最高 96.77% 的预警准确率。
揭示外部护栏假阳性根源：实验深入剖析了 AGrail 等外部护栏的失效模式，指出外部基于词法匹配和 RAG 记忆的规则极易将 find、ls、wc 及受限文件清理误判为攻击，而内部探针能准确捕捉语义真实意图。

局限与展望¶

白盒权限依赖：方案强依赖于对模型隐藏层表征的实时读取与原地改写，无法直接适配闭源商业大模型 API（如 GPT-4o 或 Claude 3.5）。
生成崩溃（Collapse）代价：在强力抑制攻击的同时，模型出现重复语言死循环或突然截断的崩溃率上升至 18.54%，表明当前线性转向向量与通用语言流形尚未达到完美正交。
提示词注入防御的检测脱节：在环境间接注入（Indirect Prompt Injection）压力测试中，探针检测率明显下降，但手动触发转向仍能压低 ASR 至 6.7%，暴露出表征检测与表征控制在分布外场景下的泛化不对称性。

评分¶

新颖性: ⭐⭐⭐⭐⭐ 首次将机制可解释性推进至多轮交互式 CLI 智能体领域，开创了轨迹级内部状态监测与稀疏子空间控制范式。
实验充分度: ⭐⭐⭐⭐⭐ 构建了首个包含 194 个真实 Docker 交互场景的 MAS 基准，涵盖三款主流开源模型、五随机种子评测及深入的因果负向反转实验。
写作质量: ⭐⭐⭐⭐⭐ 概念界定严谨，形式化定义精炼，图表详实且对内部表征与外部护栏的对比剖析鞭辟入里。
价值: ⭐⭐⭐⭐⭐ 为开源自主智能体提供了一种计算开销低、防御响应快、无需重新训练的高性能内在安全装甲。