Agent MechSuits：面向多轮命令行智能体的机制子空间安全转向

作者：Weidi Luo、Qiming Zhang、Yihao Quan、Mingyu Jin、Jie Cai、Chaowei Xiao、Jingcheng Niu、Zhen Xiang
单位：佐治亚大学、南佛罗里达大学、罗格斯大学、南加州大学、约翰霍普金斯大学及独立研究者
通讯：zxiangaa@uga.edu
论文：arXiv:2606.22673
项目页：https://eddyluo.com/Agent-MechSuits/

摘要

基于大语言模型的命令行（CLI）智能体展现出很强的自主能力，但在与外部环境的多轮交互中，也带来明显的安全和滥用风险。现有安全机制主要依赖外部护栏，很难在执行过程中做细粒度的行为控制；而近年用于大模型安全的机制可解释性方法，又大多停留在单轮或越狱式问答设置里，难以捕捉多轮智能体执行中不断演化的风险。本文从内部视角研究多轮 CLI 智能体的安全，提出 Agent MechSuits（机制子空间干预与转向）：这是一个白盒防御框架，在运行时做安全检测，并在表征层面做缓解。和常规外部护栏不同，它从步骤级隐藏表征里识别有害执行状态，并通过干预单层中的一个 10 维子空间来减轻不安全行为。为支持这项研究，作者引入了 Mechanistic Agent Safety（MAS）基准，用 LLaMA-3.1-8B、Qwen-2.5-7B 和 Gemma-2-9B 在 194 个任务上采集并详细标注多轮执行轨迹。实验表明，Agent MechSuits 的安全检测表现强，对前瞻风险预警提供了初步证据，并显著减少了 CLI 智能体的有害动作，为把机制可解释性用到动态的大模型智能体安全上打下基础。

论文列出的技术贡献

• 对多轮 CLI 智能体安全做机制层面的研究，表明与安全相关的信号可以从中间层隐藏状态里线性解码出来。
• 提出 Agent MechSuits：在运行时检测，并在表征层面转向，以抑制有害的 CLI 动作。
• 建立 MAS 基准：三个白盒 CLI 智能体在可执行 Docker 环境里、跨越 194 个任务生成的步骤级标注轨迹。
• 在 LLaMA-3.1-8B、Qwen-2.5-7B 和 Gemma-2-9B 上，当前步风险检测平均准确率为 97.32%，前瞻预警最高达到 96.77%，三个模型的平均攻击成功率下降 72.63 个百分点。

主要结果（摘自论文）

三个模型的当前步探针都在中前层表现最好：LLaMA-3.1-8B 在第 12 层达到 99.15% 准确率，Qwen-2.5-7B 在第 13、14、15 和 17 层达到 97.46%，Gemma-2-9B 在第 14 层达到 95.35%。

在风险缓解上，LLaMA-3.1-8B 的攻击成功率从 73.80% 降到 16.70%，Qwen-2.5-7B 从 91.30% 降到 4.35%，Gemma-2-9B 从 92.86% 降到 14.29%。三个模型平均从 85.99% 降到 13.36%，绝对下降 72.63 个百分点。

安全提升伴随着生成质量的代价：平均崩溃率升到 18.54%，而原版智能体是 2.24%。在原版智能体本来就能完成的良性任务上，加上整套防护后的成功率分别保持在 95.71%、91.30% 和 93.18%（平均 93.40%）。

作者也写明：这套方法需要白盒访问，前瞻样本仍然稀疏，实际部署时应把内部监控和沙箱、权限控制以及对高风险情况的人工或模型复核结合起来。