X-AgentRed：用工具依赖图挖掘个人智能体的跨服务安全隐患

当个人智能体连接整个互联网，风险从何而来

个人智能体正越来越多地借助工具调用，连接到网络和应用中的各类服务。当这些操作的效果在不同服务之间累积并相互作用时，即便智能体只是在执行用户看似无害的请求，也可能产生意料之外甚至有害的后果。

问题的关键在于「组合性失效」（compositional failures）——单个工具调用都合规，但多个工具跨服务串联后，整体效果却可能造成伤害。要主动发现这类隐患，需要系统性地探索多样化的跨服务路径，而这正是当前红队测试方法的短板所在。

现有红队方法的盲区

目前主流的红队测试思路大致有两类。一类是直接提示大语言模型，让它从任务描述和环境描述中识别潜在的有害路径；另一类则是把人类或LLM指定的有害目标，拆解成一系列看似无害的动作组合。

这两种方法有一个共同缺陷：生成过程本身受训练数据模式的偏置影响。模型倾向于复用训练中学到的、熟悉的工具组合，而对那些新颖的、不常见的跨服务交互探索不足。换句话说，真正危险的往往是那些「没人想到会这么组合」的路径，而现有方法恰恰最难覆盖这些盲区。

「训练数据偏置」在这里值得多解释一句。大语言模型在预训练和微调阶段接触的工具调用示例，天然集中在常见、高频的使用模式上——比如"搜索→总结""日历→发邮件"这类路径在语料里出现频率极高，模型对它们的生成概率也随之偏高。当红队任务要求模型"想象有害路径"时，模型实际上是在做一种受概率分布约束的联想，而非系统性枚举。这意味着那些在真实生态中存在、但在训练数据中罕见的工具组合——例如将地理定位服务与联系人导出、自动化消息发送串联——几乎不会自发浮现。这种结构性盲区不是提示工程能轻易弥补的，它根植于模型的参数分布本身。

X-AgentRed 的核心思路：工具依赖图

论文提出的 X-AgentRed 是一个自演化的红队测试框架，它不依赖模型凭直觉生成有害路径，而是通过一张工具依赖图来系统性地发现有害的工具调用链。

构建有向依赖图

红队智能体会分析每个工具的三个维度：

• 效果（effects）：工具执行后会产生什么结果
• 潜在危害（potential harms）：这些结果可能带来的伤害
• 执行前置条件（preconditions）：工具运行需要满足的条件

基于这些分析，框架构建出一张有向图，捕捉「一个工具的效果如何满足另一个工具的执行前置条件」这种依赖关系。这实际上把跨服务的因果链条显式地结构化了出来——A 工具的输出恰好成为 B 工具的输入条件，层层串联形成可能的危害路径。

「有向依赖图」的概念源自软件工程和形式化方法中的「前置条件/后置条件」建模传统（precondition/postcondition contracts），以及规划领域中的STRIPS/PDDL动作描述框架。在这些框架里，每个动作被描述为"在满足某些世界状态时可执行，执行后产生某些状态变化"。X-AgentRed 将这一思想迁移到工具调用场景：工具的"效果"对应后置条件，"前置条件"对应执行所需的世界状态，而有向边则捕捉"A的后置条件恰好满足B的前置条件"这种逻辑蕴含关系。这种显式建模使得路径搜索可以脱离模型的直觉生成，转变为图上的可达性分析，大幅提升了对低频但真实存在的危害路径的召回能力。

从图中采样并实例化场景

从依赖图中采样出的「配方」（recipes）会被实例化为真实的场景，在这些场景里智能体可能产生有害后果。相比凭空提示生成，这种基于结构的采样能够更有针对性地触达那些被忽视的组合路径。

执行反馈驱动的自我演化

X-AgentRed 名字中的「self-evolving」体现在它利用执行反馈不断自我改进，这是它区别于静态红队方法的关键。

具体机制有两条：

• 工具替换多样化：对于那些确实产生危害的路径，通过替换其中的工具来派生出更多样的变体，扩大探索范围。
• 前置条件精修：对于执行失败、在某一步被卡住的路径，框架会精修被阻断步骤的前置条件，让路径得以继续执行下去。

这两条机制让框架在「探索更广」和「打通更深」之间形成闭环——成功的路径被扩散，失败的路径被修复，整个过程随着执行反馈持续演进。

「前置条件精修」机制在实践中对应一类常见的执行失败模式：智能体在某一中间步骤因参数格式不匹配、权限未就绪或依赖数据缺失而中断，导致整条路径无法完整执行，也就无法被计入"有害路径"的统计。传统静态红队方法会直接丢弃这些失败案例，而 X-AgentRed 将其视为信号——被阻断的步骤说明该前置条件的描述不够精确，框架据此反向调整该步骤的前置条件约束，使后续采样生成的路径能在相同阻断点处顺利通过。这本质上是一种基于失败反馈的在线学习，让红队框架的有效探索深度随执行经验积累而持续提升，而非停留在初始图结构所能覆盖的浅层路径。

实验结果：显著优于基线方法

在四个前沿智能体模型上的测试中，X-AgentRed 展现出明显优势：

• 有害路径发现率达到基线方法 STAC 的 1.77 倍
• 探索的工具集更加多样，平均工具覆盖率达到 2.99 倍

工具覆盖率提升近三倍，这一点尤其值得关注。它直接印证了论文的核心主张：基于依赖图的系统性探索，能够触达那些传统提示式方法因训练偏置而遗漏的新颖工具组合，从而暴露出更广泛的安全隐患。

对智能体安全的意义

随着个人智能体接入的服务生态越来越复杂，安全评估的重点正从「单次调用是否合规」转向「组合效果是否可控」。X-AgentRed 提供的思路——用结构化的依赖图替代直觉式生成，并借助执行反馈持续演化——为这个方向提供了一个可操作的范式。

对于构建和部署个人智能体的团队而言，这意味着红队测试不应停留在枚举已知攻击模式，而应该主动去发现那些跨服务、跨工具的未知组合风险。毕竟在真实世界中，最危险的往往不是单一的恶意操作，而是一连串看似无害动作的意外叠加。