安全性不可组合：自主 LLM 代理的非衰减循环状态

arXiv AI 发布论文指出，大型语言模型代理作为自主循环部署时，现有安全监控器仅针对单次轨迹定义，其安全状态在每次迭代后重置，导致无法检测跨迭代的碎片化攻击。论文证明此类监控器的真阳性率等于假阳性率，并提出 LoopHarness 通过维持持久非衰减安全状态来解决此问题。

此前安全机制假设攻击在单次轨迹内可检测，但自主代理的循环属性使攻击可跨迭代分散，导致现有监控器失效，这暴露了主流安全实践的盲区。

论文证明，任何仅基于单条轨迹的监控器，因证据分散在不同迭代中而无法看到，导致真阳性率等于假阳性率；而保留跨迭代状态的监控器可完美区分。简单的风险衰减分数不足，因为攻击者可等待冷却期结束。LoopHarness 通过循环级持久状态和中介提交机制，限制了未授权不可逆操作的数量。

对构建自主代理产品的团队，现有安全监控可能高估安全性。需重新设计代理的监控架构，引入跨迭代状态管理，否则在长期运行中可能面临安全事故风险。

• 开发支持跨迭代状态的安全监控中间件，集成到现有代理框架中。
• 基于 LoopHarness 原理，为代理循环增加安全审计日志和持久状态存储。
• 为安全团队提供评估工具，测试代理在碎片化攻击下的检测率。
• 在代理产品中引入安全状态恢复机制，降低长期运行风险。

• LoopHarness 在真实生产环境中的性能开销和误报率如何？
• 论文中提到的评估协议对实际部署有哪些具体约束？
• 该方案是否适用于所有类型的 LLM 代理？
• 是否存在其他绕过非衰减状态监控的方法？