推测式安全蜜罐：面向多轮智能体攻击的主动防御

一篇 arXiv 论文提出 Speculative Safety Honeypot（SSH）框架，用于防御 LLM 智能体面临的多轮交互攻击。SSH 由多个小模型组成多智能体模拟系统，采用动作级的“推测—验证”流程：推测阶段预测目标智能体的未来行为，异步构建轨迹树以提前暴露风险；验证阶段用目标智能体的真实动作校准并剪枝轨迹树，降低误报。该组件可插拔地接入现有检测器，依据整棵轨迹树的演化而非单点时刻判断风险。

现有多轮攻击检测依赖历史上下文，属于回溯式判断，难以识别被拆分到多个轮次、刻意隐藏未来风险的深层恶意意图。SSH 把检测从“看过去”改为“预测未来再验证”，并可作为可插拔组件复用，理论上能提升预警提前量与防御韧性。

机制借鉴推测解码：先由小模型组成的多智能体系统推测目标智能体的后续动作，异步生成轨迹树；再用真实动作反过来校准、剪枝该树。风险判定不依赖单点检测的绝对精度，而是基于整棵轨迹树的演化，从而提供超出当前交互切片的决策冗余，降低对单个检测组件的精度依赖。

对智能体类产品的安全模块，该思路意味着可以不改动原有检测器，以外挂方式增加前置预警；代价是需要额外的小模型推理与轨迹树维护，带来算力与延迟开销，需要在误报率、预警提前量和成本之间权衡。

• 在智能体平台的防护层中试点 SSH 式可插拔前置预警组件，与现有检测器并行运行并对比误报与提前量。
• 为多轮对话型智能体建立轨迹树可视化审计面板，让安全与运营人员查看推测分支被验证或剪枝的过程。
• 用小模型承担推测、大模型或规则承担验证，评估该分工能否降低在线检测的推理成本。
• 面向高风险场景构建多轮攻击的模拟评测集，用于量化预警提前量和剪枝后的误报下降幅度。

• SSH 论文是否给出与现有检测方法的定量对比结果，如误报率与预警提前量？
• 推测阶段使用的小模型在真实攻击分布下的准确率与资源开销如何？
• 该框架在非文本或多模态智能体环境中是否同样适用？
• 轨迹树剪枝的校准策略是否会产生新的漏报路径？