X-AgentRed：多服务生态中的个人 agent 红
来自 arXiv · 期号 2026-10-10
摘要
个人 agent 通过工具调用连接多个网络服务，单个无害请求的累积效应可能跨服务产生意外危害。 现有红队方法依赖 LLM 从任务描述中推测有害路径，容易偏向训练数据中常见的工具组合，漏掉新颖的跨服务交互。 X-AgentRed 构建工具依赖关系的有向图，分析每个工具的效果、潜在危害和执行前置条件，从图中采样路径并实例化为真实场景。执行反馈驱动自我改进：成功路径通过工具替换来多样化，失败路径通过修正前置条件来推进。 在四个前沿 agent 模型上，X-AgentRed 的有害路径发现率是 STAC 的 1.77 倍，工具覆盖范围平均达到 2.99 倍。
深读
导读 个人 agent 通过工具调用串联多个网络服务时，单个无害请求的累积效应可能跨服务产生意外危害。现有红队方法依赖 LLM 从任务描述中推测有害路径，容易漏掉新颖的跨服务交互。X-AgentRed 通过构建工具依赖关系图来系统性地发现这类组合性故障，在四个前沿 agent 模型上有害路径发现率是 STAC 的 1.77 倍。 关键信息 - X-AgentRed 构建工具依赖关系的有向图，分析每个工具的效果、潜在危害和执行前置条件，从图中采样路径并实例化为真实场景。 - 执行反馈驱动自我改进：成功路径通过工具替换来多样化，失败路径通过修正前置条件来推进。 - 在四个前沿 agent 模型上，X-AgentRed 的有害路径发现率是 STAC 的 1.77 倍，工具覆盖范围平均达到 2.99 倍。 逐节讲解 问题：个人 agent 的跨服务组合性风险 个人 agent 通过工具调用连接多个网络服务。当 agent 执行看似无害的用户请求时，其动作的效应会在不同服务间积累和交互，可能产生意料之外的危害。现有红队方法通常依赖 LLM 从任务和环境描述中推测有害路径，或将人类或 LLM 指定的有害目标分解为看似无害的动作组合。但这种生成方式偏向训练数据中常见的工具组合，容易漏掉新颖的跨服务交互。 方法：X-AgentRed 的图构建与路径采样 X-AgentRed 是一个自进化的红队框架。它通过分析每个工具的效果、潜在危害和执行前置条件，构建一个工具依赖关系的有向图，该图刻画了一个工具的效应如何满足另一个工具的执行前置条件。从图中采样的路径被实例化为真实场景，在这些场景中 agent 可能产生有害结果。 自我改进：执行反馈驱动的路径多样化 执行反馈使框架能够自我改进：对于成功产生危害的路径，通过工具替换来多样化；对于在阻塞步骤上失败的路径，通过修正前置条件来推进执行。这使得 X-AgentRed 能够持续扩展和精炼其发现的有害工具调用路径。 值得注意 原文信息有限，以下基于论文摘要。摘要中未展开 X-AgentRed 在具体 agent 模型上的测试细节（如模型名称、具体场景类型），也未说明与 STAC 对比时的实验设置和评估指标的具体定义。