A Systematic Survey of Security Threats and Defenses in LLM-Based AI Agents: A Layered Attack Surface Framework论文重点这篇论文由Kexin Chu撰写康涅狄格大学发表于2026年系统地梳理了LLM智能体Agentic AI面临的安全威胁与防御机制。论文的核心贡献在于提出了分层攻击面模型LASM将智能体的攻击面分解为七个架构层并引入四类时间维度通过分析2021至2026年间116篇相关论文揭示了一个关键发现智能体AI的安全威胁在本质上有别于无状态LLM——威胁不仅出现在提示词界面还会通过架构状态、委托权限和长周期交互渗透。核心研究内容问题定义现有安全分类体系主要按攻击类型如提示词注入、越狱组织威胁但这种做法忽视了三个根本问题攻击发生在架构的哪个组件、威胁在什么时间尺度上显现、防御措施应该部署在哪一层。智能体系统具备跨会话规划、持久记忆、外部工具调用和智能体间协作等能力这些能力带来的安全代价是——每一个让智能体比聊天机器人更强大的架构决策都在扩大攻击面。创新方法论文提出了LASMLayered Attack Surface Model——一个七层×四类的结构化分析框架七层架构L1-L7L1 基础层Foundation底层模型本身的漏洞越狱、后门、对抗性扰动L2 认知层Cognitive规划与推理过程的操纵L3 记忆层Memory持久化记忆的投毒与篡改L4 工具执行层Tool Execution工具调用过程中的注入攻击L5 多智能体协调层Multi-Agent Coordination智能体间的串通与信任链攻击L6 生态系统层Ecosystem供应链攻击、MCP协议漏洞L7 治理层Governance问责机制与策略失效四类时间维度T1-T4T1 瞬时Instantaneous单次推理内显现T2 会话持久Session-persistent跨多次交互累积T3 跨会话累积Cross-session cumulative跨多个会话逐渐显现T4 子会话栈传播Sub-session-stack在架构栈中逐层渗透论文还提出了一个不可迁移性定理某一层的防御手段对定位在另一层的攻击具有零检测能力。此外论文提供了跨层防御分类法、针对七类典型攻击的防御方案以及一个区分工程可解问题与基础研究难题的依赖关系DAG。研究成果通过对116篇论文2021-2026进行系统编码分析论文得出四项核心实证发现EF1研究空白最上层的三层L5多智能体协调、L6生态系统、L7治理与最长的时间维度T3跨会话、T4栈传播交叉区域——即{L5, L6, L7} × {T3, T4}——仅占全部144个论文-单元格分配中的6.3%却包含了最高严重性的威胁。EF2根本原因所有被调查的L4工具执行层攻击都归结为同一个根本原因——主体信任反转Principal Trust Inversion。EF3防御真空28个网格单元中有7个单元的防御覆盖为零其中3个单元存在已记录的攻击但没有任何防御方案。EF4基准缺失没有任何被调查的基准测试能够评估T3或T4威胁意味着对“右侧列”威胁的进展无法衡量。此外论文还发现攻击的涌现性危害来自授权行为的组合而非单一行为、组合性部署在某组件的防御无法检测经由另一组件路由的攻击和时间延展性攻击载荷可在执行前数周植入这三个特性在无状态LLM中没有类比。实际落地应用的可能性LASM框架具有直接的工程价值。论文提供的参考ABOMAgent Bill of MaterialsJSON Schema及配套验证器与12个单元测试可供企业用于智能体系统的供应链安全审计。论文的依赖关系DAG帮助安全团队区分哪些安全缺口可以通过工程手段解决、哪些需要基础研究突破。对于SOC分析师和红队人员论文提供了OWASP/ATLAS到LASM的映射和七类典型攻击的防御方案可直接用于安全评估与防御部署。技术细节LASM分层标准论文定义了层与层之间的区分标准两个攻击面属于不同层当且仅当(1) 它们呈现独立的信任边界——利用一个边界的攻击无法在另一边界被检测(2) 它们具有不同的防御杠杆点——在某层有效的控制措施在另一层结构上不适用。威胁模型四维描述论文采用比大多数先前工作更丰富的威胁模型从四个维度刻画攻击者维度取值位置Position外部无系统访问、半可信主体有限访问、供应链可破坏上游组件知识Knowledge黑盒仅输入/输出、灰盒知晓架构、白盒完整访问目标Goal机密性、完整性、可用性持久性Persistence一次性、持续性多会话行动论文筛选方法论研究遵循PRISMA系统文献综述指南检索了IEEE Xplore、ACM Digital Library、arXiv和Google Scholar四大数据库搜索词结合了智能体相关术语“AI agent”、“LLM agent”、“autonomous agent”、“multi-agent”、“agentic AI”、“tool-augmented LLM”与安全相关术语“security”、“attack”、“adversarial”、“prompt injection”、“jailbreak”、“poisoning”、“safety”、“trust”、“vulnerability”。时间覆盖2021年1月至2026年4月分两阶段执行。纳入标准包括顶级会议论文直接纳入arXiv预印本需满足引用数≥202024年12月前或对识别出的空白领域有直接贡献2025年后。最终从1,634条记录筛选出116篇核心论文。研究设定硬件与软件配置作为一篇系统综述论文本研究不涉及特定的实验硬件配置。研究的数据处理和分析基于标准的学术文献分析工具包括文献数据库IEEE Xplore、ACM Digital Library、arXiv、Google Scholar编码与分析人工编码结合敏感性分析脚本论文随附的鲁棒性分析脚本验证了EF1结论在扰动下偏差保持在9%以下辅助材料ABOM JSON Schema及配套验证器、12个单元测试研究设计要点双阶段搜索策略第一阶段覆盖2021年1月至2025年4月第二阶段重跑相同查询覆盖2025年5月至2026年4月避免截止效应。第二阶段新增22篇核心论文。独立编码每篇论文由第一作者独立编码至一个或多个层时间性单元格。方法论局限性搜索词可能低估了未使用“agent”前缀词汇描述的智能体威胁DEF CON、Black Hat演讲、厂商通报等被系统性地排除在外18篇防御论文是已发表学术文献而非部署的行业防御措施。综合分析核心洞见智能体安全≠LLM安全“放大版”这篇论文最深刻的洞察在于智能体AI的攻击面不是LLM攻击面的简单放大。无状态LLM消费一个输入、产生一个输出输入/输出过滤即可覆盖。但智能体维护跨会话的持久状态、制定多步计划、调用特权工具、与同伴智能体协调——每一个让智能体更强大的架构决策都在扩大攻击面。论文用三个真实事件说明了这一差距一份对抗性构造的文档在常规网络搜索中被检索后可以悄无声息地破坏智能体的长期记忆在数周后完全不相关的会话中影响其行为而在任一时间点都无法检测到异常。这种时间延展性是现有安全分类体系完全无法表达的攻击结构。类型中心分类法的结构性失效论文尖锐地指出了一个方法论问题按攻击类型越狱、注入、投毒分类会将需要不同层防御的攻击混为一谈。嵌入层面的梯度对抗扰动和通过RAG文档进行的记忆投毒攻击都被归类为“对抗性输入”但前者在模型层缓解、后者在记忆管理层缓解。设计者无法从类型中心分类法中推导出安全控制应该部署在哪里。最危险的威胁是最慢的威胁论文一个反直觉的发现是最高影响的威胁不是最瞬时的而是最缓慢的。T3和T4类威胁跨会话累积、栈传播占据了最高的严重性等级却是研究最薄弱的区域。这意味着学术界和工业界可能正在“追逐最响亮的噪音”而忽视了真正致命的“沉默威胁”。工程与研究的边界论文的依赖关系DAG区分了“工程可解决的缺口”和“需要基础研究的问题”。这一区分对于资源分配具有重要指导意义——企业可以优先解决工程层面的问题如工具调用层的输入验证而将基础研究问题如跨层攻击的检测理论留给学术界。实践应用对安全团队的建议采用LASM进行威胁建模将智能体系统的安全评估从“按攻击类型分类”升级为“按架构层×时间维度”的结构化分析。使用论文提供的OWASP/ATLAS→LASM映射作为起点。优先填补防御真空重点关注论文识别的7个零防御单元格尤其是其中3个已有攻击记录的单元格。具体而言(L1, T3)、(L4, T4)、(L6, T3)、(L6, T4)在2026年4月扩展分析后仍然没有防御覆盖。建立跨会话监控能力当前所有基准测试都无法评估T3/T4威胁。企业应在内部建立跨会话的行为基线检测长期累积的异常模式。使用ABOM进行供应链审计论文提供的Agent Bill of Materials Schema可用于追踪智能体系统的所有组件依赖识别供应链层面的风险点。对研究人员的建议转向高层与长周期研究L5-L7层与T3-T4时间维度的交叉区域仅占6.3%的论文分配却包含最高严重性威胁——这是最具研究价值也最被忽视的方向。开发T3/T4评估基准论文明确指出这是当前最紧迫的基准缺失。没有基准就无法衡量进展。探索跨层防御机制不可迁移性定理表明单层防御无法检测跨层攻击。需要研究能够跨越语义边界token→embedding→结构化API响应的检测方法。关注MCP生态系统安全2025-2026年间已有七篇同行评审论文关注MCP安全但仍有大量空白亟待填补特别是跨会话和栈传播类型的MCP威胁。参考资料来源原始论文Chu, K. (2026).A Systematic Survey of Security Threats and Defenses in LLM-Based AI Agents: A Layered Attack Surface Framework. arXiv:2604.23338. https://arxiv.org/abs/2604.23338