串联 Agentic AI 安全：跨维度威胁分类、评估成熟度与开放挑战

一篇 arXiv 论文对 2022 至 2026 年间发表的 66 项研究进行结构化综述，提出跨维度表示 T={S, B, P, A}，把受影响的功能或系统面、交互与信任边界、被违反的安全属性以及实证考察的架构关联起来。作者另分析 22 项有制品支撑的红队研究与 11 个代表性安全基准，用于刻画实证覆盖度与评估成熟度。

此前威胁分类多聚焦单一维度，难以看清入口、受影响组件与安全后果之间的联系，而实证研究与已知威胁版图并不一致。该综述把架构维度纳入统一框架，并指出持久化、人机交互、多智能体与长时程威胁覆盖较少，为后续评估校准提供参照。

Agentic AI 把 LLM 安全边界从生成内容扩展到持久状态、自主动作、工具调用以及与其他智能体和人的交互，因此风险不再只由输出决定，而取决于状态存续、信任边界穿越和工具中介。分类维度分离后，才能把攻击入口、被影响组件与安全属性损失对应起来，并识别评估体系在度量、架构与执行状态捕获上的缺口。

对研发和产品团队的直接含义是：安全测试不能只覆盖提示与输出，还需覆盖记忆、工具调用链和跨智能体交互，并在测试中记录完整执行状态。异构指标和缺乏自适应防御评估会限制横向对比与复现，团队需自建架构感知的评测口径来衡量上线风险。

• 在 Agent 产品发布流程中增加覆盖记忆、工具调用与人机边界的架构感知安全用例集
• 为多智能体和长时程任务建立可复现的执行状态记录与回放能力，用于事后归因
• 针对自适应防御评估缺口，开发可对比的防御效果基准与内部打分口径

• T={S, B, P, A} 框架能否推广到 66 项研究之外的全部实证工作，论文未给出结论
• 22 项红队研究与 11 个基准的具体名称、覆盖范围与指标差异未在证据中列出
• 持久化、人机、多智能体和长时程威胁覆盖不足的成因，证据未说明是研究选择还是技术难度
• 13 个开放研究问题的具体内容未在证据中给出