APEX-Harm：当智能体进入共享工作区，完成任务不等于安全

导语

当 AI 智能体只读取一份文档时，提示注入风险或许还能被简化为“某个位置藏了一段恶意指令”。但在真实企业环境中，智能体往往需要跨越文件、邮件、日历、聊天、表格、PDF 和代码执行工具，持续数十步完成一项工作。攻击者不必控制一个固定的读取位置，只要把恶意内容埋在共享工作区的某个环节，就可能影响后续决策。

APEX-Harm 正是针对这一场景设计的安全评测基准。研究聚焦金融、咨询和法律任务，并通过 MCP 服务器向智能体提供多种工具。每个任务包含 115 至 328 个文件，模拟信息分散、协作成员众多且流程较长的专业工作空间。

核心要点

• 从单点攻击转向工作流攻击。 基准覆盖六类攻击，包括静态与动态注入、面向任务的脚本替换，以及攻击者提供的通用脚本，考察恶意内容如何在多步执行中发挥作用。
• 同时衡量安全与效率。 评测不只看攻击是否成功，还关注敏感信息暴露和任务表现，因此可以区分“没有完成任务”和“完成任务但越权操作”这两类不同问题。
• 脚本攻击更难防御。 任务特定脚本替换的平均攻击成功率为 81%—84%，攻击者提供的通用脚本为 73%；相比之下，Opus 5 和 Sonnet 5 的总体攻击成功率最低，分别为 8% 和 20%。
• 能力与安全并不完全同步。 Gemini 3.8 Flash 的平均任务得分最高，为 0.877，但攻击成功率仍达到 33%。这说明高质量产出不能证明执行过程没有风险。

意义与影响

APEX-Harm 最值得关注的结论，是把“任务结果正确”和“行为安全”明确拆开。一个智能体可能生成了看似合格的报告，却在过程中读取不应访问的内容、执行了恶意脚本，或对共享工作区进行了未经授权的修改。如果评测只检查最终文档，就会漏掉这些风险。

对企业部署而言，安全控制需要覆盖整个行动链条：工具调用应有清晰权限边界，脚本执行和外部写操作应设置审批或确认机制，系统还应记录并审计智能体的中间行为。评测也应从短上下文问答扩展到包含噪声、协作内容和多工具调用的长程任务。

这项工作并不意味着某个模型可以被简单归类为“安全”或“不安全”，而是提醒开发者采用更细粒度的指标：任务是否完成、是否暴露信息、是否发生越权行为，必须分别观察。随着智能体进入专业工作区，安全性将不再只是模型拒绝恶意请求的能力，也包括它能否在复杂环境中持续区分可信指令与不可信内容。

来源：Hugging Face Daily Papers