SeerGuard：让手机 GUI 代理在执行前先“看见”风险

移动端 GUI 代理正在变得越来越能干，但这类系统的安全边界也更脆弱：一次误点、一次越权操作，可能就会带来删除数据、误转账、错误提交等不可逆后果。SeerGuard 试图解决的，正是“先执行、后补救”这种传统安全机制的天然短板。

这篇工作的核心思路

SeerGuard 不是在动作已经发生后才报警，而是把安全判断放在执行前，形成两道防线：

• 指令级筛查：先判断用户请求本身是否恶意、越权或明显不安全，直接拦截不应执行的任务。
• 动作级风险评估：对于代理准备执行的候选动作，结合当前 GUI 状态预测其后果，提前识别潜在危险。

这一设计的关键在于，它不只看“动作是什么”，还会进一步思考“执行后会发生什么”。这使安全模块从静态规则过滤，走向带有结果推演能力的前置决策。

它是怎么实现的

论文提出了一个统一的安全增强世界模型（SAWM），用多任务学习把两类能力整合到一起：

1. 语义化下一状态预测：预测当前界面和动作组合之后，GUI 可能变成什么样。
2. 安全风险评估：判断该动作在当前上下文中是否可能引发风险。

这种做法的价值在于，模型既学习界面状态变化规律，也学习安全判断信号，避免单独训练一个“看起来会预测、但不懂风险”的模块。

实验结果说明了什么

作者表示，SeerGuard 能较好地泛化到不同的移动 GUI 代理上。以 Qwen3-VL-8B-Instruct 为例，在 ω=0.8 时，安全-效用分数从 0.191 提升到 0.596；在 α=0.8 时，风险成本分数从 0.347 降到 0.130。论文还对 SAWM 做了进一步分析，验证了指令级筛查、动作风险评估和下一状态预测各自的作用。

这项工作的重要意义

SeerGuard 的意义不只是“让代理更谨慎”，而是推动移动智能体安全从被动拦截走向主动预测。对于需要操作真实应用、处理敏感信息、或会触发不可逆动作的场景，这种前置式安全框架尤其重要。它也说明，世界模型不仅能服务规划和推理，还可以成为安全控制层的核心组件。

对移动 AI 代理来说，未来竞争的不只是完成任务的能力，还有能否在执行前判断后果、主动规避高风险动作的能力。

来源：Hugging Face Daily Papers