智能体安全不再只看应用层：内核系统调用轨迹单独可辨，两层证据合看更准
核心概要
智能体安全检测此前几乎只依赖应用层遥测，即工具清单、用户提示和模型消息，但有些威胁能绕过这一层。研究者把应用层遥测与内核级系统调用轨迹配对，构建了含4047个会话、17个威胁模型的配对语料ACE，覆盖六类投递向量和25个OWASP LLM与智能体威胁类别中的14个。在四类检测器上，内核证据单独即可区分威胁，与应层证据组合后总体优于任一单层视角，并能泛化到未见攻击家族和另一个智能体运行时。
深度剖析
智能体安全检测多了一层可用的证据来源：操作系统内核记录的系统调用轨迹，与智能体应用层遥测配对后，能提供应用层看不到的威胁信号。 此前的智能体安全基准与防御几乎只在应用遥测层工作，也就是已提供的工具清单、用户提示和模型消息；有些威胁把恶意指令和动作偷带过应用边界，在这一层不可见。 在四类不同的检测器家族上，内核证据单独就具有区分力，与应层证据组合后总体优于任一单层视角，说明两层信号互补。
支撑这一判断的是一份按会话配对的语料，同一会话同时保留应用层记录和内核轨迹，因此可以直接比较两层证据落在哪里。 要量化增强遥测的价值，需要把两层记录对齐到同一会话，而不是分别采集再拼接。 Agent Cross-Layer Evidence（ACE）包含4047个会话和17个威胁模型，横跨六类投递向量家族，覆盖25个OWASP LLM与智能体威胁类别中的14个，并整理为12种攻击机制，逐机制刻画最具区分力的证据位置。
这套配对证据还能迁移到训练时没见过的攻击家族和另一个智能体运行时。 单层分析可能漏掉的互补信号，在跨层组合下被显式利用。 泛化测试针对未见攻击家族，迁移测试换用另一个智能体运行时，两项均在上述语料与检测器设置下报告。
启示与展望
已展示的范围是：在ACE语料的4047个会话与17个威胁模型上，四类检测器家族中内核证据单独可辨，跨层组合总体优于单层；泛化到未见攻击家族、迁移到另一个智能体运行时的结果也在该设置下报告。语料覆盖六类投递向量家族和25个OWASP LLM与智能体威胁类别中的14个，整理为12种攻击机制。面向的读者是设计智能体运行时监控与检测的工程师和安全研究者。
语料只覆盖25个OWASP LLM与智能体威胁类别中的14个，其余类别未纳入。泛化与迁移结论分别针对未见攻击家族和另一个智能体运行时，尚未说明更广泛运行时或部署环境下的表现。检测器比较以四类家族为限。