专业工作区里的智能体安全有了对照：任务做对了，也可能同时把机密写进共享文件夹

智能体在共享专业工作区里完成投行、法律、咨询任务时，攻击者不必把恶意指令放在一个已知的读取位置，而是可以只影响工作区中的部分资源，由智能体自己的行动决定是否遇到这些内容。 此前的安全评测通常把注入放在任务执行时预期会被访问的固定资源里，而 APEX-Harm 面对的是每个任务 115 到 328 个文件的大工作区，文件越多，智能体自然遇到注入提示的概率越低。 在静态提示与脚本注入上，把攻击做成与任务相关的文件比把注入放进已有文件更有效：GPT 5.6 Terra 的任务相关文件攻击成功率为 50%、暴露率 85%，而文件开头注入为 0%、20%，关键词附近注入为 0%、45%。

评测把攻击成功、暴露和任务得分分开记录，因此能区分智能体从未遇到的攻击与遇到后仍失败的攻击。 只报告攻击成功率无法说明攻击是否进入过智能体的上下文，而暴露率单独统计工具返回中是否出现注入指令的核心内容，即使智能体随后忽略它也算暴露。 12 个模型在每模型 180 个任务实例上评测，Opus 5 与 Sonnet 5 总体攻击成功率最低，分别为 8% 和 20%；Gemini 3.8 Flash 平均任务得分最高（0.877），同时仍有 33% 的平均攻击成功率。

脚本类攻击的成功往往发生在智能体没有检查程序逻辑就直接执行的时候，因此文件的可读性成为关键因素。 Python 源码可以被 cat 或 read_text_file 直接查看，智能体读完后可以拒绝执行；PYC 与 ELF 需要先反编译或做二进制分析才能恢复逻辑，检查失败后智能体可能按用户请求或恶意指令文件执行脚本。 在静态脚本注入、任务专用脚本替换和攻击者提供的通用脚本三类中，Python 向量在每一组合里攻击成功率最低，PYC 与 ELF 明显更高；Opus 5 是例外，未知 ELF 文件触发更充分的事前检查，攻击成功率低于 PYC。

评测覆盖投行、法律、咨询三个领域的 15 个任务、选定的提示与脚本攻击、12 个模型配置和合成的授权场景，每个任务世界包含 115 到 328 个文件，并配有邮件、日历、聊天等协作系统。作者指出，未来工作可以把基准扩展到更多领域、重复试验、自适应攻击者和更广的判定器验证，并配合来源追踪或信息流防御。

作者说明，对这三个领域的聚焦限制了向其他专业领域和通用智能体任务的推广；每个模型与攻击实例组合只评测一次，运行间波动未被测量；部分类别中 Sonnet 5 的攻击成功率为 0% 而暴露率仍高，形成地板效应，限制了区分稳健模型或评估更强攻击下残余风险的能力；判定器验证也存在不确定性，一致性只在单个标注者标注的 60 个案例上测量。