SecureGARD给工具调用加语义闸门：三个基准、两种骨干上观测攻击成功率均为0%
核心概要
工具型大模型智能体把模型输出变成真实操作，间接提示注入因此成为执行安全问题。SecureGARD在规划与工具执行之间插入一层可执行本体，把异构工具调用归一到共享的语义动作，再结合当前任务状态判定为就绪、等待或禁止。在AgentDojo、ASB与AgentDyn的良性及间接注入设置下，两种骨干上的观测攻击成功率均为0%，受攻击时的任务效用优于所比较的基线。
深度剖析
工具调用不再只按接口名和参数放行，而是先被翻译成共享的语义动作，再对照动作与状态之间的依赖关系决定能否执行。 此前的防御主要约束提示、具体工具接口、数据流或执行轨迹，语义等价的工具往往需要分别定义约束，执行失败也不一定暴露底层的状态依赖。 在AgentDojo、ASB与AgentDyn三个基准上，GPT-4o-mini与Qwen3.8-Flash两种骨干的观测攻击成功率均为0%；未设防的GPT-4o-mini智能体攻击成功率在27.3%到50.0%之间，DRIFT降至2.3%到4.7%但未消除。
运行时把每个动作判为就绪、等待或禁止，等待表示存在尚未满足但可补救的前提，智能体可在不扩大授权范围的前提下做有界重规划。 本体分为可复用的动作—状态规则与当前回合已验证的事实两部分，规则在评估前冻结，在线执行只能更新本回合事实与任务状态。 本体只从AgentDojo训练划分演化，随后原样迁移到ASB与AgentDyn；在Qwen3.8-Flash的ASB上，清洁效用与受攻击效用相对DRIFT分别从29.3%和16.5%升至35.3%和22.3%。
可复用的动作—状态公理在离线阶段从已验证的训练执行中提出，只有同时满足多项检查才会被接受。 候选公理由离线大模型从有界证据摘要中提出，该模型不能直接修改本体，也不参与运行时裁决。 候选须纠正训练失败暴露的本体错误、保持逻辑一致、保留受保护蕴含并通过留出验证；在ASB上，加入24条被接受的公理后，冻结本体的观测攻击成功率从4.3%降到0.0%，六项预定义回归检查全部保留。
启示与展望
评估覆盖AgentDojo、ASB与AgentDyn的良性执行与间接提示注入设置，ASB只取与威胁模型一致的提示注入子集，不含记忆投毒、后门与混合攻击；本体只从AgentDojo训练划分演化，冻结后原样迁移到另外两个基准。
作者指出，当前设计仍依赖种子公理的粒度与已验证训练证据的覆盖范围，关系词表尚不能表达更丰富的时间、条件或跨动作依赖，长程任务与快速变化的工具环境中的行为也尚未充分探索；附录说明零观测攻击成功率不构成绝对安全保证。