你的 AI 助手每个请求都无害，为什么组合起来会出事？
你的 AI 助手每个请求都无害，为什么组合起来会出事？
一句话版本：个人智能体连的服务越多，「每步都对、整体出事」的组合式风险越大——单看每次工具调用都无害，跨服务的效果累积却能酿成伤害。X-AgentRed 用工具依赖图自动挖掘有害路径：有害路径发现率 1.77 倍于现有方法，工具覆盖 2.99 倍。
一句话版本（先给结论）
Meta 团队的 X-AgentRed：把智能体可用的工具建成有向依赖图（工具的「效果」满足另一工具的「执行前提」），从图上采样出「每步都合法、串起来有害」的路径并真实执行验证；失败路径用执行反馈自我改进（换工具、精化前提）。四个前沿智能体模型上，有害路径发现率 1.77× 于现有红队方法，工具覆盖 2.99×——现有方法的盲区被量化了。
一、组合式失败：多服务生态的新风险形态
个人智能体正在接入越来越多的服务——写代码、管文档、订机票、发消息。每单个服务都安全审查过，每次工具调用在语境里都无害，但：
让助手「清理一下我的日程和消息」——删除日历事件（无害）+ 撤回已发消息（无害）+ ……跨服务的效果累积与交互后，可能达成用户从未授权、甚至造成实际伤害的结局。
这是组合式失败：风险不在任何一步里，而在路径上。而现有红队方法两个硬伤：让 LLM 凭描述「想」有害路径——生成偏好训练数据里的熟悉组合，新颖跨服务交互探测不足；或把人类/LLM 预设的有害目标分解成良性步骤——预设本身限制了探索面。
二、X-AgentRed：依赖图驱动的自进化红队
方法的三个齿轮：
建图：分析每个工具的「效果、潜在伤害、执行前提」，构造有向图——边=「工具 A 的效果满足工具 B 的前提」。图把跨服务的可达性变成了一等公民；
采样+实例化：从图上采样路径，包装成真实场景（看似良性的用户请求），让被测智能体实际执行——有情感、有上下文的真实用例，不是干巴巴的攻击脚本；
执行反馈自改进：路径走不通（某步被前提卡住）→ 精化该前提的达成方式；想更多样 → 有害路径间做工具替换——红队自己进化，越跑越深。
三、结果：现有方法的盲区被量化
四个前沿模型上，有害路径发现率 1.77× 于 SOTA 基线 STAC；
探索到的工具集合更多样，工具覆盖率平均 2.99×——现有方法大半工具世界根本没碰到；
采样自图的场景更「像正常使用」——红队结果可以直接指导安全护栏，而不是一堆一眼假的攻击样本。
四、对智能体产品的三条启示
1. 安全评估要按「路径」不按「步骤」。 逐步骤审查再严，也拦不住组合式失败——把工具依赖建成显式图，是让「跨服务可达性」可审计的第一步。这与轨迹监控（把执行建成 DAG）是同一哲学：结构即证据。
2. 执行反馈是红队的核心引擎。 静态「想」出来的攻击面远小于跑出来的攻击面——安全测试也要「跑任务」而不是「读文档」。失败路径本身就是情报：哪一步被卡住，就说明那一步是天然护栏位点。
3. 服务接入越多，红队越要常态化。 每接入一个新服务=依赖图多一批出边=新的跨服务路径组合。安全测试不该是发布前一次性动作，而是每次集成变更后的回归测试。
结语
单工具时代的安全是「每个工具加锁」；多服务时代的的安全是「整张图找路」。X-AgentRed 把「图」和「执行」这两个武器交给红队，也顺便提醒每个智能体产品的开发者：你以为的防御面，可能只是图上最常走的那几条路。
论文：X-AgentRed: Red-Teaming Personal Agents in Evolving Multi-Service Ecosystems（arXiv 2610.13886）
BuddyMe 每日免费 4500 万 Token。