The Containment Gap: How Deployed Agentic AI Frameworks Fail Public-Facing Safety Requirements

一句话核心结论

主流 AI 智能体开发框架（LangChain、AutoGPT、OpenAI Agents SDK）原生不具备架构级安全隔离能力，极易遭受内存投毒、工具越权攻击，且攻击隐蔽难监测；论文提出两套轻量无 LLM 防御机制，可零开销彻底阻断攻击。

它到底研究了啥

面向政务、医疗、金融等高风险公开场景的自主智能体 AI 系统，从架构层面分析现有主流开发框架是否内置安全隔离保障；构建 6 项标准化安全隔离准则审计三大主流框架，通过福利审批智能体完成实证攻击测试，验证漏洞危害并给出毫秒级轻量化修复方案。

研究场景

高风险面向公众的 Agentic AI 业务：政府福利资格审核、医疗分诊、金融咨询；这类智能体具备持久记忆、自主调用工具、多步骤自主决策能力，漏洞会造成真实社会公平与权益损害。

测试对象

三大主流智能体开发框架：LangChain、AutoGPT、OpenAI Agents SDK
多规格大模型后端：Qwen-2.5 3B、Claude Haiku 4.5、GPT-4o、Claude Sonnet 4.6、GPT-4o-mini
模拟业务：政府福利资格审批智能体（简单两因子政策、复杂五因子政策两套规则）

怎么测的

理论层：提出 6 大架构安全隔离准则（推理执行分离、能力范围约束、内存完整性、分层校验、可信通信、运行时监控），形成标准化审计矩阵；
框架审计：核对三款框架原生默认能力，区分 “原生自带 / 需手动配置 / 完全缺失” 三类安全机制；
攻击实验：
- 内存投毒攻击：写入恶意政策篡改记忆，定向抬高特定群体拒批率；
- 工具越权攻击：路径遍历、未授权 API 调用、保护文件篡改；
防御验证：实现内存完整性校验器、工具调用策略网关两套无大模型参与的确定性防御组件，统计延迟与攻击拦截率；
泛化测试：切换 5 种大模型、简单 / 复杂两套审批规则，验证漏洞与防御效果通用性。

测出来啥结果

一、框架审计结论

三款框架无任何一项安全隔离准则是原生默认开启，所有防护均需开发者手动配置，违背 “默认安全” 原则；
全部框架完全缺失内存完整性校验（P3），这是最普遍、危害最大的漏洞；
框架自主性越强，安全约束越薄弱：AutoGPT 安全缺失最多，OpenAI SDK 相对完善。

二、攻击实验结果

无防御时，内存投毒攻击成功率 100%：单次恶意写入即可永久污染记忆，目标区域申请人错误拒批率达 88.9%；
复杂五因子政策下攻击极具隐蔽性：系统整体准确率几乎不变，但定向群体错误拒批量提升 3.5 倍，常规监控无法识别；
工具越权攻击全部绕过限制，100% 实现非法文件读写、外部接口调用；
漏洞与模型规模无关：3B 小模型、GPT-4o、Claude 等高对齐商用模型全部中招。

三、防御方案效果

内存完整性校验器：拦截全部恶意内存写入，单条调用开销仅 0.006~0.016ms；
工具调用策略网关：阻断全部越权工具调用，单条调用开销 0.095~0.129ms；
两套机制均不依赖大模型、逻辑确定，所有模型后端均可通用，部署无需修改原有框架核心代码。

四、现有方案局限

正则式内存校验易被复杂自然语言对抗绕过；工具白名单不适用于动态多智能体场景；未覆盖复合链式攻击，仅在 LangChain 完成实证，AutoGPT、OpenAI SDK 仅做理论审计。

最后结论

当前主流智能体框架尚未达到面向公众高风险业务的默认安全标准，架构层缺失强制隔离是各类 Agent 攻击的根源；内存投毒等攻击隐蔽性强、会造成群体公平损害，符合欧盟 AI 法案高风险 AI 范畴；部署内存校验 + 工具策略网关两套轻量隔离组件可彻底消除核心攻击风险，框架开发者应优先落地三层架构安全改造：会话工具白名单、推理执行强制策略网关、带来源校验的安全内存写入。