技术摘要：OS-Sentinel

问题陈述

虽然视觉语言模型（VLMs）已使自主智能体能够操作移动图形用户界面（GUIs），但确保其安全性仍然是一个关键且尚未得到充分探索的挑战。与桌面或 Web 环境不同，移动 GUI 由于其多样化的应用程序、敏感的用户数据以及动态的交互上下文，呈现出独特的风险。现有的安全研究面临三个主要局限性：

1. 基础设施差距： 当前环境侧重于桌面或 Web 平台，缺乏捕捉全系统状态（例如运行时进程）所需的移动端特定能力，而这对于检测深层安全问题至关重要。
2. 检测局限性： 确定性的基于规则的方法在可扩展性和上下文理解方面存在困难，而基于模型的方法通常针对狭窄的场景，或依赖于无法建立严格安全边界的通用范式。
3. 评估范围： 大多数研究强调步骤级（step-level）检测，这与现实的多动作轨迹和系统状态转换脱节，导致难以评估随时间演变的风险。

核心问题在于，无法可靠地检测多维度的安全威胁——这些威胁涵盖了从显式的系统破坏（如未经授权的文件访问）到隐式的上下文违规（如隐私泄露或有害内容）在复杂的、动态的移动智能体运行空间内的各种情况。

方法论

本文提出了一个两管齐下的方法：构建一个新的评估基础设施和一个新型的混合检测框架。

1. 基础设施：MobileRisk-Live 与 MobileRisk

为了解决缺乏现实移动测试环境的问题，作者引入了：

• MobileRisk-Live： 一个基于 Android 模拟器构建的动态沙盒环境。它支持智能体的实时执行，并提供统一接口来记录：
  • GUI 观测值 ($o_t$)： 截图和辅助功能树（a11ytree）。
  • 智能体动作 ($a_t$)： 用户交互。
  • 系统状态轨迹 ($T_{sys}$)： 通过 Android UIAutomator2 捕获的底层系统元数据（例如文件操作、权限变更、后台进程）。该轨迹对于检测 GUI 上不可见的风险至关重要。
• MobileRisk： 一个源自 MobileRisk-Live 的基准测试，包含 204 条现实主义轨迹（102 条安全，102 条不安全）。
  • 数据模式： 每条轨迹包括 GUI 观测值、系统状态轨迹（文件元数据的轻量级哈希表示和屏幕文本）以及细粒度的安全标注。
  • 分类法： 风险被分为十个细粒度类型，分为用户侧风险（恶意使用、提示词注入、有害内容）和智能体侧风险（破坏性操作、隐私违规、安全规避、UI 操纵、资源滥用、合规性违规、过度自动化）。
  • 构建方式： 不安全轨迹通过执行精心策划的风险倾向型指令生成，而安全轨迹要么通过安全指令生成，要么作为不安全轨迹的修正对应物构建，以最大限度地减少误报。

2. 框架：OS-Sentinel

OS-Sentinel 是一个混合安全检测框架，它通过协同两个不同的组件，来覆盖显式的系统级违规和隐式的上下文风险：

• 形式化验证器（确定性）： 一个基于规则的系统检查器，用于分析系统状态轨迹 ($T_{sys}$)。它执行三项特定检查：
  1. 系统状态完整性监控： 计算文件系统元数据的加密哈希，以检测未经授权的修改或权限提升。
  2. 敏感关键词检测： 将可见文本与基于 OWASP 指南策划的金融、个人和安全术语词库进行匹配。
  3. 敏感模式匹配： 使用正则表达式识别结构化数据，如信用卡号或电子邮件。
• 上下文判别器（基于模型）： 一个由 VLM 驱动的语义分析器，处理多模态输入（截图、辅助功能树和动作）。
  • 它在步骤级（$J_\theta(o_t, a_t)$）运行，用于实时干预。
  • 它通过连续（基于窗口）或采样模式在轨迹级运行，以评估整体行为意图。
• 混合判定： 最终的安全决策是两个组件的聚合。该框架支持严格模式（逻辑或），其中任一组件触发的标志都会触发不安全判定，从而确保对风险的零容忍。

关键结果

实验在 MobileRisk 基准测试上使用各种骨干模型（GPT-4o, Claude-3.7/4.5, Qwen2.5-VL 等）进行，并与基于规则的评估器以及标准的 VLM/LLM-as-a-Judge 基线进行了对比。

• 性能提升： OS-Sentinel 在多个指标上始终优于现有方法。它在轨迹级和步骤级上的准确率和 F1 分数比基线提高了 10%–30%。
• 鲁棒性： 这种混合方法展示了检测多样化风险类别的卓越能力。虽然基线模型通常在特定类别中表现出色但在其他类别中失败，但 OS-Sentinel 在整个分类法中提供了均衡的检测能力。
• 效率： 该框架是模型无关的，即使使用 7B 规模的骨干网络（适用于本地移动端部署）也能取得强劲结果。对于基于 API 的模型，平均检测延迟约为 66ms，表明了在现实世界部署中的实际可行性。
• 环境有效性： 动态 MobileRisk-Live 环境与冻结的 MobileRisk 数据集之间的比较显示出高度的一致性（接近度），验证了使用冻结轨迹进行可重复安全研究的有效性。

重要性与主张

本文声称通过以下贡献，为保障移动 GUI 智能体的安全建立了新的范式：

1. 基础架构： 通过引入 MobileRisk-Live 和 MobileRisk，这项工作提供了第一个专门为移动智能体系统性安全研究设计的动态沙盒和细粒度基准，解决了移动端特定评估基础设施的空白。
2. 方法论进步： OS-Sentinel 证明了结合确定性形式验证与基于模型的上下文判断的混合方法对于克服仅依赖规则或模型的局限性是必要的。这种方法有效地捕捉了既有的“不可见”系统级变化，也捕捉了“微妙”的语义违规。
3. 实证洞察： 研究对安全检测的组成部分进行了批判性分析，表明集成系统状态轨迹能显著增强检测能力。它还强调了轨迹级评估相对于孤立步骤级检查的重要性。

作者将这项工作定位为迈向更可靠、更可信的自主移动智能体的关键一步，为未来的移动智能体安全研究提供了一个可复现的基础。他们承认在依赖开放平台（如 Android）获取系统状态轨迹以及模拟与现实网络条件之间存在差异等局限性，但断言所提出的框架为该领域提供了一个稳健的基准。