技术摘要：谁拥有这个智能体？追踪 AI 智能体至其所有者

1. 问题定义：智能体归因

本文识别并形式化了智能体归因（agent attribution）这一关键且新兴的安全漏洞。随着 AI 智能体被越来越多地部署以自主执行任务——发送消息、浏览网站、调用 API 以及执行脚本——目前尚无可靠的技术机制能够将有害的智能体交互追溯至部署该智能体的具体操作员账户。

这一问责制缺口存在于智能体行为的全谱系中：

• 非故意危害：善意操作员可能部署配置错误的智能体（例如，错误的停止条件、过于宽泛的目标），导致垃圾邮件、服务过载或非预期操作。
• 故意危害：恶意操作员可能将智能体武器化，用于欺诈、骚扰、网络入侵或散布虚假信息。

在这两种情况下，受影响方（受害者）观察到有害行为，供应商（大语言模型提供商）持有会话日志，但没有任何一方能够将观察到的外部行为与负责供应商账户关联起来。现有的救济机制之所以失效，是因为：

• 基于 IP 的识别无效，因为智能体会轮换地址并使用代理。
• 平台级调查仅能识别临时的表面账户（例如虚假人设），而无法追溯到 underlying 的供应商账户。
• 行为指纹识别能检测到智能体的存在，但无法确定数百万个供应商账户中哪一个应承担责任。
• 法律程序需要先决条件（识别特定会话和账户）才能强制披露，而在缺乏技术桥梁的情况下，目前这已不可能实现。

作者认为，这一问题在供应商托管的大语言模型（LLM）环境中尤其具有可操作性。即使是精明的对手，也往往依赖供应商托管的模型（例如 OpenAI、Anthropic 或托管的开源模型）来获取其推理能力。虽然操作员控制运行时和包装器，但模型调用会经过供应商，并记录在某个账户下。

2. 方法论：基于金丝雀的协议

作者提出了一种基于金丝雀的归因协议，以弥合受害者观察与供应商日志之间的鸿沟。该协议涉及五个主体：智能体（Agent）、操作员（Operator）、供应商（Vendor）、受害者（Victim）以及权威机构（Authority，如执法部门或商业实体）。

核心机制

1. 注入：经授权的权威机构（$\mathcal{D}$）将金丝雀（canary）注入到智能体（$\mathcal{A}$）可能消费的内容流中。
   • 直接交互：权威机构直接与智能体交互（例如通过聊天）并注入金丝雀。
   • 被动交互：权威机构将金丝雀放置在智能体预期访问的位置（例如特定网页、文件），并为其植入钩子。
2. 传播：智能体处理该内容。如果智能体将此内容转发至其供应商托管的 LLM，金丝雀便会出现在供应商的会话日志中。
3. 搜索：权威机构向供应商（$\mathcal{V}$）发起归因请求，指定注入时间（$\tau$）和金丝雀值。
4. 恢复：供应商在活跃会话日志的狭窄时间窗口内搜索金丝雀。如果找到，供应商将该会话与负责的操作员账户（$\mathcal{O}$）关联。

金丝雀构建

本文区分了两种场景，需要不同类型的金丝雀：

• 非对抗性场景：操作员并未试图逃避归因。

  • 词汇金丝雀：简单的精确匹配令牌序列（例如随机字符串、UUID 或任务相关的标识符，如项目代码）。由于智能体会原样将传入内容传递给模型，这些已足够。

• 对抗性场景：操作员部署包装器（$\mathcal{W}$）来过滤、改写或重写传入内容，以抑制标记。

  • 效用承载金丝雀：为了对抗规避，作者引入了与合法任务内容无法区分的金丝雀。移除它们会削弱智能体执行任务的能力。
  • 词汇效用金丝雀：任务关键标识符（例如目录列表中的文件名、数据库查询中的特定 ID），智能体必须保留它们才能成功。
  • 语义金丝雀：由含义而非表面形式定义的签名（例如说话风格、结构模式、紧急信号或特定的修辞习惯）。这些比精确字符串更能抵抗改写。
  • 多金丝雀策略：权威机构从大型金丝雀宇宙（$N$）中采样子集（$K$）并注入它们。检测需要达到匹配阈值（$m$）。这创造了一种有利于防御者的不对称性：攻击者必须激进地过滤内容以移除金丝雀，这不可避免地会降低智能体的效用（例如导致其无法完成网络攻击或诈骗），而防御者可以将归因概率任意推高至接近 1。

3. 主要贡献

1. 问题形式化：这是首个将“智能体归因”识别并定义为独立安全问题，并刻画完整场景分类（非故意与故意、各种攻击目标）的工作。
2. 实用协议：一种由供应商中介的归因协议，无需通用预先注册或持续的身份暴露。它依赖于智能体对供应商托管模型的结构依赖性。
3. 鲁棒的金丝雀构建：
   • 开发了效用承载金丝雀（包括词汇和语义），为攻击者制造了权衡：逃避归因需要以牺牲智能体性能为代价。
   • 形式化了不对称性，即防御者可以控制归因概率，而攻击者为逃避归因需支付效用成本。
4. 实证评估：在三个领域进行了全面测试：
   • 通信智能体：聊天和论坛交互。
   • 网络智能体：HTML 文档摄取和抓取。
   • 网络智能体：Capture-The-Flag (CTF) 环境中的自主工具使用智能体。

4. 实验结果

评估表明，该协议是可靠、鲁棒且可扩展的。

• 非对抗性性能：

  • 当内容未经更改传递时，词汇金丝雀实现了近乎完美的检测（真阳性率 TPR $\approx$ 1.0），且假阳性率（FPR）接近零。
  • 语义金丝雀在聊天和论坛设置中也实现了高检测率（AUC $\approx$ 0.98–0.99）。

• 对抗鲁棒性：

  • 改写攻击：当包装器改写内容时，精确的词汇金丝雀失效（TPR 降至 $\approx$ 0.20）。然而，语义金丝雀保持鲁棒。在聊天设置中，即使使用多金丝雀阈值（$m$-of-$k$），在改写情况下 TPR 仍保持在 0.97 以上。
  • 网络智能体：可见的词汇金丝雀（嵌入在渲染文本中）在预处理和改写后的存活率超过 60%。结构金丝雀（隐藏在 DOM 中）更为脆弱。语义布局金丝雀提供了鲁棒的次要通道。
  • 网络智能体（CTF）：这是最严格的测试。试图从工具输出中移除金丝雀的金丝雀感知型攻击者，导致智能体的解决率从 51% 崩溃至 9%。这证实了效用 - 规避权衡：压制归因证据会破坏智能体的任务。
  • 归因准确性：在网络环境中，会话级归因在对抗条件下实现了 TPR $\ge$ 98%，且 FPR 接近零。

• 可扩展性：

  • 供应商侧搜索被证明在操作上切实可行。通过仅搜索并发会话的有限时间窗口，并利用令牌级匹配（利用现有的令牌化日志），搜索成本随活跃会话数量线性扩展，而非随日志总量扩展。令牌级搜索被发现比字符级匹配快约 2 倍。

5. 意义与主张

本文声称是首个定义智能体归因并提出实用解决方案的工作。其意义在于：

• 恢复救济途径：它提供了一个技术桥梁，使受害者、平台和当局能够识别负责的操作员，从而在善意案例中实现干预，在恶意案例中实现法律问责。
• 对供应商的可行性：该协议利用现有的供应商基础设施（日志、API 服务），无需更改智能体的运行时代码或操作员的基础设施。
• 防御中的不对称性：通过将金丝雀与任务效用绑定，该协议迫使攻击者陷入两难境地，即逃避归因会损害他们自己的目标。

作者对局限性保持谦逊，指出评估使用了特定的模型系列和包装器配置，且间接注入（预测智能体轨迹）需要进一步的现实世界测试。然而，他们断言，所提出的方法为日益自主的 AI 智能体提供了一条可部署的问责路径。