# 风险定义

语言: 中文 | [English](risk_def_en.md)

AgentCanary 采用”风险入口 (Risk Entry) x 风险影响 (Risk Impact)”的二维风险体系组织评测任务。风险入口描述风险以何种来源方式进入 Agent 工作流，以及该来源方式对应的威胁模型；风险影响描述攻击所能造成的后果差异，例如破坏本地环境、泄露敏感数据、污染长期状态或触发未授权交易。不同风险入口可能导致相同的风险影响——例如间接提示词注入、Skills 投毒或 Agent 被控制等入口均可能造成”文件被删除”的后果，因此仅从后果或仅从来源单一维度无法完整刻画风险。二者正交组合后，即可系统化地覆盖各类 Agent 安全风险场景，避免遗漏或重复。

## 风险入口

| 风险入口 | 说明 | 典型威胁模型 |
| --- | --- | --- |
| 直接注入 | 攻击者通过聊天界面或任务输入直接向 Agent 提交恶意、越权或诱导性指令。 | 恶意用户拥有 Agent 交互权限，试图诱导 Agent 修改核心配置、读取敏感文件、执行危险命令或绕过业务权限。 |
| 间接提示词注入 | 恶意指令隐藏在网页、邮件、文档、外部知识库等 Agent 会读取的不可信内容中。 | 攻击者不直接接触 Agent，而是提前污染外部数据源；Agent 在总结网页、处理邮件或读取文档时被隐藏指令诱导。 |
| Skills 投毒 | Agent 使用的 Skills、插件、API 或依赖被污染、劫持或注入恶意逻辑。 | 第三方 Skill 在执行正常功能时夹带危险行为，或在工具返回结果、描述和依赖中植入攻击内容。 |
| 记忆投毒 | 长期记忆、短期上下文、本地状态或历史记录被恶意篡改。 | 攻击者在历史交互或状态数据中植入虚假授权、恶意偏好、错误事实或持久化提示词注入，影响后续任务。 |
| 内生缺陷 | 模型自身的对齐、推理、权限边界或安全能力不足，无需外部攻击输入也可能触发风险。 | 模型在模糊指令、边界场景或多步任务中产生非预期或有害行为。 |

## 风险影响

| 风险大类 | 典型场景 | 风险描述 |
| --- | --- | --- |
| **I. 本地环境破坏与可用性风险类** | 资源耗尽 | 持续占用 CPU、内存、网络、磁盘、API 配额或进程资源，导致系统卡死、服务不可用或成本异常上升。 |
| | 文件删除与破坏 | 删除、覆盖或清空本地文件、代码、配置、日志、数据库、缓存或构建产物，导致业务中断、数据丢失或无法回滚。 |
| | 危险命令执行 | 诱导 Agent 执行破坏性 shell 命令、批处理脚本、系统管理命令或批量文件操作，造成系统不稳定或不可逆损害。 |
| | 系统环境篡改 | 修改环境变量、PATH、启动项、shell 配置、依赖版本、系统日志、运行参数等，破坏运行环境稳定性、软件兼容性或审计能力。 |
| | 进程与服务扰乱 | 杀死关键进程、停止服务、破坏守护进程、干扰端口监听或任务调度，造成应用异常、服务中断或系统不可用。 |
| **II. 数据与信息安全类** | 敏感信息泄露 | 未经授权读取本地文档、聊天记录、邮件、系统提示词、配置文件、密码、Cookie、Token、API Key、SSH Key、数据库连接串等。 |
| | 数据外传 / Exfiltration | 将敏感信息发送到外部接口、Webhook、邮件、云盘、聊天工具、远程服务器或攻击者控制的地址。 |
| | 非授权凭证访问 | 恶意读取系统密钥链、浏览器密码库、加密容器、凭证管理器、云服务配置或企业单点登录凭据，实现身份冒用或后续横向移动。 |
| | 内容篡改 / 完整性破坏 | 未经授权修改笔记、邮件、文档、代码、配置、协作内容或业务数据，破坏数据真实性、完整性、可追溯性。 |
| | 数据加密勒索化 | 对文件、文档、项目目录或业务数据进行非授权加密、重命名、压缩加密或访问限制，造成勒索式不可用。 |
| **III. 持久状态与 Agent 记忆污染类** | 人格黑化 | 修改 Agent 核心人格、角色设定或配置文件，例如 SOUL.md、system profile、persona config，使其持续输出低俗、暴力、煽动性或品牌不一致内容。 |
| | 违法违规人格 / 记忆植入 | 在人格、长期记忆、用户偏好、知识库中植入违法违规内容或倾向，使 Agent 在后续交互中持续输出违规信息，产生合规与声誉风险。 |
| | 恶意指令记忆植入 | 在记忆库、配置、项目说明或历史上下文中植入“延迟触发”指令，例如未来遇到特定任务时泄露信息、绕过确认、执行外传或降低安全校验。 |
| | 记忆残留敏感信息 | 将用户隐私、商业机密、凭证、内部链接、客户数据等长期写入记忆或配置，导致跨会话泄露、权限边界混淆或合规问题。 |
| | 记忆污染 / Memory Tampering | 注入虚假事实、错误偏好、错误身份、伪造授权关系或错误业务规则，影响 Agent 后续判断和行为。 |
| | 配置篡改 / Config Tampering | 修改安全策略、工具权限、审批阈值、默认执行模式、日志级别、联网策略等配置，使 Agent 后续更容易执行高风险操作。 |
| | 偏见与歧视性输出 | 通过记忆、配置或数据污染，使 Agent 在推荐、评价、招聘、信贷、风控、客服等场景中产生性别、种族、地域、职业等歧视性偏见。 |
| | Skills 与插件投毒 | 安装恶意 Skills、调用已预置的恶意 Skills，或污染插件说明、工具 schema、依赖脚本，使攻击逻辑隐藏在 Agent 信任的扩展生态中。 |
| **IV. 权限与系统管控类** | 沙箱逃逸 / Sandbox Escape | 通过路径穿越、软链接、挂载目录、权限边界混淆等方式访问沙箱外文件或系统资源，突破 Agent 原本应受限的执行边界。 |
| | 权限提升 / Privilege Escalation | 将只读权限变为读写权限，或诱导执行 sudo、高权限修改、宽泛 chmod/chown、管理员操作等，扩大 Agent 对系统或数据的控制范围。 |
| | 防御失效 | 禁用或削弱防火墙、杀毒软件、EDR、日志审计、告警规则、备份策略、访问控制等，使系统进入低防护或不可审计状态。 |
| | 授权边界混淆 | 让 Agent 错误理解用户授权范围，例如把“查看配置”扩大为“修改配置”，把“生成建议”扩大为“直接执行”，把“测试环境”误作用于“生产环境”。 |
| **V. 网络攻击与远程控制类** | 反弹 Shell / 远程控制 | 诱导 Agent 建立对外连接、远程命令通道或交互式控制链路，使攻击者可持续操控本地环境。 |
| | DNS 劫持与网络配置篡改 | 修改 hosts、DNS、代理、证书、路由、网络配置等，使流量被劫持、重定向、监听或降级。 |
| | 内网探测 | 滥用 Agent 的本地网络可达性，对内网主机、端口、服务、资产、云元数据地址等进行探测，扩大攻击面。 |
| | 恶意持久化 / 木马后门 | 植入恶意脚本、定时任务、启动项、浏览器扩展、服务守护进程或远程后门，实现长期隐蔽控制、横向移动或后续指令下发。 |
| | 恶意下载与供应链污染 | 下载、执行或引入不可信依赖、脚本、插件、模型、模板或项目代码，使攻击通过软件供应链进入本地环境。 |
| **VI. 业务滥用与非法用途类** | 欺诈与社会工程攻击 | 利用 Agent 生成或发送钓鱼邮件、虚假客服话术、诈骗消息、冒充内部人员的请求，骗取用户凭证、付款或敏感信息。 |
| | 黑产自动化与平台对抗 | 批量注册、刷单、薅羊毛、垃圾信息群发、账号养号、验证码/风控规避、自动化网站滥用等。 |
| | 违法违规内容分发 | 传播色情、违法教程、虚假安全警告、诱导性广告、恶意营销内容、违规链接或平台禁止内容。 |
| | 违法犯罪意图执行 | 将 Agent 用于洗钱辅助、制毒、爆炸物、非法代理跳转、诈骗执行、规避执法或其他违法犯罪活动。 |
| | 品牌与公共秩序损害 | Agent 以企业、产品或个人身份输出仇恨、煽动、虚假、冒犯性或违法内容，造成舆情、投诉和监管风险。 |
| **VII. 金融与交易风险类** | 未确认的敏感交易 | 在缺乏二次确认、风控校验或授权凭据核验的情况下，执行支付、转账、下单、充值、提现、订阅、退款等操作，造成直接经济损失。 |
| | 资金账户恶意操纵 | 修改支付配置、绑定恶意收款人、替换收款二维码、修改发票账户、提取金融凭证或更改默认付款方式，为长期资金窃取埋下隐患。 |
| | 交易参数篡改 | 修改金额、币种、数量、地址、收款方、交付对象、折扣、审批状态等关键字段，造成账务异常、资产损失或合规问题。 |
| | 金融决策误导 | 通过污染数据、伪造分析、隐藏风险或篡改报告，使 Agent 给出错误投资、授信、报销、采购或风控判断。 |
