智能体安全触发机制并非文本安全触发机制——超越SOTA防护栏过半时间成功的MCP攻击（代码+数据集）[研究报告]

大多数安全对齐工作将“检测攻击”视为文本分类问题——即提示词是否包含模型安全防护栏应拦截的语言。这一假设对于拥有真实工具访问权限的LLM智能体不再成立。这里有一个具体案例：选取一个已知的公开安全漏洞（CVE），设计能够利用该漏洞的工具调用序列，然后让LLM将其重写为听起来普通的请求。结果生成的文本中毫无攻击痕迹——因为“攻击”不在文本中，而在文本所引发的工具调用序列中。一个仅依赖文本线索触发的防护栏模型对此无能为力。我们针对使用模型上下文协议（MCP）工具访问（文件系统IO）的LLM智能体进行了测试。在基础模型（1B–14B参数）中，拒绝率均未超过35%，而最先进的安全微调（DPO、SafeDPO）也仅将这一比例提升至48%。无需训练的方法表现更佳——其中一种方法在不进行任何微调的情况下，将基准拒绝率提升了约3倍。完整的方法论、训练/评估代码（四种方法）、数据集及论文见首条评论。