---
title: "AgentCap 作者提出在工具边界授权，报告智能体攻击评测结果"
dek: "论文提出在模型之外执行策略检查，并通过能力令牌授权工具调用。摘要报告攻击成功率下降，但保存的来源不足以确认实际部署的安全性。"
---

Aravinda Kashyap Kabbinamakki Suresh 和 Peng Gao 于 2026 年 10 月 31 日提交 AgentCap 论文，提出面向语言模型智能体的运行时授权层。摘要指出，当模型持有常设权限时，间接提示注入可能把对模型推理的影响转化为未经授权的操作。[^1]

AgentCap 将动作选择与授权判断分开。作者称，MCP 包装层介入每一次工具调用。请求需要声明意图，策略检查则涵盖信任、工作流前置条件、互斥权限，以及安全敏感参数的来源。获准的请求会取得有效期短、预算受限的能力令牌，并在工具边界接受验证。[^1]

作者描述的委派机制采用绑定会话的父子链：动作和资源保持不变，预算与有效期只能缩减。声明式策略语言则为运行时执行和部署前分析提供共同的约束表示。[^1]

摘要称，在 AgentDojo 和 InjecAgent 的所有已评测模型与基准组合中，AgentCap 都降低了攻击成功率，其中 GPT-5.4 在两个基准上的攻击成功率均为零。作者还报告，在受控对抗场景中，所有未经授权的执行尝试均被阻断，测试覆盖的合法操作则全部保留。这些是作者针对所评测条件报告的结果；阅读摘要无法独立确认这些结果，也无法确认它们适用于其他部署。[^1]

:::analysis
问题涉及 T5（智能体，agents）和 T2（运行时，runtime）：用户需要同时审视智能体获授的权限，以及工具边界是否执行授权检查。运营方应核对自身工具调用路径是否确实经过上述检查，并确认策略、令牌预算、有效期和会话限制符合预期；保存的来源没有推荐任何修复版本。这里需要可核验的属性是可识别性（identifiability）：如果服务某位用户的确切版本和配置有记录且可供核查，该用户就能判断自己是否曾处于相关授权配置之下。这类记录可以识别配置，但摘要本身无法确认约束是否得到执行。[^1]
:::

:::checked
我们于 2026 年 11 月 3 日阅读了所提供的 AgentCap: Capability-Based Runtime Authorization for Secure LLM Agent Execution 的 arXiv 摘要页保存文本，其中标明提交版本为 v1。我们没有阅读论文全文、检查实现或测试系统。本次核查确认的是保存的摘要和提交记录如何陈述该工作；实现行为及评测结果的可复现性仍未得到确认。[^1]
:::

[^1]: AgentCap: Capability-Based Runtime Authorization for Secure LLM Agent Execution。arXiv，2026 年 10 月 31 日。https://arxiv.org/abs/2611.00729