New Archestra's OpenAPPA Saturates Two Major Security Benchmarks with a 0% Attack Success Rate

New Archestra 的 OpenAPPA 在两项重要安全基准测试中实现 0% 攻击成功率 - InfoQ

InfoQ 首页 News New Archestra 的 OpenAPPA 在两项重要安全基准测试中实现 0% 攻击成功率

AI、ML 与数据工程

从 Token 到特征：构建 AI 辅助工程的成本归因架构（10 月 29 日网络研讨会）

New Archestra 的 OpenAPPA 在两项重要安全基准测试中实现 0% 攻击成功率

2026 年 10 月 3 日 4 分钟阅读

作者：

• Bruno Couriol

#### 关注我们

Youtube

232,000 粉丝

Linkedin

26,000 粉丝

Instagram

新

RSS

19,000 读者

X

57,100 粉丝

Facebook

21,000 赞

Bluesky

收听本文 -

0:00

音频准备就绪

您的浏览器不支持音频元素。

正常

1.25x

1.5x

喜欢

新下拉阅读列表

• 阅读列表

Archestra 发布了 OpenAPPA，这是一个开源安全引擎，旨在阻止由提示注入或模型幻觉导致的数据外泄。OpenAPPA 在代理的提示和执行循环之外运行。其配置包含数据源、受众、信任级别和权限等概念，以及与之相关的确定性安全执行规则。团队报告称，在运行安全基准测试 Bench-Corp（20 个企业多步骤工作流）和 AgentThreatBench 时，攻击成功率均为 0%，而 Claude Code 的自动模式为 10%，Microsoft FIDES 为 31%。

OpenAPPA 的文档解释了为什么基于随机方法的自动化策略执行会失败：

行业对审批疲劳的应对方案是使用第二个模型来判断每个工具调用：Claude Code 的自动模式、Codex 的自动审查和其他自动模式。按设计，它们无法跟踪工具调用之间的数据流。由于分类器本身可能受到提示注入攻击，工具输出会被隐藏，因此判断者根本看不到数据。由于其概率设计，即使最好的模型也只能达到 99.3%：在数百万次调用中，0.7% 的漏洞仍然很多。[...] 规则集最终要么过于严格导致代理失效，要么过于复杂以至于无人能审计其允许的内容。

一方面，代理已被证明能够绕过简单但常见的方法，如工具的白名单或黑名单：被拒绝的 rm -rf 可能会被等效的 Python 脚本替代。另一方面，为了防止贪婪代理的攻击而扩展黑名单或过度限制策略会导致实用性下降（例如，虽然代理不会泄露数据，但由于限制，它无法成功完成任务）。OpenAPPA 的 GitHub 仓库提醒开发者：

代理安全有两个维度：允许未经授权数据流的代理是不安全的，而拒绝有效工作的代理是无用的。

Archestra 试图通过其称为“代理权限策略代数”（APPA）的方法解决严格执行与操作实用性之间的矛盾，该方法由 Arseny Kravchenko、Vadim Liventsev、Innokentii Konstantinov、Ildar Iskhakov 和 Matvey Kukuy 在论文中描述。

OpenAPPA 通过可插拔引擎实现这一方法，该引擎在代理循环之外执行，从而挫败底层语言模型检查、协商或绕过策略规则的任何尝试。安全策略以单个 appa.toml 配置文件的形式存在，其中详细说明了数据源、受众、信任级别和权限。

OpenAPPA 联合标记并监控受众（授权的消费者集合）和信任度（数据验证程度）。标签通过格代数单调组合；标签只能变得更加严格；读取受限记录会缩小受众范围；读取未经验证的外部网页会降低信任度。

每个工具合同定义三个主要操作属性：requires（运行工具所需的受众成员和信任级别）、delta（工具返回数据时应用的限制）和 effects（成功操作的审计轨迹）。

在以下示例中，通过 get_ticket_from_crm 读取票据会将轨迹的受众限制为内部。随后的 process_internal_data 调用要求受众必须在内部范围内。

[[policy.tool]]
name = "get_ticket_from_crm"
delta = { audience = ["internal"] }

[[policy.tool]]
name = "publish_update"
requires = { audience = { contains = ["public"] } }

[[policy.tool]]
name = "process_internal_data"
requires = { audience = { within = ["internal"] } }

在以下示例中，read_web_page 工具的结果被标记为可疑。当接收到 read_web_page 工具的结果时，OpenAPPA 会阻止 apply_db_migration，因为它需要可信数据。

[policy]
version = 2
trust_chain = ["suspicious", "trusted"]

[[policy.tool]]
name = "read_web_page"
delta = { trust = "suspicious" }

[[policy.tool]]
name = "apply_db_migration"
requires = { trust = "trusted" }

OpenAPPA 还具有显式的恢复语义。当代理尝试非法操作时，引擎会停止分发并提供结构化路径继续执行。净化器可以编辑有效负载，例如剥离个人身份信息，以安全地扩展允许的受众范围。授权机构会将请求路由到人工操作员或内部验证 API 以进行单次操作批准。一次性子分支功能支持按需隔离：当代理必须摄入不可信数据时，引擎会在临时子代理分支中隔离读取操作，仅向父级返回经过模式验证的净化输出。

Bench-Corp 和 OWASP AgentThreatBench 基准测试显示，OpenAPPA 在严格的安全约束下仍能保持高实用性，报告攻击成功率为 0%，任务完成率为 89%。Claude Code 的原生自动模式攻击成功率为 10%，完成率为 90%。Microsoft FIDES 允许 31% 的攻击成功，仅完成 41% 的任务。研究团队在论文中报告称，消融实验似乎验证了恢复策略的价值：当完全禁用补救计划时，任务完成率降至 35.0%。

Bench-Corp 和 AgentThreatBench 测试显式策略违规：敏感数据共享、提示注入、审批和排序、租户隔离。Bench-Corp 是一个高度专业化的企业助手基准，旨在评估安全策略在复杂多步骤企业工作流中的表现。AgentThreatBench 将 OWASP 2026 年代理应用十大威胁清单转化为可执行任务。它最近已合并到英国人工智能安全研究所的官方 inspect_evals 仓库中。AgentThreatBench 使用双指标评分系统，同时评估实用性和安全性。OpenAPPA 在基准测试中实现了完美的安全评分，零次攻击成功。

OpenAPPA 当前处于预览阶段。正式的代数和恢复保证已发表在 arXiv（APPA: 适用于现实世界大语言模型代理的可恢复信息流控制）。建议读者阅读论文和文档，这两份资料包含大量额外技术细节、配套插图和实证结果。

作者信息部分的主要容器

关于作者

部分标题

每位作者的主要信息块

#### Bruno Couriol

显示更多

显示更少

#### 此内容属于 AI、机器学习与数据工程主题

##### 相关主题：

• 开发
• AI、机器学习与数据工程
• 企业架构
• AI 安全
• 相关编辑内容
• 相关赞助商
• 相关赞助商 2026年10月8日，美国东部时间下午12点 当AI加速开发时，您的CI流水线能跟上吗？由 Datadog 的产品市场经理 Eric Metaj 和 CI/CD 优化产品经理 Rohin Chandra 演讲

InfoQ 新闻通讯

每周五内容精选，每周二发送。加入超过25万名高级开发者的社区。查看示例

我们保护您的隐私。 /think