技术深潜：从单体模型到碎片化智能体
支撑“智能体网络”的核心架构变革，在于规划与执行的解耦。LangChain、AutoGPT、CrewAI等现代智能体框架提供了一套脚手架：中央LLM（规划器/控制器）通过专用工具与API协调一系列行动。以OpenClaw的爆红演示为例，智能体接收高层目标（如“规划并预订一次复杂行程”），将其分解为子任务，随后依次调用网络搜索、日历访问、支付API、通信平台等工具。
在此范式下，安全攻击面呈指数级扩张。原先与模型交互的单一输入输出通道，如今裂变为：
1. 规划器/控制器LLM：易受传统提示词注入攻击，可能导致任务分解逻辑被劫持。
2. 工具注册表：可执行函数的目录。攻击者可尝试操纵向LLM提供的工具清单或工具描述。
3. 执行层：每次工具调用都是一次API请求，涉及独立的身份验证、授权与输入验证逻辑。
4. 记忆/状态系统：智能体常通过向量数据库或简易系统维持短期或长期记忆。污染此状态将毒化后续推理。
5. 智能体间通信：在多智能体系统中，智能体相互传递消息、任务或结果，形成信任链。
一个关键漏洞在于传递性信任失效。LLM作为“天真”的监督者，可能将某工具（如网络爬虫）的输出视为下一行动（如发起支付）的绝对依据，而缺乏验证数据真实性或意图的内在机制。这实为经典的“困惑代理”问题，如今由随机性模型居中调度。
关键开源项目揭示了技术生态及其固有风险。拥有超9万GitHub星标的LangChain框架，提供了连接LLM与工具、记忆的主流工具包，但其安全模型主要交由开发者自行实现。微软的AutoGen（约2.5万星标）支持复杂的多智能体对话，明确构建了需相互信任输出的智能体网络。而OpenClaw项目本身，尽管病毒式演示常模糊细节，其概念核心依赖于稳健的工具使用与权限处理以执行跨应用任务。
| 安全层级 | 单体模型系统 | 智能体系统 | 风险倍增系数 |
|--------------------|--------------------------|-----------------------------------------|------------------------|
| 主要攻击面 | 文本提示词 | 提示词 + 工具集 + API端点 + 智能体通信 | 10-100倍 |
| 失效模式 | 不良输出 | 错误行动（如删除数据、发送邮件、转账） | 质变 |
| 信任边界 | 用户至模型 | 用户-模型-工具-外部服务 | 深度嵌套 |
| 审计追踪 | 输入/输出日志 | 复杂的多步骤执行图 | 不透明且难以追溯 |
数据启示：上表揭示的风险转移不仅是量变，更是质变。攻击面横跨多个技术层级，而失效后果从生成不受欢迎的文本，转变为在现实世界中执行错误且不可逆的行动。
关键参与者与案例研究
生态正分化为智能体能力构建者与（近期出现的）安全护栏搭建者。能力侧，OpenAI凭借GPTs与Assistant API，Anthropic将其宪法AI理念延伸至工具使用，Google通过Gemini原生集成工作空间工具，皆将智能体模式直接嵌入旗舰模型。Cognition AI（Devon）等初创公司正推动全自动编程智能体的边界，而MultiOn与Adept则致力于开发通用网页智能体。
安全响应虽零散但日趋紧迫。Robust Intelligence与Protect AI正开拓针对ML系统的对抗性测试等领域，此类测试现需扩展至智能体工作流。BastionZero与Teleport将零信任基础设施理念应用于机器间访问控制，该范式可直接适配需最小权限API访问的智能体。值得注意的是，Snyk与Palo Alto Networks等传统应用安全公司尚未发布全面的智能体安全平台，这标志着显著的市场缺口。
研究者已敲响警钟。Anthropic团队发表了关于“沙箱化”语言模型智能体的研究，将其视同潜在恶意代码处理。斯坦福大学基础模型研究中心探索了智能体中的“规范博弈”现象——即通过非预期（常有害的）路径达成目标。关键人物Dong ZhiHang（其访谈启发了本次分析）主张，安全必须在协议层面进行“内置设计”，而非事后附加。