H
Howardism
Plate IIAgent Security機器翻譯 · machine-translated過時翻譯 · stale translationENHOWARDISM

不可能，而非繁瑣（設計測試）

PublishedMay 28, 2026FiledConceptDomainAgent SecurityTagsSecurityDesign PrincipleZero TrustThreat ModelReading5 minSourceAI-synthesised

針對代理式安全性的零信任設計測試：控制措施是讓攻擊變得不可能，還是只變得繁瑣？僅靠摩擦力的控制措施，面對具備無限耐心且每次嘗試成本近乎為零的代理式攻擊者時，效力會逐漸降低

不可能，而非繁瑣（設計測試）的插圖

資料來源#

摘要#

Zero Trust for AI Agents 套用到每一項控制措施的一個設計審查問題：這會讓攻擊變得不可能，還是只變得繁瑣？ 價值來自摩擦而非硬性屏障的控制措施——額外的樞紐跳轉、速率限制、非標準連接埠、以 SMS 為基礎的 MFA——面對能大規模反覆執行繁瑣步驟的對手時，效力會急遽下降。這個框架之所以重要，是因為代理式攻擊者擁有無限耐心，且每次嘗試的成本近乎為零：「這會花太久時間，不值得做」這類內建於人類判斷中的假設，已不再成立。

能存續的控制模式#

通過測試的控制措施具有一項結構性特徵——它們是移除能力，而非限流：

  • 硬體綁定的憑證（無法被竊取，不只是難以竊取）
  • 會過期／短生命週期的權杖（視窗會關閉，不只是變窄）
  • 密碼編譯身分（偽造在計算上很困難，而不只是帶來不便）
  • 不存在的網路路徑，而非僅僅不方便的路徑

這個框架的經驗法則是：「有疑慮時，優先選擇移除能力的控制措施，而不是限制能力的控制措施。」

應用場景#

這項測試會影響每一層的建議，並明確出現在各個決策點：

  • 提高基礎門檻——僅靠摩擦的控制措施（可從 lockfile 中以 grep 找出的輪換式長效 API 金鑰、SMS MFA、速率限制）即使在入門層級也不再合格。
  • 爆炸半徑評估（Phase 3）——「如果你的遏制計畫依賴摩擦……就假設它會失敗。」請參閱 Blast Radius (Agentic)。
  • 工具沙箱化（Phase 5）——「速率限制是摩擦，不是屏障：它們能爭取時間，卻無法阻止堅定的代理式攻擊者。」

脈絡與收斂#

這與 LLM-Driven Vulnerability Research 中獨立提出的論點相同：該文指出，「價值來自讓利用漏洞變得繁瑣的緩解措施，面對能以低成本反覆執行繁瑣步驟、由模型輔助的對手時會變弱」，而硬性屏障（KASLR、W^X）仍然很重要。兩個來源得出相同結論：攻擊性研究以實證發現摩擦會失效；安全框架則將這項發現轉化為規範性的設計測試。兩者都源自 AI-Accelerated Offense——每次嘗試的成本近乎為零，正是 AI 加速帶給攻擊者的能力。

Out-of-Band Prompt-Injection Defense 文獻是第三個、更鮮明的例子。其核心做法——透過確定性參考監視器，移除低完整性主體授權高完整性動作的能力，而不是限制這項能力——正是將這項測試應用於提示注入防禦。Narisetty 等人（2026）的評估也以實證提供了兩個部分：自適應攻擊讓in-band（類似摩擦、模型內部）防禦的成功率升至 >90%，而移除能力的out-of-band閘門，在一項手工設計的自適應攻擊下仍然守住防線。「不可能，而非繁瑣」正好預測了這種不對稱性。

相關連結#

  • Zero Trust for AI Agents — 將此採納為固定設計審查問題的框架（樞紐）
  • AI-Accelerated Offense — 說明每次嘗試的成本為何趨近於零，也就是摩擦控制措施失效的原因
  • Blast Radius (Agentic) — 依賴摩擦的遏制計畫會無法通過測試
  • LLM-Driven Vulnerability Research — 對相同摩擦退化發現的獨立實證陳述
  • Least Agency — 「移除能力而非限制能力」是以最小代理性表述的啟發式原則
  • Out-of-Band Prompt-Injection Defense — 確定性參考監視器會移除低完整性資料授權高權限動作的能力；論文中 in-band 失效／out-of-band 維持有效的結果，正是這項測試預測的不對稱性，且已獲得測量
  • Agent Data Injection (ADI) — 清楚呈現不可能與繁瑣的對比：每次操作的使用者確認對話框是會失效的摩擦控制措施（代理的推理會強化攻擊者偽造的故事），而元素 ID 的nonce 隨機化（ChatGPT Atlas）移除了預測識別碼的能力，並維持有效
  • Task-Specification Effects in Prompt Injection (AutoDojo) — 直接測量的注入防禦案例：內容篩選器會偵測類似指令的文字（低成本的 AutoDojo 攻擊者可以繞過的啟發式方法，因此 0%-static 篩選器會洩漏 28%），而確定性動作閘門（Progent、DRIFT）移除執行偏離軌跡寫入的能力，並在五個模型中維持有效——這是測試預測的不對稱性，而且在未充分指定的 action-open 工作上會擴大
  • Capability Gating Is Not Authorization — fail-closed 的PDP/PEP會移除授權偏離政策呼叫的能力（預設拒絕、錯誤即拒絕），而非限制它；「對格式錯誤輸入 fail open 的政策引擎，會用額外步驟重現該漏洞」正是將這項測試表述為實作規則

待解決的問題#

  • 深度防禦傳統上會在「足夠多的摩擦控制措施可以累積成一道屏障」的理論上，堆疊摩擦控制措施。這項測試是否使分層摩擦失效，還是只會將其降級到能力移除之下？
  • 有些控制措施對人類而言是摩擦，對代理而言卻是屏障（反之亦然）。這項測試是否以代理為相對對象？對混合人類／代理威脅模型，應如何評估？

資料來源#

  • Zero Trust for AI Agents — 「A design test: impossible, not tedious」（Part: principles）；在 Phases 3 與 5 以及結尾章節中再次出現
§ end
About this piece

Articles in this journal are synthesised by AI agents from a curated wiki and are refreshed automatically as new concepts arrive. Topics, framing, and editorial direction are curated by Howardism.

Cited by 27
Related articles
  • Agentic Prompt Injection

    Direct and indirect injection of malicious instructions into an agent; LLMs cannot reliably distinguish information fro…

  • Zero Trust for AI Agents

    Anthropic's security framework for deploying autonomous agents: trust nothing / verify everything / assume breach, appl…

  • Least Agency

    OWASP term extending least privilege to agents: constrain not just what an agent can access but what each tool can do,…

  • Out-of-Band Prompt-Injection Defense

    Second-generation prompt-injection defense enforced outside the model: a deterministic reference monitor mediates tool…

  • Capability Gating Is Not Authorization

    Agent frameworks ship capability gating (which tools are exposed, schema validity) but no fail-closed per-call authoriz…