一篇新论文提出了一个让自主智能体开发者不安的结论：如果智能体在多次迭代之间保留记忆，那么它的安全系统就不能在迭代之间“失忆”。论文标题为“安全不组合：自主大语言模型智能体的非衰减循环状态”（Safety Does Not Compose: Non-Decaying Loop State for Autonomous LLM Agents），核心观点是，长周期智能体的安全无法被简化为反复运行一条安全的短周期轨迹。 **为什么单步安全不够用** 论文给出的关键机制在于，攻击者可以把恶意证据拆分成多个单独看起来无害的步骤。每一步单独检查都像正常操作，但拼在一起才构成攻击。如果监控系统只看单条轨迹，它永远看不到足够的上下文，也就无法把攻击和正常工作区分开。 这意味着，一个在短周期内被验证为“安全”的智能体，放到长周期任务里并不自动安全。安全属性不具备跨迭代的可组合性——每一步安全，不代表整体安全。 **“非衰减循环状态”指什么** 论文用“非衰减循环状态”（Non-Decaying Loop State）来描述智能体在循环迭代中必须持续保留、不能随时间衰减或丢失的上下文信息。这里的“循环状态”指智能体在多次迭代循环中累积并携带的内部状态；“非衰减”强调这种状态不能像普通缓存或短期记忆那样被逐步遗忘或覆盖。如果安全监控依赖的状态发生衰减，攻击者就可以利用信息缺口，把恶意证据分散到足够长的时间跨度中，使任何单点检查都无法还原完整攻击链条。因此，非衰减循环状态是长周期安全监控能够识别跨步骤攻击的前提条件。 **对现有安全监控的挑战** 当前很多智能体安全方案依赖轨迹级监控，即对单次执行路径做检查。但论文指出，这种监控在长周期场景下存在结构性盲区。因为恶意证据被分散到多个步骤后，任何单步检查都只能看到局部，无法还原完整攻击链条。 这给开发者提出了一个具体问题：安全系统需要记住什么、记多久、以什么形式保存，才能在不牺牲效率的前提下捕捉跨步骤的恶意模式。论文没有给出简单的工程答案，但把“安全不组合”这个性质明确摆上了桌面。 **一个需要重新审视的假设** 过去业内倾向于把长周期任务拆成多个短周期片段，逐段验证安全。这篇论文的结论是，这种拆解在安全属性上并不成立。长周期智能体的安全需要新的监控架构，而不是把短周期监控重复跑很多遍。 论文信息：该论文发布于2026年8月31日凌晨3:29，截至发布时已有903次浏览。论文编号在原文中显示为“arxiv.org/abs/2608.27141”，但该编号对应的年份“2608”并不存在，应为明显的编号异常或笔误，读者在检索时需注意核实。
热门跟贴