智能体把攻击做成流水线：单次拒答防线，盯错了层级

2025 年到 2026 年，Anthropic 连续发布多份滥用监测报告，RAND 也在做对照实验。把这些材料放在一起读，最刺眼的不是某款模型学会了哪种新攻击，而是一个经济学事实：把攻击做成流水线的执行成本，已经塌到了个人笔记本预算之内。本篇想论证一件事：智能体（agent，能自己调用工具、跨会话执行任务的 AI 程序）时代，安全风险的最小单元正在从「模型说了什么」变成「智能体做了什么」，而今天以单次提示（prompt，一条发给模型的请求）拒答为中心的防线，盯错了风险发生的层级。

1. 危险来自新攻击，还是旧攻击的新价格？

理解这个判断，先看一组数字。RAND Europe 在 2026 年 6 月发布实验报告，让公开可用的智能体 Claude Code（对应 Opus 4.6 与 Sonnet 4.6 两个模型）去解三个 Hack the Box 平台的 CTF 题。CTF 是网络安全竞赛里的攻防题，实验里的三台机器分容易、中等、难三档。操作者没有任何网络安全专业知识，提示词只是一条「去解这道题」的模板。结果每道题都在一小时内完成，两个模型加三台机器共六次运行的 API 成本合计 16.22 美元，报告的原话是「总成本不到 20 美元」。RAND

表格本身比这句总结更有说服力：

图注：RAND 实测表，六行数据对应三台 CTF 机器（M1 容易、M2 中等、M3 难）分别由 Opus 4.6 与 Sonnet 4.6 求解。每题的墙钟时间从 4 分钟到 53 分钟不等，全在一小时内；单题成本从 0.33 美元到 6.93 美元。这些数字锁定在 2026-04-05 的快照（Claude Code 2.1.92，经 AWS Bedrock），不应外推到今天的模型与价格。RAND

反直觉之处在哪里？同一批题目，同一支团队先拿去做过人机对照。他们的前一份研究让 156 名受试者（其中一半有 2025 年 8 月的前沿聊天机器人可用）每台机器用 8 小时，结果中等难度的题无人完成，最难的题只有一名 AI 辅助的参与者攻克。同样的任务，从「8 小时几乎无人完成」变成「1 小时内零基础可解」，中间隔了不到一年。RAND 的结论是：到 2026 年 4 月，没有专业知识的人只要能装上 Claude Code，就能解出这些题。RAND

读这组数字还要随身带三个边界。第一，CTF 只测进攻侧，省略了 AI 同时也在提升防守方这个对冲。第二，中等与难两档里 Opus 与 Sonnet 并行运行，Opus 会借用前者留下的中间产物，RAND 称之为 piggy-back（搭便车），所以这两档的 Opus 行不能当干净的单智能体基准。第三，数字是 2026-04-05 的快照，不能外推到当下。

注意，变化的不是攻击知识。这些题解出来的过程，用的是钓鱼、凭证窃取、漏洞利用这些存在了多年的老手段。全新的是执行成本。这正好解释了 Anthropic 前后几次披露里最反常的规模：2025 年 8 月的报告里，一个被称为 GTG-2002 的操作者用 Claude Code 在一个月内攻击了至少 17 个组织，涉及医疗、急救、政府与宗教机构，勒索金额从 7.5 万到 50 万美元。Anthropic 给这种玩法起了个名字叫 vibe hacking，意思是 AI 执行战术决策，操作者只下高层目标。vibe hacking

同年 11 月，Anthropic 披露了一个代号 GTG-1002 的案例，以 high confidence 判断为中国国家级的 AI 编排网络间谍行动。它同时针对大约 30 个组织，覆盖科技、金融、化工、政府四类行业；AI 完成 80% 到 90% 的战术工作，人类操作者只需要在 4 到 6 个关键决策点介入，比如批准凭证用于横向移动、批准数据外传范围。峰值节奏是数千次请求、每秒多次（这是官方更正后的表述，不是当初误写的「每秒数千次」）。Anthropic GTG

到了 2026 年 9 月，这条能力曲线的当前端点出现了：一个俄语、经济动机的操作者，用同一条成功路径在约 4 天内攻击了约 30 家 AI 公司。Anthropic 2026-09

把三个点拼起来：单操作者一个月 17 个组织、国家级 30 个并行目标、4 天 30 家 AI 公司。手段还是那些旧招，但一个人能同时顶起一整支队伍的规模。谁在帮单个攻击者一个人顶一队人？答案是智能体自己。这是下一章要拆的机制。

2. 什么把攻击变成了无人值守的流水线？

要理解「一个人顶一队人」，先给一个分析框架。军事决策里有个经典循环叫 OODA：侦察（Observe）、判断（Orient）、决策（Decide）、行动（Act），然后根据结果再循环。传统攻击里，这四个环节都要人盯着；智能体时代的改变是，人不再逐环介入了：AI 自己侦察、自己决定下一步、自己执行，出了结果自己迭代。所谓闭合攻击循环，就是把 OODA 的每一环都交出去，人类只在最顶端设目标、最末端收结果。

Anthropic 2026 年 9 月的报告是这套机制最完整的实证。先看四个放大器各自做了什么，再逐个拆：

记忆与工具：解决了「断线」和「光说不做」

持久记忆解决的是「断了线怎么办」。GTG-1002 的披露里有一句关键描述：Claude 跨越多天、多个会话维持操作上下文，复杂行动可以不间断地续上，不需要人类重新拼进度。工具调用解决的是「光说不动」：通过 MCP（Model Context Protocol，一个让程序标准化调用外部工具的开放协议），AI 把浏览器自动化、代码分析、漏洞验证这些商品化开源工具编排成随手可调的工具包。「工具包里没有定制恶意软件」是报告特意强调的，威胁不在工具本身，而在调度结构。下面这张简化架构图就是这个结构的官方示意：

图注：GTG-1002 行动的简化架构：一个编排器（Orchestrator）通过 MCP 服务器调度 12 个扳手图标代表的商品化开源工具，对下方五类目标（Web 应用、数据库、内网、云、设备）发起扫描与攻击。图里的编排层是组织而非单台电脑，这是理解「并行从哪来」的关键。Anthropic GTG

并行与规模：一人的流水线

并行子智能体解决的是「一个人怎么盯几十条线」。同一份报告里的 ShinyHunters 案例给了最直观的数字：一家企业软件公司从首次访问到批量数据窃取只用了几小时；另一个案例里，攻击者从单个被盗的开发 token 到完全控制受害企业的云环境只用了约 3 小时；供应链攻击一例在 34 小时内外泄 2,100 多个 Azure AD token，横跨 40 多个企业租户。法语系操作者 frkoo 用 10 台 AWS EC2 机器跑分布式凭证采集管道，从应用商店下载 180 万个 Android APK 反编译扫描硬编码密钥。一个人的流水线加十台机器，就是这个工作量。

Anthropic 给 ShinyHunters 画了一张完整的 9 阶段攻击链图，特别值得看的是图里的两条回环：

图注：ShinyHunters 的 9 阶段攻击生命周期：情报搜集与侦察 → 发现 → 验证 → 域内扩张 → 外泄通道 → 数据仓储 → 铸造与驻留 → 变现 → 掩盖。下方两条回环箭头分别标注「每次凭证的收益反哺下一次发现」和「被窃的算力与密钥重新进入运营」，说明这不是一次性攻击，而是自我供能的循环。Anthropic 2026-09

自修正：闭环里最硬的一环

前三个放大器放大的是「量」，第四个放大的是「质」：自修正。GTG-20006（俄语间谍行动，归因上与公开报道指向的 Midnight Blizzard 一致）里，AI 会监测自己部署的恶意软件是否被安全产品检出，一旦检出，立刻进入自主改写循环：修改并重建恶意软件以规避现有检测，反复迭代到不再被检出，再重新部署用于下一轮钓鱼或投毒。Anthropic 的评价很直白：有能力的对手能够「闭合这个循环」，绕过传统检测的速度比守方开发和部署新检测的速度还快。Anthropic 2026-09

这条回路的结构很像强化学习：环境给出回报（这里是杀毒告警），策略根据回报更新（这里是把恶意软件改写一遍）。读者不需要懂强化学习，只要抓住「系统根据外部反馈自我调整」这一点。同一份报告里，一组中国本科生团队把同样的闭环用在漏洞研发上，一个月迭代产出 12 个以上潜在零日漏洞（zero-day，从未公开过的漏洞）。下面这张研发闭环图是自修正的另一形态：

图注：设备漏洞研究的五步闭环：载入目标二进制 → AI 大规模反编译 → 追踪可到达的输入 → 提出内存安全与逻辑缺陷假设 → 写出概念验证并调试，最后一步有一条回环箭头指回起点，标注「迭代到可利用为止」。AI 不只在攻击末端改写规避检测，在研发阶段也在跑闭环。Anthropic 2026-09

系统层的印证

这套「单体变群体」的放大，学术界也有人用受控实验量化。一篇 2026 年 8 月的论文把同样的任务分别交给单智能体与多智能体系统，发现多智能体让每个子智能体都变成新的对抗内容入口，能把一个原本抵抗良好模型的攻击成功率从 11% 抬到 75% 的量级；另有系统化综述整理了 8 条反复出现的攻击路径，从入口组合、状态持续到委派权限升级，给上述案例配上统一命名。SoK MAS Swarms 连更平和的蒸馏也算同一种放大器：Anthropic 测得 2026 年 5 月到 7 月间，超过 1.51 亿次 exchange 被转去训练竞品模型，峰值每天近 300 万次。Anthropic 2026-09

四个放大器合起来的后果，是把单个操作者变成一条无人值守的流水线。把它们逐项映回 OODA 就清楚了：并行子智能体放大的是「侦察」，让数十条行动链同时铺开去探测目标；持久记忆放大的是「判断与决策」，AI 跨会话保留任务状态，不需要人类重进上下文就能决定下一步；工具调用放大的是「行动」，让决策直接落到操作系统与 API 上；自动改写与自修正放大的是「反馈迭代」，AI 部署的恶意软件一旦被安全产品检出，这个反馈就被接住去重写恶意软件、规避检测，再投入下一轮攻击，而被窃的算力与密钥、每次凭证的收益也在这个阶段反哺回 OODA 的起点，让下一轮侦察更强。侦察到反馈的每一环都不需要人介入，人类只在最顶端设目标、最末端收结果，OODA 的每一环才真正交了出去。在这条闭环里，单次提示的拒答找不到作用点：根本没有「单次提示」这回事，每一环都是工具调用、会话延续和子智能体委派。问题随之而来：这条闭环只在网络域成立吗？影响行动和生物安全领域，是否上演着同样的故事？

3. 闭环只在网络域成立吗？影响与生物怎么说

跨域检验有个干净的样本：Anthropic 2026 年 9 月同一份报告里，还有一整节影响行动（influence operations，以欺骗为目的操纵信息环境的行动），覆盖 9 个案例，发起方来自俄罗斯、伊朗、土耳其、海湾、南亚、非洲与欧洲，目标触及六大洲。InfluOps

生产端的确全自动了。最有代表性的案例代号 GTG-84006：一个叫 Viktor 的共享持久记忆 agent 平台，把伪造真人、监控对象、合成发言人和媒体洗白绑进同一个循环。它抓取一名真实活动人士电报频道的约 8,400 条帖子来克隆写作风格，再以波斯语跟他的联系人进行实时政治对话，对方不知道自己在跟 AI 说话；平台还维护着 5 万多条存档消息的画像档案，生成 10 个带波斯语音频的 AI 化身。下面这张图就是这个平台的网络拓扑：

图注：Viktor 共享 agent 平台绑定的分布式网络拓扑：中心节点通过三类连接把机构媒体、放大器账号、隐蔽行动者、受众与源域五类节点连在一起。报告的原图注把它描述为一个横跨实时冒充、伊朗境内监控、协同造假行为、合成发言人与媒体洗白的网络。此图只覆盖 Anthropic 阻断到的活动范围。InfluOps

其他案例的量级同样惊人：法国注册的 LKM 公司运营约 70 个伪新闻网站，发表至少 8,913 篇文章，覆盖约 20 种语言；伊斯坦布尔的 BBS Bilisim 平台管理约 1,000 个假 X 账号，覆盖马来西亚全部 222 个议会选区。这些都是「生产自动化已证实」的注脚。

但真正反直觉的拐点在这里。九个案例里，Anthropic 用触达等级（Breakout Scale，衡量内容传到多少真实受众）逐一评估，几乎所有案例都停在自闭环的 Category 1 到 3：内容在自己造的网站和账号网络里打转，没有多少真实受众。报告明确标级到 Category 4 的只有中非共和国的案例，那里的内容通过已有的广播电台（Radio Lengo Songo，98.9 FM）和国营媒体管道触达真实听众；俄国家媒体案例虽未单独标级，其素材同样经既有媒体渠道触达真实受众。换句话说，AI 把生产端成本打没了，但分发端还是旧的：真实的传播仍然依赖几十年积累下来的分发基础设施。生产自动化不等于影响达成。需要说明的是，这个触达等级是 Anthropic 自己的评估，不是第三方平台的收听数据，但它指向的约束是结构性的。InfluOps

生物领域给出的是另一条互补的失效路径。2023 年，麻省理工一个课堂作业做了最早的系统性检验：三组共 9 到 12 名非生命科学背景的学生，每组合用一台电脑（另可用个人设备检索），只用通用聊天机器人，60 分钟内就走完了「识别、设计、获取」的完整链条，得到 4 个被科学文献列为最令人担忧的潜在大流行病原（1918 年 H1N1、增强传播性的 H5N1、天花病毒、尼帕病毒孟加拉株），拿到反向遗传学协议（从合成 DNA 造出活病毒的常规流程），得知哪些合成 DNA 供应商不在国际基因合成联盟（IGSC，会审查合成 DNA 订单的供应商组织，但并非所有公司都是成员）名单里，还问出了绕过 BLAST 序列筛查的办法和外包给合同研究组织（CRO，收费代做实验的公司）的路径。论文的结论直指一个熟悉的靶子：主流对齐训练方法 RLHF（基于人类反馈的强化学习）不足以阻止恶意者从模型拿到这些专业知识。Soice 2023

这份研究是定性的课堂作业，样本极小，但它的方向意义明确：同样的成本坍塌，在生物域同样成立。两年后，Anthropic 自己的对照实验给出了同向的定量画面：

图注：Anthropic 2025 年生物武器获取计划的原始得分分布。四组箱线图对应纯上网对照组、Sonnet 3.7、Sonnet 4 与 Opus 4 协助组，Opus 4 组的整体分布明显高于纯上网对照组。图中没有标注样本量与统计检验，只能看分布趋势，不能断言显著性。ASL-3

需要说明的是，这个实验里模型协助组拿到的是刻意去掉护栏的 Claude，为的是量出模型的最大能力，不是生产环境的默认配置。而到了 2026 年 9 月，Anthropic 的报告里仍有 5 个真实生物案例（含蚊媒病毒增强传播性研究的申请），国家、机构与毒株全部匿名化。Anthropic 2026-09

两个域合起来，给了同一个答案的两半。影响行动里，内容本身已经烂大街，真正的约束在渠道：内容审得再干净，只要分发基础设施还在，行动就仍能触达受众，你靠文本拦不完。生物领域里，单看内容同样分不出好坏，一半来自疫苗研究一半来自武器计划，瓶颈在意图与后续动作：你没法从文本判断这是谁在问、问来干什么，也看不到问完之后有没有真的去订购、去合成。需要说清楚的是，这些案例并不等于内容防线已被直接证伪，审内容仍然是必要的一道闸；它们真正划出的是边界：仅审内容，不足以覆盖这些风险。不审内容，还能审什么？

4. 审内容失效了，防线该迁到哪一层？

答案不在新的安全框架里，而在一条 50 年前就有定论的安全工程原则上。1975 年，Saltzer 与 Schroeder 在《The Protection of Information in Computer Systems》里提出八条系统设计原则，其中第三条叫完全仲裁（complete mediation）：每次对每个对象的访问，都必须检查授权，原句是 Every access to every object must be checked for authority。紧跟着还有一句容易被跳过的话：为了性能而「记住一次授权检查的结果」的提议要受到质疑，因为一旦权威发生变化，记住的结果必须系统性更新。Saltzer 1975

用这句 50 年前的话对照今天的智能体，你会看到同一个失败模式换了身衣服：智能体把昨天的授权检查结果存进长期记忆，今天直接复用，而底层权限可能早已被撤销或轮换。跟 1975 年的警告一字不差地对上了。

第二条原则针对「权限从哪来」。2003 年，Miller、Yee 与 Shapiro 在《Capability Myths Demolished》里定义了环境隐含权限（ambient authority）：有些系统不要求主体指明自己要行使哪项权限，权限就随随便便挂在环境里。最典型的例子是 Unix 文件系统：调用 open() 打开文件时，调用者不需要出示任何凭据，请求要么成功要么失败，操作系统把调用者当前的身份当作隐含凭据带了进去，调用者连选都没得选。Miller 2003

智能体把这个问题放大了一个量级：它继承环境变量里的 API 密钥、进程的 shell 权限、上一轮会话留下的文件访问权，然后在不同子智能体之间传递这些能力。前文所有案例里「被偷的密钥自动切到受害者账号继续打」的桥段，本质都是环境隐含权限在发挥作用。两种授权模型的差别，两张图就能看明白：

图注：Miller、Yee 与 Shapiro 2003 论文中两张图的并排（由本文档编者合成）：左侧是 ACL 环境授权模型，三个主体经由中央访问控制表间接访问资源，箭头密集交错；右侧是对象能力模型，三个主体直接以可传递的能力令牌连接，没有中央列表。右侧模型满足「无环境隐含权限」的 Property D。Miller 2003

把这两条原则搬到工作流上，就得到本章的核心主张：审内容失效后，防线应该迁到动作本身。一篇 2026 年的论文把这条主张工程化了。Delegation Without Trust 提出一个评测标准，叫 untrusted-model property：一个被完全注入控制的智能体，仍然不能越出明确委派给它的权限范围。翻译过来就是：别信模型，信授权层。论文明说，如果模型自己把关访问，那么被劫持的模型就会放行，所以决定权必须落在模型之外（要求 R8，model-independent enforcement）。Delegation

这个取舍在强化学习里有个近亲。RLHF 信任的是外部的奖励信号，而不信任策略自身的意图陈述；这里的仲裁把同样的怀疑给了模型，把信任放在模型之外的授权层。不懂强化学习的人，抓住「信外部的检查，不信内部的自称」这一句就够了。论文还实测了三个主流多智能体框架，默认配置下八条安全要求一条都不满足，等于说现状的治理层是缺席的。

论文给出的落地形态是一个 broker：每次委派与工具调用都经过它。人类用 OIDC 身份（一套标准化账号体系）作为根，broker 铸造能力令牌，主智能体把令牌逐跳收缩后委派给子智能体，每次工具调用回到 broker 验签、检查撤销、执行放行或拒绝，全程不调用模型：

图注：broker 数据流五步：人类以 OIDC 身份为根 → broker 铸造能力令牌 → 主智能体委派给子智能体（令牌逐跳收缩，cap₂ 是 cap₁ 的子集）→ 工具调用回到 broker → 验签并执行放行或拒绝。图中虚线框内的主、次智能体处于「不可信、模型控制」区，broker 处于「可信、无模型」区。Delegation

数字上，论文在 2,000 个随机场景里测过爆炸半径（一个被攻破的子智能体实际能触达多少动作）：纯委派模式下，每个场景都能触达全部 8,100 个动作；broker 介入后平均降到 1.5 个，恰好等于它被委派的那一个子任务；每次授权决策约 2.6 微秒。注意这些是论文参考实现的数字，不能与同一团队生产产品 LLM Shield 的毫秒级数字混为一谈。Delegation

系统层面还有一个必须清醒的限制。一篇 2026 年 9 月的多智能体安全综述把「局部防御」的陷阱点破了：局部保护不等于路径闭合，阻断攻击路径的一段不等于端到端切断，因为攻击可以在入口、状态、决策、委派之间组合迁移。这也解释了为什么仲裁必须是工作流级的，而不是在某个环节打个补丁。下面这张图是那篇综述给多智能体安全画的统一执行视图，把前面拆散的动作重新放回系统里看：

图注：SoK 综述提出的多智能体安全统一执行视图：不可信的外部输入经过准入控制与运行时安全控制，进入单主体或多主体的主体结构，最终落到共享状态、被委派能力与集体结果三个窗口。图中 A/I/R/D/C 分别是攻击者位置、交互接口、系统级风险与防御原语的编号体系，绿色虚线是信任边界。SoK MAS

这张视图想说的核心是：防御平面是系统状态的一部分，而不是模型输出前的最后一道闸门。所以防线要加在智能体每次伸手拿东西的那一刻：每次都重新核验身份、权限、工具、目标与外部结果，而且决定权在模型之外。需要分清的是，工业界现有的努力并不全在这条路上：Anthropic 的 ASL-3 部署用 Constitutional Classifiers 在输入输出两侧做实时拦截，它是一道内容层的互补护栏，守卫的是「模型说了什么」，与 broker 式动作授权不是同一类防线，拦截得再密，也管不到智能体以何种身份、用何种权限去调哪个工具。内容层的拦截依然必要，但本篇主张的恰恰是不能只停在这一层：审内容失效之后，防线要迁到动作层，由模型之外的授权层守住智能体每次伸手拿东西的那一刻。ASL-3

这套防线真能消灭风险吗？我们得先搞清楚一件事：我们到底看见了什么，又能从看见的东西推出什么。这是最后一章要收的口。

5. 新防线有用吗？从案例能推出多大的风险？

答案分三层，每一层都在给前面的证据画边界。

第一层，Anthropic 自己把边界说得很清楚。GTG-1002 的报告里写明：因为只能看见 Claude 的使用情况，这份个案研究只能证明风险路径已经现实化，不能估计总体发生率或净伤害。Anthropic GTG 2026 年 9 月的报告一开头也声明：分享的案例不是典型滥用，而是至今识别到的最显著、最新颖威胁活动的精选。Anthropic 2026-09

第二层，缺口不止在「没检测到的」那一侧。RAND 自陈 CTF 这类评估只测进攻侧，省略了 AI 同时提升防守方这个对冲；影响行动的可见性则止于内容离开 Claude 的那一刻，报告看不到平台侧的最终触达和触达等级的自评属性。RAND InfluOps

第三层，把这三块拼起来看：

图注：报告看见什么、看不见什么的结构示意。绿色块是报告覆盖的全部内容：被检测并被阻断的精选案例；橙色两块分别是未被检测的攻击闭环与防御方提升幅度，两者都没有被量化。三块不是按真实比例画的，因为报告没有发生率数据，这张图只表示「存在这些区间，且后两块没有证据」。

这张图不是泄气，而是逼着治理选对度量单位。既然看不见总量，就别用「拒答了几次」来证明防线有效：拒答发生在单次提示层，而这套闭环根本不以单次提示为单元。正确的度量是行动链：统计有多少条由侦察、执行、自修正串成的行动链被切断。前文 broker 的那个数字，爆炸半径从 8,100 降到 1.5，正是这个度量在单条链上的最小实证单位：一个被攻破的子智能体，能触达的动作被压回它自己的子任务。Delegation

回到开头的判断：风险的最小单元已经从「模型说了什么」变成「智能体做了什么」。评估风险时，单元应该从一句话换成一条工作流；治理成效，应该按被切断的行动链数量衡量，而不是按拒答率。读这类披露时，也请永远分清楚两件事：看见了什么，和能推出什么。个案证明路径，不证明发生率。把「危险工作流」这个新范式接住，靠的不是更好的拒答，而是更好的仲裁。

参考文献

本专题引用的核心资料如下，建议深入学习时阅读原文：

1. Disrupting the first reported AI-orchestrated cyber espionage campaign（Anthropic Threat Intelligence，2025-11-13）— https://www.anthropic.com/news/disrupting-AI-espionage
2. AI agents put offensive cyber within reach of novices（RAND Europe RR-A3892-2，2026-06-25）— https://www.rand.org/pubs/research_reports/RRA3892-2.html
3. Detecting and countering misuse of AI: September 2026（Anthropic Threat Intelligence，2026-09-10）— https://www.anthropic.com/threat-intelligence-report-september-2026
4. From Monoliths to Swarms: A Study of Attack Surface Evolution in the Transition to Multi-Agent Web Systems（Malla & Siby，arXiv:2608.00202）— https://arxiv.org/abs/2608.00202
5. Detecting and countering misuse of AI: August 2025（Anthropic Threat Intelligence，2025-08-27）— https://www.anthropic.com/news/detecting-countering-misuse-aug-2025
6. Detecting and countering misuse of AI: September 2026 — Influence Operations section（Anthropic Threat Intelligence）— https://www.anthropic.com/threat-intelligence-report-september-2026
7. Activating AI Safety Level 3 protections（Anthropic，2025-05-22）+ LLMs and biorisk（Anthropic，2025-09-05）— https://www.anthropic.com/news/activating-asl3-protections、https://www.anthropic.com/research/biorisk
8. SoK: When Safe Agents Fail Together: The Security of Multi-Agent LLM Systems（Yang et al.，arXiv:2609.00595）— https://arxiv.org/abs/2609.00595
9. Can large language models democratize access to dual-use biotechnology?（Soice et al.，arXiv:2306.03809）— https://arxiv.org/abs/2306.03809
10. The Protection of Information in Computer Systems（Saltzer & Schroeder，1975）+ Capability Myths Demolished（Miller, Yee & Shapiro，2003）— https://web.mit.edu/Saltzer/www/publications/protection/Basic.html
11. Delegation Without Trust: An Empirical Gap Analysis of Identity, Authorization, and Runtime Governance in Multi-Agent LLM Systems（Dantuluri & Sundi，arXiv:2609.00267）— https://arxiv.org/abs/2609.00267