复旦大学研究深入剖析了智能体应用的安全现状，发现其漏洞普遍且严重，CVSS平均分高达7.89，74.1%为高危或致命级。研究指出，注入型漏洞，特别是代码注入，是智能体应用中最普遍且危害最大的漏洞类型。漏洞根源多与大模型输出未经过滤直接传递给敏感工具、RAG模块处理不当以及对不可信外部资源过度依赖有关。开发者在修复漏洞时面临安全与功能间的艰难权衡，如Langflow、LlamaIndex等项目开发者就因难以设计可靠防护、功能影响等问题而犹豫。缓解策略包括安全警示、功能下线、规则过滤等，但近半数漏洞未被有效修复，缓解有效性仅为73%，暴露出当前缓解措施的不足。

🚨 **严峻的漏洞态势与主要威胁：** 智能体应用面临着普遍且严重的漏洞问题，平均CVSS评分高达7.89，超过七成被评为高危或致命。其中，注入型漏洞，尤其是代码、命令和SQL注入，是危害最严重的类型，代码注入更是智能体应用中分布最广、最危险的漏洞。这严重阻碍了智能体应用的规模化落地。

🛠️ **多样的漏洞根因与开发者权衡：** 智能体应用中的独特漏洞根因主要集中在工具模块集成不当、大模型输出未过滤直接传递给工具、RAG模块处理多样化数据时忽视安全隐患，以及对不可信外部资源的依赖。开发者在修复这些漏洞时，常需要在保障安全与维持功能之间做出艰难的权衡，例如担心修复代码执行漏洞会影响智能体正常功能。

⚖️ **缓解策略的挑战与有效性困境：** 开发者普遍采取了安全警示、功能下线、规则过滤等多种缓解策略，其中“规则过滤或检查”因成本效益高而最为常见。然而，研究发现近一半的漏洞未被正确缓解，即使采取了实质性措施，缓解有效性也仅为73%。这主要归因于弱缓解措施的过度依赖、过滤规则易被绕过，以及将安全责任转移给用户配置等问题。

💡 **未来发展方向与责任划分：** 智能体的开放式设计模糊了漏洞与正常功能的边界，需要政府与行业合作制定标准，明确安全内涵与主体责任。开发者应转向开发功能明确、边界清晰的细粒度工具，并重视配置安全，开发辅助工具帮助用户生成兼顾安全与功能的配置建议，同时对高风险设置进行告警。

原创 申卓祥，黄宗安 2025-10-29 13:45 上海

近日，复旦大学系统软件与安全实验室的最新研究对智能体应用当前的漏洞现状、漏洞根因以及开发者的缓解实践进行了系统性地评测调研，揭示了智能体应用当前漏洞态势的严峻性，以及开发者在漏洞缓解过程中对于安全和功能的艰难权衡。