文章总结： 阿里AI红队提出REALMatrix三维坐标系，基于49款产品133条漏洞分析，将Agent风险锁定为根因、影响、位置三个维度。该体系支持以Agent测Agent的自动化红队实践，实现从分类到治理的闭环，并指出安全重心需随Agent自主性从挡向围和盯迁移。 综合评分： 90 文章分类： AI安全,红队,漏洞分析,安全建设,实战经验
REAL智能体统一风险矩阵与自动化红队实践
安全进化论
2026年8月3日 15:00 广东
在小说阅读器读本章
去阅读
ALIBABA AI RED TEAM
REAL 智能体 统一风险矩阵 与自动化红队实践
当 AI Agent 出了事，怎么分类、怎么测、怎么治
演讲人：阿里 AI 红队负责人 — 宋奇钊（胖錿） AiCon · 全球人工智能开发与应用大会
行业不缺风险清单， 缺的是能分类、能测、能治的统一坐标系。
AI 红队收集了 49 款产品的 133 条公开漏洞，风险仍在急剧增长。面对千变万化的 Agent 攻击形态，阿里提出了 REAL Matrix——一个三维坐标系，把风险锁定到「根因 × 影响 × 位置」，让攻击形态再怎么变，坐标系不用改。
▎ABOUT THE TEAM
阿里 AI 红队：国内最早系统性开展智能体安全研究
阿里巴巴人工智能治理与可持续发展研究中心（AAIG）是阿里巴巴集团旗下 AI 顶级研发团队。AI 红队是 AAIG 专攻 AI 安全攻防的核心团队，在主流 AI 产品中持续发现重大安全漏洞，成果发表于多个权威安全与 AI 顶会，并深度参与国家 AI 安全标准制定。
100+ 顶会论文 60+ 专利授权 4 大载体全形态攻击面 Cloud · Mobile · Desktop · Hardware
▎CONTENTS
01 为什么需要体系化 现有方法局限 · 统计数据 · 紧迫性
02 REAL Matrix 三维坐标系 R×E@L · 16 格 · Agent≠Chatbot
03 实战分析 横向扩散 · 纵向穿透
04 从矩阵到自动化红队 以 Agent 测 Agent · 安全水位度量
05 发展曲线与展望 挡→围→盯 · 趋势信号
01 WHY SYSTEMATIC
为什么需要体系化？
49
款产品收集
133
条公开漏洞
↑↑↑
风险急剧增长
从制造 Token、运输 Token 到消费 Token，每一层都在被打穿。行业里有各种各样的风险清单，但问题是——这些清单能不能分类？能不能测？能不能治？
💡 经纬度只有两个数字，却能定位地球上任何一个点。 我们需要类似的东西——把千变万化的 Agent 风险，锁定到三个维度。
02 REAL MATRIX
REAL Matrix：三维坐标系
一个坐标系，回答三个问题：根因（R） × 影响（E） @ 位置（L）
R×E@L
R · Root Cause
因为什么
E · Effect
造成什么影响
L · Location
发生在哪里
R 维度 — 根因（为什么出事）
R1 注入 60 条 · 最高频
R2 幻觉 11 条
R3 基建 56 条 · 第二大风险面
R4 滥用 6 条 · 治理层问题
E 维度 — 影响（出了什么事）
| | | | | — | — | — | | E | 类型 | 数量 | | I | 完整性 | 101 (62%) | | C | 机密性 | 47 | | A | 可用性 | 1 | | S | 无害性 | 13 |
L 维度 — 位置（在哪出事）
| | | | | — | — | — | | L | 层级 | 数量 | | L0 | 基建 | 69 | | L1 | 交互 | 52 | | L2 | 认知 | 10 | | L3 | 执行 | 66 |
▎核心发现
▸
R1 注入 + R3 基建 = 87%，两大主风险面；R1.2 间接注入（35 条）最高频
▸
I 完整性占 62%，说明攻击者追求的是代码执行 / 控制权
▸
L0 + L3 = 69%：主战场在运行环境与工具调用两端
R × E 交叉矩阵：外部漏洞 vs 内部实战
★ = 实测高频高危；△ = 系统无缺陷，治理层问题
| | | | | | | — | — | — | — | — | | R\E | C 机密性 | I 完整性 | A 可用性 | S 无害性 | | R1 注入 | ★ 注入诱导 Agent 吐出凭据 | ★ 注入劫持 Agent 篡改 | 注入触发死循环 | 越狱 / CBRN payload | | R2 幻觉 | 幻觉虚构依赖包名致被窃 | 幻觉虚构参数致 Agent 写坏数据 | — | ★ 偏差致自伤教程 | | R3 基建 | ★ 未鉴权致凭证批量暴露 | ★ 未授权操控致系统被控 | API Gateway / 中间件漏洞致 DoS | — | | R4 滥用 | △ 员工指令 Agent 文档外发 | △ 用户指令批量删数据 | △ 刷量占满 API 额度致停摆 | △ 群发诈骗 |
基于外部漏洞与内部实战，风险分布高度一致——这说明 REAL Matrix 不是理论模型，而是实战验证过的工具。
03 REAL-WORLD ANALYSIS
实战分析
一条链打穿一个系统，一条链感染数千人。
▼ 纵向穿透：四道防线，从顶到底被打穿
1 交互层 · 用户输入被注入
↓
2 认知层 · Agent 误判指令意图
↓
3 执行层 · 工具调用被劫持
↓
4 基建层 · 底层系统被控制
▶ 横向扩散：Cline 供应链攻击
一个标题注入，横穿多个层面——从单个恶意文档标题，到 Agent 解析、工具执行、横向感染其他用户。
恶意标题注入 → Agent 解析被污染 → 工具执行恶意指令 → 横向感染数千人
💡 形状完全不同，但同一套坐标标得清清楚楚。不同的案例，同一套坐标系。
04 AUTOMATED RED TEAM
从矩阵到自动化红队
以 Agent 测 Agent · 安全水位度量
困境：一个产品，一个专家
人力不可扩展
产品线 N 倍增长，红队专家无法 N 倍复制
经验难复用
一条高价值攻击链，换个产品或过段时间即沉没
速度追不上
利用窗口已坍缩到数小时，人工逐个打靶天然慢于攻击者
▎出路
把专家攻击经验编码进矩阵，再让 Agent 自动化执行——
REAL 矩阵 → 用例库 → 以 Agent 测 Agent → 安全水位度量 → 态势感知
环形回路：从经验到自动化的闭环
1 专家发现：红队专家探索前沿攻击手法
2 编码入库：新手法编码为可执行用例，进入用例库自动回归
3 自动批量执行：以 Agent 测 Agent，覆盖 Mobile / CUA 桌面 / Web 三类智能体
4 回归覆盖：已知风险自动回归验证，防止复发
5 新风险沉淀：被测结果中发现的新攻击模式，自动回流用例库，扩充覆盖
💡 一条链靠专家手打 + 标坐标都不轻松。10+ 条产品线、每格都要覆盖——把实战经验沉淀为按坐标组织的测试用例库，让 Agent 自动跑，从按坐标打靶走向规模化自动红队。
05 FUTURE OUTLOOK
发展曲线与展望
挡 → 围 → 盯
挡
挡住它说错话
内容安全 · 输出过滤 · 对齐
当前主流阶段：聚焦模型输出的安全性，防止有害内容生成。
↓
围
围住它做错事
Agent 行为边界 · 权限管控 · 沙箱
正在进入：Agent 开始调用工具、执行操作，需要行为级围栏。
↓
盯
盯住它每一个自主决策
全链路监控 · 可审计 · 可追溯
未来方向：Agent 自主性越来越高，安全重心从静态防御转向动态监控每一个决策节点。
💡 坐标系不变，安全重心随 Agent 的自主性与连接性同步迁移。
结语
REAL Matrix 的三个核心价值
1
能分类
R×E@L 三维坐标，把千变万化的 Agent 风险锁定到固定网格
2
能测
以 Agent 测 Agent，专家经验编码进用例库，自动批量执行 + 回归
3
能治
安全水位度量 → Leaderboard 排行 → 态势感知，闭环驱动安全治理
▎五大行动建议
✅ 用统一坐标系替代零散清单，维度固定，攻击再变坐标不改
✅ 格子空着的地方，就是下一个要打的靶
✅ 把专家攻击经验编码进矩阵，让 Agent 自动跑
✅ 建立环形回路：发现→编码→执行→回归→新风险再沉淀
✅ 安全重心随自主性迁移：挡→围→盯
探索 AI 应用边界
Explore the limits of AI applications
本文提供33页完整版文件下载，请点击文末“阅读原文”。
*「智盾矩阵·大模型安全智库」帮会是FreeBuf知识大陆的重量级帮会，目前已入选FreeBuf钻石星选帮会——官方认证高信誉与高质量，帮会聚焦人工智能与大模型安全领域，致力于打造全球视野下的专业资源聚合平台。截止目前帮会已累计更新4700+文档资源，为从业者提供从理论到实践的全维度知识支持。*
公众号已发表帮会资源展示：
①政策、标准
香港生成式人工智能技术及应用指引
网络安全技术 生成式人工智能服务安全基本要求
网络安全技术 生成式人工智能数据标注安全规范
网络安全技术 生成式人工智能预训练和优化训练数据安全规范
网络安全标准实践指南——人工智能生成合成内容标识方法
网络安全标准实践指南——人工智能生成合成内容检测技术指南
关于通用人工智能模型提供者义务范围澄清指南的制定开展针对性咨询
通用人工智能模型提供者指南
政务大模型应用安全规范（征求意见稿）
人工智能通用大模型合规管理体系 指南
人工智能算法安全评估规范（征求意见稿）
工业和信息化领域人工智能安全治理标准体系建设指南（2025版）
生成式人工智能开发和利用个人信息处理指南
移动智能终端端侧大模型安全实施指南
安全应急大模型标准（征求意见稿）
政务大模型应用安全规范
《人工智能安全治理框架》2.0版
智能终端大模型应用评估规范
人工智能生成合成内容标识管理能力要求
智能体信任评估实施指南（征求意见稿）
生成式人工智能模型训练合规技术规范
智能终端大模型应用评估规范
智能体行为安全要求
大模型一体机产品安全基本要求
人工智能计算平台安全框架
人工智能数据处理伦理要求
人工智能通用大模型合规管理体系指南
生成式人工智能服务安全应急响应指南
大模型一体机产品安全基本要求
人工智能训练数据清洗安全指南
人工智能应用安全指引 总则
人工智能应用安全指引 广播电视和网络视听
用户使用人工智能服务安全指南
智能体安全评测规范
智能体任务执行安全要求
生成式AI内容安全与伦理审查规范
人工智能网络安全框架规范
智能体人工智能模型治理框架
网络安全标准化技术研究报告-智能体安全标准化研究
重磅发布 | TC260-005《人工智能应用伦理安全指引》全文
人工智能算法评估规范
大模型服务与应用安全评测技术规范（征求意见稿）
②行业解决方案
大模型时代下的安全挑战及应对
腾讯大模型安全治理实践
360集团应用安全和基础安全建设实践
大模型与智能体安全风险治理与防护
AIGC安全评估解决方案
京东云大模型安全实践
安全大模型发展路径洞察与实践
LLM-WAF：大模型安全防护
供应链风险决策大脑：驱动供应链风控迈向智能决策时代
③行业技术报告
Agentic AI安全技术应用报告
AI 组织责任：治理、风险管理、合规与文化方面
人工智能安全作为全球公共产品：影响、挑战与研究重点
AI应用于进攻性安全
人工智能法律政策图景研究报告（2025年）
云上人工智能安全发展研究报告（2025）
大模型训练数据安全研究报告
智能体安全实践报告
前沿人工智能风险管理框架
生成式人工智能与著作权：训练、创作及监管
AI风险缓解措施的研究报告
安全优先的大模型研究报告
AI赋能主动防御技术应用指南（2025版）
AI时代数字身份安全技术应用指南
AI时代网络安全产业人才发展报告（2025年）
端侧大模型安全风险与治理研究
人工智能治理案例集（2025）
机密计算保障人工智能系统安全研究报告
算力网络数据安全研究报告
人工智能安全研究报告——技术视角下的安全风险梳理与应对（2025）
金融大模型应用安全研究报告（2025）
AI模型风险管理框架
智能化安全运营中心应用指南
大模型组件漏洞与应用威胁安全研究报告
安全智能体魔方：成熟度模型评价研究报告
金融生成式AI多模态内容鉴伪与安全防御报告（2025）
2025全球可信AI治理与数据安全报告
AI时代Agent原生企业崛起-现状、趋势与风险控制（2025版）
AI安全：构建负责任且可靠的系统
Google Gemini AI安全性与红队报告
AI安全指数报告
人工智能安全与治理现状报告
开源大模型法律风险及防范
2025年度全球人工智能治理报告
智能物联网（AIoT）安全技术与应用研究报告（2025年版）
通信行业人工智能数据治理实践指南
人工智能推动金融数据治理转型升级研究报告
人工智能安全治理研究报告（2025年）
数据治理研究报告-端侧大模型数据治理法律要点研究
人工智能3.0：智能浪潮下的法律、博弈与战略报告
行业数智化AI安全实践研究报告
人工智能用户权益保护关键问题研究报告
人工智能安全指数报告
人工智能治理研究报告（2025年）
OpenClaw运行机制与安全威胁研究
2026年国际人工智能安全报告
2026前沿人工智能风险管理框架报告
最全企业级安全养虾教程
Openclaw安全实战指南
AI与数据合规-境内外资讯三月刊
AI 幻觉深度研究报告
智能体安全新范式 | 360 AI安全研究院
360漏洞研究院：2026年OpenClaw生态安全风险分析报告
AI塑造安全新范式——2026年中国AI XDR市场研究
AI智能体安全趋势报告（2025）：前沿能力、风险与防护全景
OWASP智能体AI安全与治理现状报告2026
AI大模型安全评估及防护技术应用指南（2026）
AI大模型合规指南（合规99问）
2026国际人工智能安全报告深度解读
AI生成内容安全及风控管理技术应用指南
智能体安全研究报告
OWASP Agentic AI 安全与治理年度报告 2026
④行业技术白皮书
终端智能体安全2025
AI风险控制实践白皮书
医疗健康大模型伦理与安全白皮书
人工智能安全治理白皮书
AI基础设施安全白皮书（2025）
AI智能体安全治理白皮书
大模型安全密码应用白皮书
金融人工智能发展与安全白皮书（2025）
阿里云百炼安全白皮书（2025）
智慧城市低空应用人工智能安全白皮书
AI 隐私安全白皮书
大模型安全白皮书
华为算力基础设施安全技术白皮书
AIGC全生命周期业务风控白皮书
AI-R-SOCC AI就绪的安全合成管理中心白皮书
低空智能网联网络与数据安全体系白皮书（2025）
以新质战斗力引领“AI+”时代网络安全
中国Data&AI数据基础设施白皮书
人工智能安全风险测评（2025 年）-白皮书
生成式 AI 安全白皮书
移动终端智能体隐私安全白皮书
AI安全合规白皮书
AI时代数据治理白皮书2025
AI 网络爬虫安全白皮书
AI智能体的实践应用：评估与治理基础框架白皮书
具身智能安全技术白皮书：机器人篇
火山方舟大模型服务安全白皮书解读：全周期安全可信，会话无痕
华为星河AI园区全域安全技术白皮书
⑤行业技术论文
在MCP驱动的智能代理系统中识别和缓解第三方安全风险
LLM驱动的AI Agent通信：协议、安全风险与防御对策
⑥实务手册指南
⼤模型及多智能体系统安全⻛险分析和洞察
AI 安全⻛险评估和控制指南
生成式AI红队百次测试经验白皮书
大语言模型Prompt攻击手册
AI迷思录（应用与安全指南）
Agentic AI 红队测试指南
AI安全的红队测试方法指南
AI安全与数据保护中的法律与合规
涉及个人数据的安全AI系统基础
大型语言模型 (LLM) 安全风险、案例与防御策略
LLM越狱攻击与防御框架
生成式人工智能服务备案表&登记表
AI智能体运行安全测试标准
大模型安全威胁框架
大模型安全开发手册
人工智能安全承诺实践披露
人工智能控制矩阵
大模型 私域部署安全落地参考手册
人工智能系统开发测试与评估指南
前沿人工智能模型安全框架示例
红队AI：攻击与防御智能系统
prompt越狱手册
覆盖700余种风险，MIT发布最全AI风险数据库
人工智能系统风险管理指南
AI大模型合规100问
OWASP 智能体应用 Top 10 2026
智能体应用程序安全指南
AI智能体—威胁与缓解措施
生成式人工智能服务合规备案指南（2026年）
OpenClaw极简安全实践指南
OpenClaw网络安全风险分析和防护措施指南
OpenClaw（龙虾）专项安全风险预警以及建议防护方案-奇安信
OpenClaw安全风险分析及防护建议-启明星辰
AI安全新人扫盲
OpenClaw安全部署与实践指南（360护航版）
云上养虾（OpenClaw）安全指南
OpenClaw安全操作指南
AI Red攻防指南
OpenClaw 部署与安全使用指南 | 企业AI智能体落地实践
OpenClaw安全配置与防护指南（2026）
OpenClaw类智能体部署风险管理指南
生成式人工智能行业网络数据安全风险评估工作手册
⑦行业大会分享PPT
Deepseek应用场景中需要关注的十个安全问题和防范措施
大型语言模型（LLMs）安全防护指南
大模型驱动安全升级：腾讯代码安全应用实践
百度端侧大模型的安全建设：如何在算力与保障之间找到平衡
京东大模型安全挑战与实践：构建AI时代的安全防线
大模型平台与应用安全防护
LLM内容安全性的挑战与优化从数据到算法
MCP协议标准化研究工作沙龙—— 大模型与智能应用的信息交互主题精彩回顾
DeepSeek R1技术复现与大模型的治理与安全
AI重构全球数字基建：美的多云统一数字化底座与出海的安全合规建设
金融AIGC安全攻防构建大模型时代的数字内容风控体系
教育大模型评测体系构建与场景化测试实践
大模型幻觉检测在垂域任务的应用实践
AI赋能eBay支付风控：从用户行为到交易安全的全面智能化
大模型驱动的账户风险管理
代码大模型的安全问题 – 终端用户与模型供应商的双重视角
论如何控制大模型
大模型驱动的数据清洗与数据合规
百度基于大模型安全运营的质效提升实践
大模型上线备案&算法备案全析
AI Agent应用攻击面漫谈
LLM 间接提示注入 漏洞解析与防御路线
大模型合规安全审计
LLM&Agent安全防护实战：业务落地视角下的风险管控与解决方案
AI安全提示词注入分享
火山引擎AI安全保障实践
AI赋能红队的技术实践与效能突破
组件安全：AI检测与漏洞利用路径预测
智体赋能：基于大模型Agent的自动化渗透测试框架设计与实践
腾讯大模型安全治理实践
大模型驱动的自动化渗透测试边界突破实践
AI大模型在数据安全领域的实践探索
AI算法可信安全：如何从根本上打破AI黑盒
在幻觉与超能中前行：大模型参与安全运营的应用探索
微步安全AI实践
AI智能体安全治理的认识和实践
大语言模型中的事实性幻象
大模型安全治理与评测体系化研究与实践
人工智能时代的个人信息保护：挑战与机遇
AI赋能的DevSecOps自动化安全实践
LLMAgent安全攻防战从架构风险到应用实战剖析
AI生成代码安全边界测绘与选型指南
百度大模型 原生安全构建之路
大模型安全考量：安全的大模型解决方案
DeepSeek赋能安全运维智能化转型的实践之道
AI数据资产体系建设：从数据处理到模型评估的全生命周期闭环
从技术赋能到范式革新：快手安全大模型驱动内容审核智能化重塑
面向AI场景：可观测平台在安全运营体系建设中的实践
APP隐私合规检测-AI隐私文本分析模型
大模型安全风险与对抗实践培训
AI赋能红队的新优势
OWASP大模型安全Top 10分析与实践
智能体应用和大模型安全评测实践
检测与响应：大模型与SOAR驱动的自动化漏扫运营
攻防加速：大模型赋能 VxWorks 漏洞分析与验证效能革新
大小模型协同驱动安全升级-基于大小模型协同的数字内容风控实践
面向未来的DevSecOps：Kodem如何用AI重塑应用安全
隐私不上云，模型放心用：通过结构化语义标签实现隐私防火墙
基于Spec Driven范式，开发安全可控的SRE智能体
NLP类AI系统鲁棒性评测挑战与实践
AI驱动的智能体、车端协议与供应链安全闭环
LLM白盒检测水平越权漏洞实践
AI辅助整车信息安全TARA分析探索
大模型供应链安全的熵增效应：风险挖掘与熵减策略
AI与安全的双向赋能：从对抗到防御
基于大模型Agent构建自动化渗透测试平台的探索
AI落地软件开发的实践与挑战（华为）
攻击者视角下的业务智能体渗透
构筑智能化攻防格局_网络安全实验室的战略与未来蓝图
企业内部的渗透测试自动化探索
机遇和挑战：大模型及其生态的安全性和脆弱性
AI红队攻防实践
大模型应用落地安全风险和防护实践
轻装上阵_Javassist聚焦代码审计关键点实践
安全领域大模型构建范式与实践
安全智能重构：大模型安全应用研究前沿
基于大模型的安全智能中心CIC Pro
SecGPT赋能网络安全-MCP助力下的创新与挑战
大模型供应链安全风险技术拆解与案例复现
从应用落地到安全护航：Agent系统的开发实践与可信防御
揭秘黑灰产AI的潘多拉魔盒
大模型及其智能体安全
产品视角下的安全革新：AI漏洞猎人如何破解代码漏洞挖掘痛点
智算安全可信行业观察
Fuzzing4LLM：撬动大语言模型的安全对齐机制
AI 渗透的蜂群思维-轻量级多Agent协同与实战复盘
AI驱动二进制安全-从静态到动态的探索
Agentic AI时代下的应用安全演进
基于AI的车联网渗透及法规检测
多智能体协同驱动的自主进化渗透测试系统
大模型驱动下的稳定与安全双螺旋——从“事后救火”到“主动免疫”的技术进化
Cruiser：CTF Agent实现探索
AI上车的安全合规分析与实践
AI时代的新型威胁-企业防范AI投毒与AI幻觉指南
360基于大模型赋能的网络安全解决方案
AI 红队智能进化大模型与智能体驱动的自动化渗透测试及安全验证
AI驱动下石油石化行业的安全新挑战与协同应对
人工智能安全与可信赖AI验证技术
企业网络安全智能防御体系建设与实践
Skill赋能安全测试：AI Agent安全能力扩展实战指南
企业智能应用研管平台的建设及安全防护策略研究
智能革命时代：自主智能体兴起与安全范式重塑
大模型 Prompt 越狱：原理、方式与现实危害
石油石化设备安全运维大模型及AI智能体
新疆油田网络安全防护智能体研究
Sunny Duan-智能体安全：基于AI Native的防御架构和实践
Agent记忆系统在eBay支付风控团队的探索与实践
大模型服务的安全防线：全栈式风控与Token可信调用实践
从”跑分”到”护栏”：AI Agent 可观测与质量保障体系
AI漏洞检修最佳实践 | 京东神医智能体
AI驱动的自动化威胁狩猎
AI智能体-安全运营数字人实践
让智能体可观察可评估可进化构建面向智能体的新一代可观测评估体系
大模型助力安全运营
AI Agent 沙箱网络安全：从流量隔离到智能治理
AI神盾平台在金融生态中的智能风控实践
免责声明：以上报告均系通过公开、合法渠道获得，版权归原撰写/发布机构所有，如涉侵权， 请联系及时删除；内容为推荐阅读仅供参考学习，如对内容存疑请与原撰写/发布机构联系。
戳底部“阅读原文”或扫描上面交流群群主二维码扫码加入获取文档，打广告者勿扰。
点分享
点收藏
点在看
点点赞
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安全进化论 《REAL智能体统一风险矩阵与自动化红队实践》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论