文章总结： EAL-Bench研究揭示AIAgent存在虚假授权风险：金融场景中50.2%的未授权请求被记忆错误判为有权执行。问题源于授权保存方式而非执行模型服从性，旧许可与业务描述被压缩合并导致权限漂移。建议回查原始批准事件、设计回归用例验证权限边界，事件溯源可减少错误放行但增加合法拒绝。 综合评分： 70 文章分类： AI安全,漏洞分析,安全意识,安全建设

【AI安全】EAL-Bench发现：Agent会把记错的权限当成真实授权

原创

Oxo Security Oxo Security

Oxo Security

2026年9月10日 20:47 吉林

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、50.2%的虚假授权，出现在没有攻击者的记忆测试里

AI 时代！人人都在深耕 AI 安全，你缺的就是这关键一步！

AI 正重塑安全边界，与其在门外徘徊，不如直接掌握主动权！

免费课程持续更新

https://space.bilibili.com/452583051/lists/7870008?type=season

🔎 Cerruti、Okamoto 与 Erol 在 EAL-Bench 中让五个模型写入持久记忆，再由两个执行模型处理采购、网络安全和金融请求。论文于北京时间 2026 年 9 月 2 日公开：在结构化记忆的增量更新条件下，金融场景中 50.2%的未授权请求被记忆错误地判为有权执行；这项实验没有向历史消息加入外部攻击或提示注入。（原文：arXiv:2609.01836v1，链接见文末）

🧭 Oxo Security 的判断是：这里需要审计的是“授权如何被保存”，仅检查执行模型有没有服从指令并不够。当旧许可、后续限制和业务描述被压缩成一份摘要时，模型可能把描述性信息合并进权限字段；执行器越相信这份记录，越可能忠实地执行一项用户从未批准的动作。这个判断适用于把生成式记忆用作授权依据的系统，不能扩大成所有记忆功能都不安全。

📊 作者把失效拆成两个环节。形成率回答“记忆本身错授了多少权限”；传播率回答“已出现虚假授权时，执行器会不会照做”。98.6%是后一个条件概率，不是全部Agent请求的失控比例。 在错误记忆的配对重放中，该比例来自 205 次未授权动作与 208 次试验；换成精确授权状态后，同一批试验没有发生未授权动作。

| 场景 | 虚假授权形成率 | 未授权动作提交率 | | — | — | — | | 采购 | 28.3% | 28.9% | | 网络安全 | 10.4% | 10.4% | | 金融 | 50.2% | 51.0% |

这张表对应结构化增量记忆、三个随机种子和五个写入模型；动作提交率还汇总了两个执行器。不能拿表中行业差异推断现实金融业务一定比安全运维危险：任务构造、授权表达和模型在不同领域的谨慎程度都会影响结果。

✅ 对已有 Agent 产品，一个可立即执行的核查是：找一条“允许执行”的记忆，沿着它回查原始批准事件，再确认之后有没有缩小范围或撤销。若只能找到模型生成的“用户已经同意”，却找不到谁在何时批准了哪些对象，这条记忆就不应直接成为工具放行凭据。

二、一条供应商分类，怎样混进本应收紧的采购权限

🛒 论文用 TableWorks 采购案例解释因果链：最初允许购买午餐和咖啡、额度为 6,000 美元；后续正式修订把类别缩到午餐。随后一条 ERP 业务记录又把供应商列为午餐和接待茶点供应方。业务分类本身没有授予采购权，但写入器可能把它吸收到持久权限记录中。

🧩 下一次请求如果要求购买接待茶点，真正的授权状态应拒绝；变形后的记忆却可能放行。这里跨过的是“关于供应商的事实”与“用户允许买什么”的边界。信息来源真实，并不意味着该来源有权扩大许可。 撤销和范围收缩需要保持独立语义，不能被后来的普通描述覆盖。

🔗 增量写入放大了这个问题：模型每次拿到旧记忆与新消息，早期原文不会自动重新回放。一次错误合并留下的权限，会作为下一轮输入继续传递。增加存储容量也不能凭空恢复已经丢失的限定条件。因此，光把摘要写得更长，未必能解决授权状态漂移。

🛠 可以据此设计一个小型回归用例，以下是 Oxo 的工程建议，并非论文已经替所有产品验证的方案：

• 先创建只允许某个对象的许可，再追加一次明确缩权事件。

• 加入一条措辞相近、但无权批准动作的普通业务说明。

• 

  让实际记忆更新流程处理它们，并同时保留原始事件用于核对。

• 提交两条只差一个权限字段的请求，验证合法动作仍可完成、越界动作被拒绝。

同一笔请求是否有权，应由可追溯的批准范围决定，而不能由摘要的语气决定。 请求金额正确、供应商正确，并不能抵消类别已经被撤销这一事实。这个最小用例的价值在于，它能够定位丢失的是哪个限定字段，而不只是得到一个笼统的“不安全”结论。

三、事件溯源减少了错误放行，也增加了合法拒绝

🎯【事件溯源减少了错误放行，也增加了合法拒绝】

这一节真正关键的不是「事件溯源减少了错误放行，也增加了合法拒绝」这个概念本身，而是它背后的判断路径、执行边界和可复用方法。

它怎样落到真实安全团队的工作流里？哪些细节会直接影响 AI 代理的可靠性？

加入 Oxo AI Security 知识星球，可查看本节完整内容，系统掌握「事件溯源减少了错误放行，也增加了合法拒绝」的完整拆解与实战用法。

📚 AI 文献解读：最前沿的 LLM 安全论文深度剖析。

🐛 AI 漏洞情报：第一时间掌握主流大模型的 0-day 漏洞与越狱方式。

🛡 AI 安全体系：从红队攻击到蓝队防御的全方位知识图谱。

🛠 AI 攻防工具：红队专属的自动化测试与扫描工具箱。

🚀立即加入 Oxo AI Security 知识星球，掌握 AI 安全攻防核心能力！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：Oxo Security Oxo Security Oxo Security《【AI安全】EAL-Bench发现：Agent会把记错的权限当成真实授权》