论文提出ASU协议解决AI Agent审批路径中的十二类攻击并验证绑定有效性

该研究指出当前AI Agent在发送资金、删除文件或联系外部人员前的审批机制常被误认为第二因素，实则仅在无法被攻破且明确命名批准内容时才成立。作者定义了包括诱饵收件人、金额取消、标签欺骗等在内的12种针对审批路径的攻击，并测试了Agent Payments Protocol (AP2)、Microsoft action-bound approval设计以及Model Context Protocol (MCP) 的响应情况。

对10个Agent运行时的审计发现，没有第三方可验证的审批记录，缺乏可测量的洪水限制，且在8个具有可测量绑定能力的运行时中有4个存在审批后参数篡改问题。作为参考防御方案，团队构建了ASU (Agent Step-Up) 网关，它从规范效应描述符渲染审批卡片，由用户手机上的Passkey签名摘要，并仅执行存储的调用。Tamarin证明其在三个假设下具备绑定、单次使用和密钥级不可抵赖性。在27,108次脚本试验和609个AgentDojo攻击对中，ASU成功阻止了替换、重放和授权拉伸攻击，可信卡片将伪造叙事攻击的成功率从0.54降低至0.03。

实验显示，使用15个当前语言模型作为自动审批者时，可信卡片将攻击捕获率从0.30提升至0.98，但代价是拒绝了16%的无害接近失误，主要源于刺激中的占位符伪影。额外设备并未带来可测量的提升，洪水攻击仍能以0.45至0.60的概率成功，且审批无法阻止策略已允许的效果。事实部分基于27,108次试验数据；推断部分涉及现有运行时架构缺陷；猜测部分关于额外设备的收益需更多场景验证。