随着大语言模型与 AI 智能体（Agent）技术的快速发展，如何系统化评估其在真实环境中的能力边界与安全特性已成为学术界与产业界的核心议题。传统的基准测试往往聚焦于任务完成率或准确率等单一指标，却忽略了智能体在面对对抗性输入、恶意提示注入或工具滥用时的鲁棒性表现。近期，加州大学伯克利分校负责任去中心化智能中心（Berkeley RDI）发布的 CyberGym 基准测试为这一领域提供了重要的研究锚点 —— 它不仅构建了大规模真实漏洞复现任务，还揭示了当前前沿模型在对抗性场景下的能力短板与提升空间。本文将从攻击手法、防御策略与评估框架设计三个维度，系统探讨 AI 智能体基准测试的核心方法论。

对抗性基准测试的设计动机与威胁模型

传统 AI 评估主要关注模型在标准任务上的表现，例如代码生成、数学推理或问答准确率。然而，智能体系统通常需要与外部环境持续交互 —— 调用工具、访问文件系统、执行外部命令 —— 这种开放式的交互模式引入了一系列传统评估无法覆盖的安全风险。对抗性基准测试的核心动机正是填补这一空白：通过模拟真实世界的攻击场景，评估智能体在面临恶意输入时的行为一致性、决策可靠性和安全边界。

在 CyberGym 的设计中，研究团队明确了其威胁模型：智能体需要处理来自真实软件漏洞的挑战，这些漏洞涵盖了缓冲区溢出、空指针解引用、内存损坏等多种类型。攻击者的目标并非直接 “欺骗” 智能体，而是通过提供不完整或有误导性的漏洞描述，观察智能体是否能够准确识别问题根源并生成可触发漏洞的概念验证（PoC）。这种评估方式本质上是一种 “红队测试”（Red Teaming），它要求智能体在信息不对称的条件下展现推理与执行能力，同时保持对安全边界的敏感性。

值得注意的是，CyberGym 的设计区别于传统的 CTF（Capture The Flag）竞赛或教学型安全测试平台。它直接从 OSS-Fuzz 的工业级漏洞库中抽取真实案例，涵盖 188 个开源项目的 1,507 个漏洞实例，漏洞来源包括 OpenSSL、FFmpeg、OpenCV 等广泛使用的关键基础设施。这种真实性和规模使得评估结果具有更强的外推性 —— 在 CyberGym 上表现优异的智能体，往往也能在真实漏洞发现任务中展现类似能力。

攻击手法的分类体系与评估指标

在对抗性基准测试中，攻击手法的分类直接决定了评估的全面性与有效性。当前主流框架通常将智能体面临的攻击类型划分为以下几类，每类攻击对应不同的威胁向量和评估侧重点。

提示注入类攻击（Prompt Injection）试图通过在用户输入中嵌入恶意指令片段，诱导智能体忽略原有系统提示或执行未授权操作。这类攻击的评估重点在于智能体对指令优先级的判断能力 —— 当用户输入与系统角色定义发生冲突时，智能体是否能够坚守安全边界而非被恶意构造的输入所操纵。

工具滥用类攻击（Tool Abuse）针对智能体的函数调用机制，尝试诱导其调用危险函数、访问敏感资源或执行超出任务范围的系统操作。CyberGym 在这方面的设计尤为精细：智能体需要在受限的 Docker 环境中完成漏洞复现任务，既要利用命令行工具和代码编辑器，又不能突破沙箱隔离执行破坏性操作。研究团队通过监控工具调用的类型、频率和组合模式，构建了细粒度的行为画像。

漏洞诱导类攻击（Vulnerability Inducing）是 CyberGym 的核心评估场景。攻击者（此处为测试框架本身）向智能体提供经过精心设计的漏洞描述，这些描述可能包含模糊的线索、不完整的信息或误导性的上下文。智能体需要从有限信息中推理出正确的漏洞位置和触发条件，生成能够在补丁前后表现出差异化行为的 PoC 代码。这一过程不仅考察智能体的代码理解和推理能力，还检验其在不确定性下的决策质量。

评估指标的设计同样关键。CyberGym 采用了成功率（Success Rate）作为核心指标，同时引入了单次尝试与多次尝试（1-trial vs 30-trials）的对比维度，以评估智能体的稳定性和测试时扩展（Test-Time Scaling）能力。此外，研究团队还特别关注 “零点击成功率” 与 “联合成功率” 的差异 —— 前者衡量单智能体独立解决问题的能力，后者则评估多个智能体协同作战时的互补效应。实验数据显示，当四个不同架构的智能体联合使用时，联合成功率可达单个最佳智能体的近两倍，这一发现对于实际部署中的智能体选型具有重要参考价值。

防御策略的多层架构与工程实践

面对上述多元化的攻击向量，单一防御手段往往难以提供充分的保护。对抗性基准测试的设计不仅要评估攻击效果，还需要考察智能体所采用的防御策略在真实场景中的有效性。当前主流的防御架构通常遵循 “纵深防御” 原则，在智能体的输入处理、推理执行和输出验证三个阶段分别设置防护环节。

在输入处理层面，防御策略主要关注恶意输入的识别与过滤。这包括基于规则的黑名单机制、基于机器学习的语义分类器，以及基于嵌入空间的异常检测方法。CyberGym 的实验结果表明，单纯依赖输入过滤难以应对精心构造的绕过攻击 —— 攻击者可以通过分片注入、编码转换或上下文混淆等手段轻易突破第一道防线。因此，输入防御应当被视为多层架构中的第一道屏障，而非唯一防线。

在推理执行层面，防御的核心转向了智能体的内部状态管理。这包括：系统提示与用户提示的隔离机制，防止后者覆盖前者的安全约束；工作记忆区的访问控制，确保敏感信息不被恶意查询所提取；工具调用权限的动态授予，基于任务上下文实时调整可调用函数的范围。CyberGym 对不同智能体的行为分析揭示了一个重要现象：即便使用相同的底层模型，仅仅是架构层面的工具调用策略差异（如 OpenHands 偏好命令行链式调用，而 CTF 专用智能体更依赖脚本生成），也会显著影响其在对抗性场景下的表现。这提示我们，防御策略的设计需要与智能体的核心架构协同优化，而非事后叠加。

在输出验证层面，防御策略强调对智能体生成内容的可验证性检查。CyberGym 采用执行验证（Execution-Based Verification）机制 —— 智能体生成的 PoC 需要直接在沙箱环境中运行，通过检测是否能触发预期的崩溃行为来确认成功。这种方法的优势在于其客观性：不依赖人工评判，而是基于程序实际运行结果的布尔判定。然而，这一机制也对基准测试的基础设施提出了更高要求 —— 需要为每个漏洞实例构建完整的构建环境和测试用例，这正是 CyberGym 投入大量精力进行质量保证的原因。

评估框架的鲁棒性保障与公平性设计

一个优秀的对抗性基准测试框架不仅需要覆盖多样化的攻击场景，还需要在评估结果的可靠性（鲁棒性）和不同智能体之间的可比性（公平性）方面达到严格标准。CyberGym 在这两个维度上的设计实践为后续研究提供了有价值的参考。

鲁棒性保障首先体现在数据集的质量控制流程中。CyberGym 的构建过程包含三重过滤机制：信息充分性过滤（排除缺乏漏洞上下文的提交）、可复现性过滤（验证原始 PoC 在补丁前后的行为差异）、以及非冗余性过滤（去除重复或高度相似的漏洞实例）。经过这三层筛选，原始漏洞库中的实例数量从数千量级压缩至 1,507 个有代表性的高质量样本。这一过程虽然牺牲了数据集的规模，却显著提升了评估结果的可信度 —— 每个通过的实例都经过了严格验证，不存在 “假阳性” 污染评估结果的风险。

其次，鲁棒性还体现在评估指标的多维性上。CyberGym 不仅报告单一的成功率，还区分了单次尝试与多次尝试的表现差异、不同模型在不同漏洞类型上的专长分布、以及思考模式（Thinking Mode）启用前后的对比数据。这种多维度的指标体系使得研究者能够从多个角度审视智能体的能力特征，避免对单一数值的过度依赖。例如，实验数据显示 GPT-5 在启用思考模式后成功率从 7.7% 提升至 22.0%，这一发现仅通过单一指标无法捕捉，却对于模型选型和推理资源配置具有直接的指导意义。

公平性设计的核心在于控制变量以确保不同智能体之间的可比性。CyberGym 采用统一的底层模型（如 GPT-4.1）运行不同的智能体框架，从而将架构差异的影响从模型本身的能力差异中剥离出来。实验中的四个智能体 ——OpenHands、OpenAI Codex CLI、EnIGMA 和 Cybench—— 均基于相同的语言模型，唯一的自变量是智能体框架本身的设计差异。这种控制变量的方法使得研究结论更具说服力：我们观察到的性能差异确实反映了智能体架构的优劣，而非底层模型能力的波动。

此外，公平性还体现在对 “联盟效应” 的承认与正确处理上。实验数据显示，不同智能体的成功案例之间重叠度极低 —— 一个智能体无法解决的问题，另一个智能体往往能够独立完成。这一发现对于基准测试的排名机制具有重要启示：单纯按照 “最佳个体表现” 排序可能忽略智能体之间的互补价值，而联盟成功率（Union Success Rate）则为评估智能体的组合潜力提供了更有意义的指标。

基准测试的前沿挑战与未来方向

尽管 CyberGym 代表了当前 AI 智能体对抗性评估的先进水平，该领域仍面临若干尚未解决的前沿挑战。

攻击与防御的动态演化是首要难题。随着智能体能力的提升，攻击者也在开发更加复杂的规避技术。静态的基准测试数据集可能无法及时反映最新的攻击手法，导致评估结果与真实威胁脱节。一种可能的解决方案是引入 “元基准”（Meta-Benchmark）架构，通过可扩展的任务生成器和对抗性场景注入机制，使基准测试具备持续演化的能力。

评估指标与实际安全影响的相关性仍需进一步验证。CyberGym 已经展示了其在零日漏洞发现任务中的预测能力 ——CyberGym 上表现优异的智能体在开放代码库上也取得了类似的发现成果。然而，这一相关性是否在所有安全任务类型和智能体架构中都成立，仍有待更大规模的验证。

跨领域公平性是另一个被低估的挑战。当前的基准测试往往针对特定领域（如网络安全、代码生成）进行优化，难以直接比较在不同领域表现优异的智能体。如何设计一种通用的评估框架，使得专注于不同任务的智能体能够在统一的指标体系下进行公平比较，仍然是一个开放问题。

综合来看，以 CyberGym 为代表的对抗性基准测试为 AI 智能体的能力评估提供了重要的方法论补充。它不仅揭示了当前前沿模型在真实安全场景下的能力边界，也通过系统化的攻击手法分类、多层防御架构设计和严格的鲁棒性 / 公平性保障，为后续研究奠定了坚实基础。随着智能体在关键基础设施和敏感场景中的部署加速，建立全面、可靠、可更新的对抗性评估框架将成为保障 AI 系统安全性的关键基础设施。

资料来源：本文核心事实与数据主要引自 Berkeley RDI 发布的 CyberGym 基准测试技术报告（Wang et al., 2025, arXiv:2506.02548），该工作已被 Anthropic 用于 Claude-Sonnet-4.5 的系统卡评估。