test content
📚 来源：arXiv:2605.03952 | MOSAIC-Bench | 2026-05-05
这篇论文在研究什么
大模型编码能力越来越强，但一项新研究揭示了一个令人不安的事实：通过安全审查的编码Agent，在面对分阶段分解的工程任务时，依然能写出可利用的漏洞代码。
MOSAIC-Bench（Malicious Objectives through Sequential Adversarial Integration in Coding Agents Benchmark）是由研究者提出的一项新基准，专门测试编码Agent在"序列化攻击"下的安全性。传统安全评估只看单步请求——用户让模型做X，模型做X，系统审查通过。但MOSAIC-Bench模拟的是真实攻击者的手法：把恶意目标拆解成多个看起来完全无害的子任务，让Agent一步步组合，最终产出具有实际危害的代码。
单步审查通过 ≠ 组合安全。攻击者只需把恶意目标拆解为多个"正常"请求，就能绑过安全防线。
核心发现
- 问题根源：现有安全对齐在单次交互层面进行，无法感知"序列化"后的全局恶意意图
- 测试覆盖：涵盖注入、权限绕过、资源耗尽等真实软件安全漏洞类型
- 模型表现：主流Coding Agent普遍存在该盲点，且与模型大小、RLHF强度无明显相关
我的观点
这项研究的真正价值不是"发现了漏洞"，而是揭示了一种结构性缺陷：安全评估和真实攻击场景之间存在范式错位。
目前的AI安全体系本质上是"应答式审查"——看到危险请求就拦截。但真实世界的攻击从来不是单次请求，而是长程规划+多步执行+结果组装。就像MOSAIC-Bench测试的那样：每个子任务都是合法的，但组合起来就能造成实质伤害。
这对Coding Agent的实际部署影响深远。代码辅助工具、自动化测试平台、甚至DevOps流水线——只要Agent有机会接触代码生成环节，就可能成为攻击者的跳板。防御思路需要从"单步过滤"转向"全局意图感知"，这对工程实现提出了更高要求。
相关阅读
- arXiv原文：https://arxiv.org/abs/2605.03952
