EP15 · 安全与鲁棒：对抗防御、权限与隐私

一句话概要：输入层防对抗、身份层管认证、数据层守隐私、机制层设护栏；安全不是一道墙，是一整套纵深。 素材锚点：单选 23、单选 51、单选 17、多选 5、多选 8 ｜ 所属：第二季·工程与场景

一、知识框架

本集覆盖智能体护栏的完整骨架，四个面：

1. 输入层防对抗：防对抗样本攻击的有效防御层是特征随机化（单选 23）——打乱攻击者对模型特征的精确计算；工程上没有银弹，永远层层设防。
2. 身份层管认证：跨平台统一认证的最佳实践是授权框架（单选 51）——选标准不选野路子。
3. 数据层守隐私：满足 GDPR 必须包含用户数据删除接口（单选 17）——被遗忘权落到工程上是数据地图加删除链路。
4. 机制层设护栏：环境适应性看机制不看规模（多选 5）；安全防护四机制是权限分级、危险拦截、伦理嵌入、执行可追溯（多选 8）。

二、题面锚点

单选 23：防止智能体被对抗样本攻击，有效的防御层是（ ）

A. 输入规范化　B. 梯度掩码　C. 多模型投票　D. 特征随机化

单选 51：跨平台智能体统一认证的最佳实践是（ ）

A. 各平台独立账户体系　B. OAuth 2.0 授权框架　C. 生物特征识别　D. 硬件设备绑定

单选 17：为满足 GDPR 要求，智能体设计必须包含（ ）

A. 自动数据加密　B. 用户数据删除接口　C. 多因子认证　D. 行为克隆功能

多选 5：影响智能体环境适应性的关键因素有（ ）

A. 动态状态识别能力　B. 异常处理鲁棒性　C. 预训练模型参数量　D. 历史记忆存储机制　E. 界面美观度

多选 8：智能体安全防护机制包括（ ）

A. 操作权限分级　B. 危险指令拦截　C. 伦理规则嵌入　D. 执行过程可追溯　E. 无条件服从命令

三、答案讲透

单选 23 答案：D（特征随机化）。对抗样本是恶意构造的输入，人看毫无异常，在模型数学空间里却被精确扰动过。特征随机化让模型每次看到的特征表示都带随机变换，攻击者的精确计算失了效——相当于门锁天天换芯。输入规范化只是常规预处理，防不了精心构造的扰动；梯度掩码试图隐藏梯度信息，但实践上可被绕过且损害正常性能，理论美、工程脆；多模型投票能被针对整个投票系统构造样本一锅端，成本还翻几倍。对抗防御没有银弹，工程上永远是输入检测、特征变换、输出校验层层设防。

单选 51 答案：B（OAuth 2.0 授权框架）。跨手机、车载、物联网设备要一套身份处处通行。授权框架是沉淀十几年的标准方案，令牌机制、授权流程、刷新续期全现成，接得稳扩展得开。各平台独立账户体系正是要消灭的问题（三套密码三套排查）；生物特征是认证因子的一种不是框架，且指纹泄露改不了、密码能改，当唯一根基风险极大；硬件设备绑定换手机就丢身份，只能做辅助因子。认证选标准不选野路子——成熟协议是用无数漏洞换来的。

单选 17 答案：B（用户数据删除接口）。GDPR 的核心是被遗忘权：用户有权要求删除个人数据，平台必须提供删除途径，违反按营业额百分比罚款。落到工程上是一整套数据地图加执行链路——对话记录在日志、偏好在向量库、特征在模板库，删一处不叫删。自动数据加密保护的是不被偷，不解决必须删；多因子认证是账号安全手段，与删除权无关；行为克隆功能属于充数项，且本身涉及更敏感的合规问题。与生成式服务合规合起来看：一个管输入（训练数据合法获取），一个管退出（删除接口），才是完整的隐私合规闭环。

多选 5 答案：ABD（C、E 不选）。环境适应性是智能体换环境还能不能干活。动态状态识别是前提（环境变了你得知道变了），异常处理鲁棒性是韧性（意外来了不崩、能降级或安全退出），历史记忆存储是底料（见过类似情况才能快速调整）。预训练模型参数量是容量不是适应性——大模型在没见过的环境里照样抓瞎，适应性来自结构和机制，不来自规模；界面美观度与环境适应无因果关系，是拿体验当能力的陷阱项。

多选 8 答案：ABCD（E 不选）。四机制各防一面：操作权限分级防权限滥用（查看、修改、删除、转账权限一级比一级高，高级权限要高级审批）；危险指令拦截防误操作和恶意注入（删库、格式化、大额转账要有独立确认层，是指令出口的安检门）；伦理规则嵌入防目标偏移（伤害最小化、人类监督优先要变成代码里的硬约束，是最后的刹车片）；执行过程可追溯防黑箱（谁触发、做了什么、结果如何，日志要全，出事能定责）。无条件服从命令是送命题——用户或程序下达危险指令时智能体必须有能力拒绝，无条件服从等于把前面四道机制全拆掉。

四、延伸思考

1. 安全是纵深不是单点：五道题分属输入层（对抗样本）、身份层（认证）、数据层（隐私）、机制层（防护四机制），加上环境适应性打底。指望单点防御，跟指望一道门锁防住所有小偷一样。纵深思维是安全工程的基本修养。
2. 安全是活体不是清单：智能体每天面对新输入、新用户、新工具，攻击面每天都在变，昨天的防线今天可能就漏。上线前查一遍只是起点，持续运营才是常态。
3. 与前后集的连接：单选 17 的删除接口接 EP23 政策伦理的生成式服务合规（训练数据合法获取）；多选 8 的伦理规则嵌入接 EP23 多选 30 的伦理设计原则；多选 5 的历史记忆存储接 EP05 记忆层；单选的对抗防御接 EP01 提到的「错项是把别的场景的正解搬来考你」——攻击者干的也是这件事，把正常输入的规律反过来用。

五、术语表