当前AI安全框架在处理车载等安全关键LLM的威胁时，存在概念混淆、覆盖不全等问题。本文深入剖析了现有方法的局限性，并介绍了一个名为AgentHeLLM的新框架，它通过形式化模型，为工程师提供了系统性发现多阶段攻击路径的工具，旨在将安全工程的严谨性带入随机性的LLM领域。
智能速览
现有AI安全框架普遍存在资产与攻击路径混淆、缺乏系统性覆盖的方法论缺陷。
车载LLM助手面临驾驶分心、A2A协议内容安全、递归式攻击等特殊安全风险。
AgentHeLLM框架通过二维正交分类法，严格分离了人权资产与技术攻击路径。
该框架形式化定义了毒化路径与触发路径，以捕捉休眠载荷等递归攻击结构。
配套的开源工具AgentHeLLM Attack Path Generator能自动化生成多阶段攻击路径。
精华内容
为了深入理解这一方法论革新，有必要探究现有框架的具体不足，以及AgentHeLLM如何通过其独特的设计，构建起更可靠的安全防线。
概念混淆的困境
当前主流的AI安全框架在系统性上存在一个核心缺陷，即“关注点分离”的缺失。这直接导致了资产与攻击路径的严重混同。例如，框架常将“隐私”或“人身安全”这些需要保护的对象，与“提示注入”、“内存投毒”这些攻击技术手段放在同一维度进行讨论，逻辑上并不清晰。
更严重的是，攻击方法与后果被杂糅在一起。像“内存投毒”这样的术语，既描述了攻击方式，又暗示了被攻击的组件。而“敏感信息泄露”则仅仅描述了后果。这种分类的随意性，使得安全工程师无法系统性地验证是否已考虑所有潜在资产，也无法保证攻击路径的完整性，为安全体系埋下了盲区。
车载LLM的特殊风险
安全关键领域，尤其是车载LLM智能助手，其风险远超传统聊天机器人。现有框架未能充分应对其特殊需求，首要的便是人身安全风险。驾驶过程中，任何可能导致驾驶员分心或认知负荷过高的交互，都可能引发致命事故，但现有模型缺乏针对“生命与身体健康”这一核心资产的精细化建模。
其次，新兴的Agent-to-Agent（A2A）协议也带来了隐患。此类协议虽然能验证代理身份，却不验证传输内容。这意味着一个通过认证的恶意代理，可以轻易地通过合法渠道，向其他代理传播自然语言形式的攻击载荷，形成新的攻击面。
AgentHeLLM的革新
为应对上述挑战，AgentHeLLM框架在方法论上进行了革新。其核心是采用二维正交分类法，彻底解决了概念混淆问题。该框架将“以人为中心的资产”和“技术攻击路径”视为两个完全独立的维度进行建模。资产分类基于《世界人权宣言》，确保了对“生命健康”、“隐私”等核心价值的系统性覆盖。
在技术上，AgentHeLLM形式化地区分了“毒化路径”与“触发路径”。这种区分精准捕捉了LLM上下文窗口特有的“休眠载荷”现象：恶意数据先通过毒化路径被存储，再由特定动作通过触发路径激活，从而实现对“攻击中的攻击”这一递归结构的形式化表达。
从理论到实践
理论框架的落地离不开工具支持。AgentHeLLM团队为此开发了一款开源的Attack Path Generator工具。该工具采用双层搜索策略，能够自动化地发现由毒化和触发路径组合而成的复杂多阶段攻击路径。这为安全工程师提供了一种主动进行威胁发现的能力，而非被动地修补已暴露的漏洞。
此举旨在将传统汽车网络安全标准（如ISO/SAE 21434）的严谨性，适配到LLM这类具有随机性和适应性的智能体领域，推动安全范式从被动响应向主动预期转变。
AgentHeLLM框架为安全关键LLM的威胁建模提供了新的严谨性视角，将人本价值与技术路径清晰分离。这不仅是理论上的突破，更通过工具化走向实践。未来，随着智能体协同日益普遍，这种系统化的安全思维将变得至关重要，如何让AI在开放环境中自主协作且绝对安全？
