会话风险记忆（SRM）：为确定性预执行安全门添加时序授权能力
随着AI代理系统在复杂任务中的广泛应用，确保其行为安全成为关键挑战。传统的确定性预执行安全门虽然能有效评估单个动作是否符合角色权限，却存在一个根本性缺陷：它们无法识别那些将有害意图分解为多个合规步骤的分布式攻击。针对这一问题，一篇最新arXiv论文提出了会话风险记忆（Session Risk Memory, SRM）——一个轻量级确定性模块，为无状态执行门添加了轨迹级授权能力。
传统安全门的局限性
当前主流的预执行安全门系统（如论文中提到的ILION）采用确定性评估机制，在代理执行每个动作前检查其是否符合预设角色。这种逐动作授权模式虽然能有效阻止明显的违规行为，但在面对慢速渗透、渐进权限提升、合规性漂移等高级威胁时显得力不从心。攻击者可以将恶意目标分解为一系列看似合规的步骤，每个单独步骤都能通过安全检查，但整体轨迹却构成安全威胁。
SRM的核心创新
SRM模块的核心思想是引入时序授权一致性概念，与传统的空间授权一致性形成互补。具体实现上，SRM通过以下机制工作：
- 语义质心维护：SRM维护一个紧凑的语义质心，动态表示代理会话的行为特征演变
- 风险信号累积：通过对基准调整后的门输出进行指数移动平均，累积风险信号
- 轻量级设计：SRM使用与底层安全门相同的语义向量表示，无需额外模型组件、训练或概率推理
这种设计使得SRM能够捕捉代理行为在时间维度上的异常模式，而不仅仅是孤立动作的合规性。
性能评估结果
研究团队在包含80个会话的多轮基准测试中评估了SRM的有效性，测试场景专门设计用于模拟分布式攻击模式。结果显示：
- ILION+SRM组合实现了F1分数=1.0000，误报率为0%
- 纯无状态ILION的F1分数=0.9756，误报率为5%
- 两个系统都保持了100%的检测率
- 关键的是，SRM在每轮处理中的开销低于250微秒，几乎不影响系统性能
对AI代理安全的意义
SRM的提出标志着AI安全领域的一个重要进展，它解决了传统安全系统在时序维度上的盲点。这一框架不仅提供了技术解决方案，更重要的是建立了空间授权一致性与时序授权一致性的概念区分，为代理系统的会话级安全奠定了理论基础。
在实际应用中，SRM的轻量级特性使其易于集成到现有安全架构中，无需大规模改造或额外训练成本。这对于需要高实时性响应的AI代理系统尤为重要。
未来展望
随着AI代理在金融交易、医疗决策、自动驾驶等关键领域的深入应用，对时序安全机制的需求将日益迫切。SRM所代表的轨迹级授权思路可能会催生更多类似的安全增强模块，推动AI安全从静态合规检查向动态行为监控演进。
论文作者还提供了基准数据集和相关工具，为后续研究提供了可复现的基础。这一工作与arXiv:2603.13247形成互补，共同构建了更全面的AI代理安全框架。
