TraceGuard：基于执行轨迹的智能体事后溯源审计框架
原文网页：https://arxiv.org/html/2610.22331v1
PDF链接：https://arxiv.org/pdf/2610.22331v1
arXiv编号：arXiv:2610.22331v1
摘要
工具调用智能体出现安全事件之后，需要开展事后审计：定位安全违规发生的环节、识别违规触发条件、区分模型原生缺陷还是被外部输入诱导、还原完整攻击链路。现有智能体日志大多只记录原始文本交互，缺少结构化安全审计元数据；人工审计耗时巨大，且很难区分根因、催化剂、单纯时序事件。
本文提出TraceGuard ，一套面向大模型智能体的事后溯源审计框架。该框架定义审计专用轨迹本体，对工具调用、输入载荷、内部推理、决策分支、依赖关系做结构化建模；提供完整审计流水线：日志规范化解析 → 因果依赖图构建 → 违规根因候选挖掘 → 攻击链路重构 → 审计报告生成。TraceGuard兼容AgentTrace标准轨迹格式，可以对接多种多/单智能体框架输出的日志。
基于构建的TraceGuard‑Audit‑Set审计评测数据集开展实验，数据集包含真实与注入生成的1142条安全事件轨迹。实验表明，TraceGuard根因定位F1可达87.5%，攻击链路完整重构成功率81.3%；显著优于纯LLM读取原始日志基线。消融实验验证因果依赖图、载荷标记、决策分支记录模块的贡献。框架输出标准化审计报告，支持导出用于合规审查。全部解析脚本、审计数据集、复现代码开源。
关键词
智能体安全；事后审计；溯源；执行轨迹；因果图；安全事件分析；AgentTrace兼容
目录
- 引言
- 相关工作
- TraceGuard框架设计](#3‑traceguard框架设计)
- [3.1 审计扩展轨迹本体](#3.1 审计扩展轨迹本体)
- [3.2 完整审计流水线](#3.2 完整审计流水线)
- [3.2.1 日志规范化解析](#3.2.1 日志规范化解析)
- [3.2.2 审计因果依赖图构建](#3.2.2 审计因果依赖图构建)
- [3.2.3 违规根因候选挖掘](#3.2.3 违规根因候选挖掘)
- [3.2.4 攻击/违规链路重构](#3.2.4 攻击/违规链路重构)
- [3.2.5 标准化审计报告生成](#3.2.5 标准化审计报告生成)
- 实验设置
- 实验结果
- [5.1 主实验：根因定位与链路重构](#5.1 主实验：根因定位与链路重构)
- [5.2 不同安全事件子类细分性能](#5.2 不同安全事件子类细分性能)
- [5.3 消融实验](#5.3 消融实验)
- [5.4 与AgentTrace互操作验证](#5.4 与AgentTrace互操作验证)
- 讨论与局限性
- 结论
- 附录简要说明
1 引言
当大模型工具智能体发生安全违规事件（高危工具调用、越狱、提示注入、数据泄露），事后审计需要回答一系列关键问题：
- 违规行为在哪一步被触发？
- 根因来自恶意输入载荷、模型推理缺陷、配置错误，还是多步累积的诱导？
- 完整攻击链路是什么，哪些事件是根因、哪些是中间传播节点、哪些只是时序上的无关事件？
- 违规能否复现，触发条件是什么，输出合规审计报告。
现实场景痛点：
- 原始日志大多是非结构化文本，缺少安全审计元信息；
- 人工逐条审计长轨迹成本极高；
- 直接把原始完整日志丢给大模型做分析，容易混淆因果依赖和时序先后关系，误报率高；
- 缺少标准化审计输出格式，难以满足合规审查；
- 希望能够兼容不同智能体框架日志，减少重复解析开发成本。
TraceGuard面向事后离线安全审计，复用并扩展AgentTrace轨迹本体，增加安全审计扩展字段；构建审计因果依赖图，挖掘根因、重构完整违规链路，输出标准化审计报告。框架可以直接读取AgentTrace格式轨迹，降低多框架接入成本。
本文主要贡献
- 提出TraceGuard事后溯源审计框架，定义审计扩展轨迹本体，兼容AgentTrace；实现日志解析‑因果图‑根因挖掘‑链路重构‑报告生成完整审计流水线。
- 构建TraceGuard‑Audit‑Set评测数据集，合计1142条安全事件轨迹，覆盖提示注入、越狱、参数注入、越权操作等多类安全事件。
- 实验结果：根因定位F1=87.5%，攻击链路重构成功率81.3%，优于LLM直接读原始日志基线；消融验证各模块有效性；验证与AgentTrace互操作能力。
- 全部解析脚本、数据集、审计报告模板、复现代码开源。
2 相关工作
2.1 智能体轨迹标准化
AgentTrace提供多智能体通用交换轨迹格式，侧重通用调试诊断；TraceGuard在其基础上增加安全审计扩展字段，面向安全事件事后溯源。
2.2 智能体故障诊断
AgentSight、OnTrack等面向功能性故障根因定位；TraceGuard专门针对安全违规事件，区分恶意载荷、推理缺陷、配置错误，重构攻击链路，输出合规审计报告。
2.3 LLM安全审计与溯源
传统大模型审计大多针对单轮prompt输出；工具智能体多步交互安全审计研究较少；现有方案大多依赖原始日志+LLM裁判，缺少结构化因果图建模。
2.4 安全事后取证
计算机安全取证领域事后溯源思想迁移至LLM智能体；TraceGuard重点处理智能体特有实体：消息载荷、工具调用、内部推理、子任务、工件。
3 TraceGuard框架设计
3.1 审计扩展轨迹本体
基于AgentTrace本体做扩展，保留原有AgentInstance、Message、ToolCall、Artifact、Subtask、DependencyLink核心实体；新增安全审计扩展字段，存放于security_ext子对象：
| 扩展字段 | 说明 |
|---|---|
payload_tag |
载荷标记：区分用户输入、外部工具返回、内部生成内容，标记是否含可疑注入载荷 |
inference_branch |
推理决策分支记录：模型内部多个备选决策分支，以及分支选择原因 |
security_annotation |
事件预标记：可疑、违规、正常；审计流水线会更新此字段 |
evidence_ref |
证据引用：本事件依赖的输入/工件ID，用于审计链路回溯 |
兼容策略：输入普通AgentTrace轨迹，缺少扩展字段时，TraceGuard会在解析阶段自动推断载荷标记、推理分支信息。
3.2 完整审计流水线
整体5阶段流水线：日志规范化解析 → 审计因果依赖图构建 → 违规根因候选挖掘 → 攻击/违规链路重构 → 标准化审计报告生成。
3.2.1 日志规范化解析
输入源二选一：
- 原生TraceGuard扩展格式JSON；
- 标准AgentTrace格式JSON。
处理流程：
- 加载原始轨迹；
- 实体映射；若缺少审计扩展字段，则执行推断：载荷来源标记、识别决策分支；
- 校验DependencyLink依赖边；缺失显式依赖则基于内容相似度+时间戳生成推断依赖；
- 输出带
security_ext审计扩展信息的规范化轨迹对象。
3.2.2 审计因果依赖图构建
在解析输出之上构建审计DAG图：
- 节点：消息、工具调用、工件、子任务；每个节点挂载
security_ext审计扩展信息。 - 边：
DependencyLink因果依赖边；区分：读取消息、消费工件、触发工具调用、派生子任务。 - 标记违规终点节点：发生安全违规的工具调用/输出事件，作为回溯起点。
3.2.3 违规根因候选挖掘
从违规终点节点沿着DAG反向回溯上游依赖，收集候选节点集合；做两步过滤：
- 过滤：仅保留载荷输入点、关键推理决策点、配置变更点；过滤单纯消息转发的中转节点；
- 根因打分：基于载荷标记、推理分支选择、依赖边权重，为每个候选节点输出根因置信分数。
输出根因候选集合，每个节点附带置信分、根因类型标签：
malicious_payload：恶意输入载荷（提示注入、参数注入）agent_reasoning_bug：智能体内部推理/决策缺陷config_error：系统配置、提示、权限配置错误multi_step_induce：多步累积诱导，多个事件共同促成违规
3.2.4 攻击/违规链路重构
选定根因节点之后，从根因节点向前向遍历DAG，还原完整链路：根因 → 中间传播节点 → 最终违规终点。
链路输出内容：
- 链路节点序列；
- 每个节点事件摘要；
- 标记节点角色：根因、催化剂、传播中继、终点违规事件。
支持多根因场景：一条安全事件可以输出多条并行链路。
3.2.5 标准化审计报告生成
模板化输出结构化审计报告，包含：
- 元数据：轨迹ID、时间、智能体框架、基座模型；
- 安全事件总览：违规类型、违规行为简述；
- 根因分析：根因节点、根因类型、置信分数；
- 完整攻击/违规链路；
- 复现提示：触发条件总结；
- 建议：缓解与修复建议。
报告支持JSON结构化输出，也支持人类可读Markdown格式，适配合规审查。
4 实验设置
数据集 TraceGuard‑Audit‑Set
- 总轨迹数量：1142条
- 安全事件类型分布：
| 安全事件类型 | 样本数 | 说明 |
|---|---|---|
| 提示注入Prompt Injection | 326 | 用户输入恶意提示注入 |
| 间接越狱Indirect Jailbreak | 284 | 多轮上下文诱导越狱绕过安全约束 |
| 工具参数注入 | 251 | 注入恶意工具参数，Bash/文件操作越权 |
| 配置错误引发违规 | 141 | 提示、权限配置错误导致安全问题 |
| 多步累积诱导 | 140 | 多事件叠加共同触发违规 |
数据来源：一部分为真实智能体运行捕获安全轨迹，一部分受控注入生成；全部人工标注根因、完整攻击链路作为真值。
对比基线
- Raw‑LLM‑Audit：直接将原始未处理完整日志交给大模型，做根因定位与链路重构；
- AgentTrace‑LLM：读取AgentTrace结构化轨迹，但不构建审计DAG，交由LLM分析；
- TraceGuard(Ours)完整流水线。
消融变体
- w/o security_ext：不使用审计扩展字段；全部依赖推断得到标记；
- w/o audit_dag：移除因果DAG图，直接LLM分析规范化实体；
- w/o link_reconstruct：跳过链路重构，仅做根因挖掘。
评测指标
- 根因定位：Precision、Recall、F1；匹配规则：节点ID匹配。
- 攻击链路重构成功率：完整链路节点序列与真值全部角色匹配记为成功。
基座模型：GPT‑5.6‑Luna。
5 实验结果
5.1 主实验：根因定位与链路重构
| 方法 | 根因Precision | 根因Recall | 根因F1 | 链路重构成功率 |
|---|---|---|---|---|
| Raw‑LLM‑Audit | 72.3% | 65.7% | 68.8% | 56.4% |
| AgentTrace‑LLM | 78.6% | 73.1% | 75.7% | 67.2% |
| TraceGuard完整流水线 | 89.4% | 85.7% | 87.5% | 81.3% |
结论：直接把原始日志丢给大模型效果最差；即使使用AgentTrace结构化实体，如果不做审计DAG因果建模，依然存在明显差距；TraceGuard完整流水线根因F1达到87.5%，链路重构成功率81.3%。
5.2 不同安全事件子类细分性能
| 安全事件类型 | 根因F1 | 链路重构成功率 |
|---|---|---|
| 提示注入Prompt Injection | 91.2% | 86.5% |
| 间接越狱Indirect Jailbreak | 86.7% | 79.4% |
| 工具参数注入 | 88.3% | 82.1% |
| 配置错误引发违规 | 89.6% | 83.0% |
| 多步累积诱导 | 79.1% | 70.2% |
多步累积诱导事件难度最高，多条事件共同促成违规，链路更复杂，性能相对偏低。
5.3 消融实验
| 配置 | 根因F1 | 链路重构成功率 |
|---|---|---|
| 完整TraceGuard | 87.5% | 81.3% |
| w/o security_ext（全部字段推断） | 82.1% | 74.6% |
| w/o audit_dag（移除审计因果DAG） | 74.4% | 62.8% |
| w/o link_reconstruct（仅根因挖掘） | 86.2% | ‑ |
消融结论：
- 审计因果DAG是最大增益来源，移除DAG之后性能大幅下滑；
- 原生security_ext审计扩展字段可以进一步提升效果；仅靠自动推断标记会引入噪声，性能下降；
- 链路重构模块独立于根因挖掘；根因定位完成之后依然需要专门链路重建步骤。
5.4 与AgentTrace互操作验证
将AgentTrace‑Bench聚合数据集412条轨迹输入TraceGuard：
- 可以正常解析加载；缺少security_ext字段会自动推断载荷标记；
- 可以对AgentTrace轨迹执行安全审计扫描，输出可疑事件报告。
证实TraceGuard可以复用AgentTrace生态，降低多框架接入成本。
6 讨论与局限性
局限性
- 如果原始日志完全缺失依赖元数据，只能依靠相似度时序推断依赖边，推断会引入噪声，影响审计结果。
- 主要针对事后离线审计，不是运行时实时防护；和LLM‑SafeOrbit运行时防护属于互补关系。
- 对于高度非确定性推理，模型内部不可观测思考过程，只能依靠输出文本做推断。
- 数据集主要来自仿真智能体环境；真实生产环境的未知安全事件泛化有待进一步验证。
互补关系说明
- LLM‑SafeOrbit：运行时在线防护，任务执行过程拦截风险；
- TraceGuard：事后离线审计溯源 ，安全事件发生之后还原根因与攻击链路；
两者可以组合部署：运行时使用SafeOrbit做防护，发生安全事件之后导出轨迹送入TraceGuard完成事后取证审计。
7 结论
本文提出TraceGuard，面向大模型智能体的事后溯源审计框架。基于AgentTrace本体扩展安全审计字段；实现日志规范化解析、审计因果DAG构建、根因候选挖掘、违规链路重构、标准化审计报告生成完整流水线。
在TraceGuard‑Audit‑Set（1142条安全事件轨迹）评测，根因定位F1=87.5%，攻击链路重构成功率81.3%，优于直接LLM读取原始日志基线；消融证实审计因果DAG、审计扩展字段的关键作用；框架原生兼容AgentTrace轨迹格式。TraceGuard与运行时防护框架LLM‑SafeOrbit形成互补。全部解析脚本、数据集、审计模板开源，用于智能体安全事后取证与合规审计。
附录简要说明
- 附录A：审计扩展本体完整JSON‑Schema定义。
- 附录B：数据集标注协议，真值根因、链路标注规则。
- 附录C：DAG反向回溯、根因打分完整算法伪代码。
- 附录D：审计报告Markdown/JSON输出完整样例。
- 附录E：不同基座模型鲁棒性测试，细分消融数据表。