Archestra 開源 OpenAPPA 安全引擎，在智能體循環外強制執行策略，防止提示詞注入與幻覺導致的資料外洩

Archestra 發布開源安全引擎 OpenAPPA，目標是阻止提示詞注入或模型幻覺引發的資料外洩。OpenAPPA 在智能體的提示詞與執行循環之外運行，以設定檔定義資料來源、訪問對象（audience）、信任等級（trust）與權限主體，並以確定性規則強制執行，而非交由另一個模型逐次判斷工具呼叫。團隊指出，Claude Code 自動模式與 Codex 自動審核等以第二模型把關的做法，無法跨工具呼叫追蹤資料流，且分類器本身可能遭提示詞注入，因此判斷模型看不到被隱藏的工具輸出；即使準確率達 99.3%，在大量呼叫下仍會產生可觀的外洩事件。 機制上，訪問對象與信任等級以格代數實現單調組合，標籤只會更嚴格：讀取受限記錄會縮小可訪問對象範圍，讀取未經核驗的外部網頁會降低信任等級。每個工具契約定義 requires（執行所需的身分與信任等級）、delta（返回資料時施加的限制變更）與 effects（審計日誌）。違規時引擎會停止調度並提供恢復路徑，包括可去除個資等敏感內容的淨化器（Sanitizers）、將請求送交人工或內部驗證 API 的權限主體（Authorities），以及在臨時子分支中隔離讀取不受信任資料的一次性子分支（Disposable Child Branches）。 測試方面，團隊在 Bench-Corp（20 項多步驟企業工作流）與 OWASP AgentThreatBench 上比較各方案：OpenAPPA 攻擊成功率 0%、任務完成率 89%；Claude Code 原生自動模式攻擊成功率 10%、任務完成率 90%；微軟 FIDES 攻擊成功率 31%、任務完成率 41%。消融實驗顯示，完全停用恢復機制後任務完成率降至 35.0%。AgentThreatBench 已合併進英國人工智慧安全研究所的官方倉庫。 相關理論見論文《APPA：面向真實世界 LLM 智能體的可恢復資訊流控制》（arXiv:2607.24625，作者為 Arseny Kravchenko 等人）。OpenAPPA 目前仍處於預覽階段。以上數據皆來自單一來源與發布方自行公布的測試，尚未經獨立驗證。