一篇于 2026 年 8 月 17 日上传的 arXiv 研究，将 foundation-model-powered embodied agents 的安全问题重新放回「信任边界」来分析。研究团队认为，当模型参与感知、推理、规划和动作生成时，风险不会停留在文字输出；数字输入可以一路传播到实体行为。这使机器人、VLA 和带有工具的实体 Agent 需要比纯文字 chatbot 更完整的安全模型。
研究提出 first-compromised-trust-boundary 原则，将 attack surface 和 attack mechanism 分开。前者回答攻击者最早在哪个系统表示层取得影响，后者才描述使用了 prompt injection、backdoor、poisoning 或 adversarial example 等方法。这种区分有助于避免把「攻击名称」误当成风险位置，也可以追踪从输入、状态到行动的 propagation path。
作者把系统整理成五层、十二个 attack surfaces，范围由 model supply chain、user instruction、context and memory、physical semantic environment、multimodal perception、world state、reasoning、task planning、action interface，一直到 middleware、multi-agent communication 和 execution control。实际部署时，这张图比单一的 LLM firewall 清单更有用，因为不同边界需要不同的控制和证据。
这份研究的数据集截至 2026 年 8 月 15 日包含 58 个 attack records 和 61 个 defense records。作者报告，攻击研究较集中在 multimodal perception 和 action interfaces，防御研究则较集中在 action-level 和 runtime protection；context、long-term memory、middleware and networking、world-state integrity 和 multi-agent trust 的研究相对少。这些是该研究整理文献后的观察，不是所有 embodied systems 的事故率。
实体 Agent 的风险与文字 Agent 有一个根本差异：模型输出可能经过 code、API、skill library、motion planner 和 controller，最后变成具有时间累积效应的动作。一次小错误可能改变下一个 observation，再在长任务中放大；防御又要在严格 latency 下完成。因此只检查模型是否拒绝一句恶意指令，不足以代表机器人最后的 action 或 environment state 是安全的。
对于工程团队，较稳妥的验证方式是把每次感知、状态更新、计划、工具调用和行动都记录成可追溯事件，并为高影响 action 设置独立 policy gate、模拟环境和人工确认。多机器人系统还需要身份、message authentication、least privilege、shared-memory isolation 和 claim provenance。文章讨论的是安全架构和评估方向，不提供可直接操作的攻击步骤。
这项研究最实用的提醒，是安全评估应由「模型回答了什么」移向「哪个信任边界先被改变，以及错误如何穿过闭环」。对于任何会读取外部数据、保存长期记忆或调用实体工具的 Agent，团队都应把 context、middleware、world state 和 collaborator trust 列入 threat model，而不是只在最后一个 action 前加一道审核。
