Archestra推OpenAPPA AI外泄防御0失误

时间：2026年10月3日，AI 安全初创公司 Archestra 正式开源其代理安全引擎 OpenAPPA，并同步发布由 Arseny Kravchenko 等 5 位作者撰写的 APPA（Agentic Permissions Policy Algebra）论文，论文已被 NeurIPS 2026 "Agents in the Wild" Workshop 接收，GitHub 仓库采用 MIT 协议。 地点：美国旧金山 Archestra 总部、GitHub 平台 archestra-ai/OpenAPPA 仓库、Archestra 公司博客产品为主页，以及 NeurIPS 2026 Workshop on Agents in the Wild 学术会议。 人物：Archestra 团队（论文作者 Arseny Kravchenko、Vadim Liventsev、Innokentii Konstantinov、Ildar Iskhakov、Matvey Kukuy）、Microsoft 公司（FIDES 框架开发方）、Anthropic 公司（Claude Code 与 auto-mode 提供方）、英国 AI 安全研究所（维护 AgentThreatBench 基准）、OpenAI 公司（涉及其代理安全事件背景）、Hugging Face（OpenAPPA 集成方）。 事件详情：Archestra 发布开源 AI 代理安全引擎 OpenAPPA，作为对 Google、OpenAI、Anthropic 近期连续披露 AI 安全事件的回应。OpenAPPA 核心创新是把"数据是否允许从 A 流向 B"的判定从概率分类器（LLM-as-a-judge）切换到确定性代数引擎，在每次工具执行前后检查 audience 受众与 trust 信任度两维安全标签，通过 TOML 配置文件 appa.toml 声明每个工具合约的 delta/requires/effects 三个属性。在 Bench-Corp（20 个企业多步骤工作流）与 AgentThreatBench（OWASP 代理应用 Top 10）共 1320 次评测中，OpenAPPA 攻击成功率 0%、任务完成率 88-90%；对照 Microsoft FIDES 攻击成功率 28-35%、任务完成率 37-45%，Claude Code auto-mode 攻击成功率 10%、完成率 90%。OpenAPPA 同时支持 Claude Code、Cursor、Codex、OpenCode、Copilot CLI、n8n 等通过 LLM 代理层接入。 背景：传统"LLM 评判 + 提示词审核"思路存在结构性缺陷：①二级模型本身可被 prompt 注入拆解，所以 Claude Code 不得不向其隐藏工具结果，让裁判看不到真实数据；②即使最强分类器也只能达到 99.3% 防御率，规模化下仍可形成显著漏洞；③黑名单（禁 rm -rf）易被等价命令绕过。Archestra 设计团队借鉴 1970 年代军用信息流控制思想，通过格点代数让标签只能更严格收缩；处理 refusal 时返回 sanitizer（脱敏后允许出口）、authority（人工批准一次）、subagent read（沙箱读后只回传合规部分）三种 remedy 方案。 影响：OpenAPPA 把 AI 代理安全从"概率守护"推进到"确定守护"，并在 1320 次基准评测中拿到 0% 攻击率，对 Microsoft FIDES（28-35% 攻击率）与 Claude Code auto-mode（10% 攻击率）形成代差。Archestra 1.4 Release Candidate 已在 LLM 代理层接入 Claude Code、Cursor、Codex、OpenCode、Copilot CLI、n8n 等主流代理，并兼容 MCP 网关。但 OpenAPPA 任务完成率 75-90% 低于完全无防护代理 96%，还带来约 12% 成本与吞吐折损；同时，引擎依赖合约作者正确声明数据敏感度（delta 声明错误会直接破坏防御），任何未通过引擎的工具集成（如未路由的 wildcard）仍然无防护，OpenAPPA 保证仅作用于被中介的调用。 总结：在 AI 智能体频频"读一份机密数据后三条对话外泄到 GitHub"的当下，Archestra 用 50 年前军用机密分级思想给 LLM 工具流加上流量审计，0 攻击率 + 89% 完成率让"AI 代理既能干活又不泄密"首次具备工程可行性；尽管当前仍是 RFC 预览版、合规需要合约工程师配合，且收益折损超过 10%，OpenAPPA 已经为 AI 代理治理划定了"安全代理"的下一个里程碑。 参考来源： - https://www.infoq.com/news/2026/10/open-APPA-zero-security-breach/ - https://archestra.ai/blog/announcing-openappa - https://www.openappa.com/ - https://github.com/archestra-ai/OpenAPPA - https://ai-infrastructure.net/appa-recoverable-information-flow-control - https://daily.dev/posts/did-a-50-year-old-military-secret-just-solve-agent-prompt-injection--hunrsnbda - https://wisevoter.com/world/2026/10/04/archestra-released-openappa-security-engine - https://arxiv.org/abs/2607.24625