对抗性攻击（Adversarial Attack）

文本对抗：在不改变语义的前提下做扰动——同义替换、插入不可见 Unicode、拼写变体、少样本误导示范，使模型判断偏移。视觉对抗：在图像上叠加人眼难辨的噪声，让视觉模型/Computer Use 误识别界面元素。投毒（Poisoning）：在训练数据或 Agent 记忆中埋入恶意样本，使模型在特输入时出错。

Agent 的「感知-规划-行动」链使对抗危害被放大：一个被扰动的输入 → 触发错误规划 → 调用错误工具 → 产生真实后果。与 prompt injection 结合时，对抗样本可成为「触发开关」，在特定扰动下激活恶意行为。

鲁棒训练：用对抗样本做数据增强提升抗性。输入净化：归一化文本、剥离不可见字符、对图像做去噪。异常检测：监测输入困惑度、输出偏离度识别可疑样本。记忆洁净：对写入记忆的内容做来源与一致性校验，抵御投毒。

对抗防御将与模型训练深度绑定：原生鲁棒模型 + 运行时对抗检测成为 Agent 标配；「对抗训练即服务」降低中小团队构建安全 Agent 的门槛。