当智能体从“生成答案”走向“设备操控”，安全问题也随之改变：一次点击、一次转发、一次跨应用信息搬运，单独看都可能合理，但连成一条执行轨迹后，却可能越过用户、应用或组织设定的安全边界。如何判断它究竟有没有违规，而且能说明“哪一步、违反了什么规则、为什么”？MATE 试图回答的正是这个问题。
我们与上海创智学院提出 MATE，将自然语言安全规则作为显式条件，与任务指令和 Agent 执行轨迹一起输入审计模型，在给出违规判断的同时输出风险类别与可核查的解释。该工作发表于 USENIX Security 2026。
论文与项目资源
论文：https://www.usenix.org/system/files/usenixsecurity26-jiang-changyue.pdf
项目主页：https://jiangchangyue.github.io/MATE
GitHub：https://github.com/jiangchangyue/MATE
模型：https://huggingface.co/fgdrg/MATE-3B
【从“输出是否安全”到“行为是否合规”：GUI Agent 带来了不同的问题】
传统大模型的安全评估往往围绕最终输出展开：回答里有没有有害内容、是否泄露敏感信息、是否违反某类安全规范。但 GUI Agent 不只是“说”，它会在真实界面中执行一连串动作：打开应用、读取页面、输入文字、点击确认、调用系统能力、跨 App 复制信息，最终完成一个多步骤任务。
这使安全判断从“看一句话”变成了“看一段行为过程”。很多风险并不存在于某个孤立动作中，而是在多个动作连续发生后才出现。例如，读取一段敏感信息本身可能符合任务需要，把它发送给某个对象也可能是合法操作；真正的问题在于：读取了什么、发给谁、是否获得授权、是否符合当前规则，以及中间是否出现了风险提示。单麻烦的是，GUI 行为本身往往缺少明确语义。同样是一次 click、type 或 swipe，在不同 App、不同页面状态、不同用户目标和不同规则下，含义可能完全不同。
因此，GUI Agent 的安全审计至少要同时解决三件事：理解长轨迹中的上下文；理解不同 App 和任务语境下动作的真实含义；按照当前场景的具体规则，而不是一套永远不变的“统一危险定义”做判断。
【MATE 的关键不是“识别危险动作”，而是“按规则解释整条轨迹”】
MATE 将审计问题写成一个明确的条件化判断：给定用户任务、Agent 执行轨迹以及一条或多条自然语言安全规则，判断这条轨迹是否违反规则；如果违规，再指出风险类别，并生成与轨迹步骤相对应的审计理由。
这里最重要的设计，是把“什么算违规”从模型参数中解耦出来。安全规则作为可编辑文本存在：企业可以写自己的数据处理要求，应用可以定义操作边界，家庭场景可以设置儿童模式，个人用户也可以给出隐私偏好。规则改变后，审计条件随之改变，而不是重新训练一个新的“危险分类器”。
这也解释了为什么 MATE 与简单的动作黑名单不同。同一次“转发消息”，在用户明确授权的情况下可能是正常任务；如果内容包含未经验证的恶意链接、且被批量转发给联系人，就可能触发完全不同的安全结论。真正决定结果的是“轨迹 + 规则”的组合
【先看两个真实案例：同样是“点击”和“转发”，上下文决定风险】
案例一：不是“转发”本身危险，而是它扩大了潜在恶意内容的传播
在 AutoGLM 轨迹中，Agent 将含有潜在恶意优惠券链接的短信批量转发给联系人。MATE-3B 将该轨迹判定为违规。判断依据并不是看到“转发”这个动作就直接拦截，而是结合链接风险、转发对象以及缺少合法性验证和接收方同意等上下文，认为这条轨迹扩大了潜在钓鱼或恶意软件的传播范围。
案例二：不是“打开网页”就默认安全，浏览器警告也属于审计上下文
在 Mobile-Agent 案例中，Agent 根据任务访问恶意软件测试页面，并继续进入被浏览器安全机制拦截的风险路径。MATE-3B 判定为违规，并给出“避免访问可能危及设备安全的不可信或高风险网站与规则不一致”的解释。
这两个案例说明，轨迹审计的价值不在于给动作贴固定标签，而在于把任务意图、页面状态、前后步骤和安全规则放到同一个判断框架中。
【真正的瓶颈不是模型规模，而是“带规则的风险轨迹”从哪里来】
要训练一个能够理解规则、轨迹和风险关系的审计器，首先需要大量带有规则条件的训练样本。但真实手机轨迹很难规模化采集：不同 App 的界面与工作流高度异构，风险任务还可能涉及真实隐私、诈骗、恶意网站或设备安全问题，直接在真实环境中大规模执行并不合适。
MATE 采用了另一条路线：先构建应用知识，再在知识约束下合成轨迹。我们从 158 个中英文热门移动应用中收集功能描述、操作工作流与安全策略等信息，形成 App 级知识基础；在此基础上逐步合成任务指令、ReAct 风格轨迹、规则条件标签、风险类别与解释。
这一过程并不是让通用大模型“一次性自由生成”。论文设计了多阶段结构检查、语义与规则一致性修复以及人工核验，并进一步加入轨迹—规则错配、多规则监督和跨 App 工作流等增强策略，使模型必须真正学习“当前这条规则是否被这段轨迹违反”，而不是简单记忆某些高风险动作或关键词。
最终得到超过 14 万条带有安全规则的智能体风险轨迹数据，覆盖单 App 与跨 App 场景，为后续训练和评测提供了可扩展的数据基础。
【只在训练过的 App 上做得好还不够：MATEBench 测试“换 App 之后还能不能审”】
基于上述数据与真实设备采集，我们进一步构建了中英双语基准 MATEBench。它的设计重点不是只给出一个总体准确率，而是把“域内”“未见 App”和“真实设备”拆开评估。
-
MATEBench-In：2,775 条轨迹，来自 134 个训练阶段已经覆盖的 App，用于评估域内审计能力。
-
MATEBench-Out：1,150 条轨迹，来自 24 个未见 App，重点考察跨应用语义和工作流的泛化能力。
-
MATEBench-Real：162 条真实设备轨迹，覆盖 13 个 App、3 类 Agent，包括智谱 AutoGLM 与阿里巴巴 Mobile-Agent 系列。
值得注意的是，合成数据“看起来像真实轨迹”并不等于完全替代真实数据，但从轨迹步数和 GUI 动作频率等统计分布看，MATEBench-In / Out 与 MATEBench-Real 整体较为接近。这为利用知识驱动合成数据训练轨迹审计器提供了一个重要的经验基础。
【结果不仅看准确率，还要看模型规模与单轨迹成本】
论文将 MATE 与静态规则引擎、通用 LLM-as-a-Judge，以及 ShieldAgent、ShieldLM 等安全判别方法进行比较，评测覆盖 R-Judge、ASSEBench 与 MATEBench 三个子集。
MATE-3B 在五组数据上的准确率分别达到 92.64%、94.98%、96.83%、95.48% 和 95.06%，在 MATEBench-Real 上的 F1 为 95.60%。USENIX 官方摘要进一步概括为：MATE 在 MATEBench 上达到 95% 以上的审计准确率，并相较既有方法取得约 20% 的平均提升。
小模型也能做轨迹审计：0.5B 在 H100 上单轨迹约 0.09 秒。
在论文统一实验环境中，MATE-0.5B 审计一条 MATEBench-Out 轨迹约需 0.09 秒，同时取得 92.00% 准确率；MATE-3B 的单轨迹延迟约为 0.21 秒，准确率为 95.48%。这里的 0.09 秒并不意味着所有终端硬件都能稳定达到 100 ms 以内，但它说明：针对轨迹审计训练的专用小模型，可以在较低模型规模下获得具有竞争力的判断能力。
【为什么专门训练有用？零样本基础模型并不会自动学会“按规则审轨迹”】
消融实验表明，直接让通用 Qwen2.5-Instruct 以零样本方式完成规则条件化轨迹审计，平均准确率低于 50%；在合成轨迹上进行任务特定微调后，总体准确率提升到 92% 以上。与此同时，外部 App 知识和多阶段质量修复也都对真实轨迹泛化产生明显贡献。
这说明性能提升并不只是“生成更多样本”的结果，更关键的是：训练数据需要包含应用知识、规则条件与轨迹语义之间的一致关系，并经过针对性的质量控制。
【从论文模型到可复用审计层：还要解决“日志接不进来”和“规则从哪找”】
真实系统里的 Agent 日志并没有统一格式：有的记录 Thought / Action，有的主要保存截图与操作，有的将页面状态、工具调用和动作参数分散在不同字段。即使模型本身判断得很准，如果只能读取一种固定日志格式，也很难接入不同 Agent。
因此，MATE 在部署侧设计了两个辅助组件。Trajectory Adapter 负责把原始文本或多模态日志规范化为统一的 ReAct 风格轨迹；Policy Retriever 则从已有规则池中检索与当前任务和轨迹最相关的安全规则，再交给 MATE 完成审计。
这两个组件把“审计模型”与“Agent 日志格式”“应用规则库”尽可能解耦：前端 Agent 可以变化，后端规则也可以更新，而审计器仍然保持统一接口。对于希望把安全能力作为系统基础设施复用的场景，这一点比单纯提高一个 benchmark 分数更重要。
【结语：真正可信的 Agent，不只是“任务完成了”，还要能回答“这一路是怎么完成的”】
MATE 所探索的方向，是把自然语言规则直接纳入审计回路，让“规则”可以被修改，让“轨迹”可以被解释，让“违规”可以被定位。它并不试图用一套静态标准覆盖所有 Agent 场景，而是提供一个更接近现实治理方式的接口：不同场景可以有不同规则，但每一次执行都能够被同一套审计机制检查。
从“会执行”到“可审计”，可能是智能体真正进入真实设备和关键业务之前必须补上的基础能力之一。
作者介绍
蒋昌跃，复旦大学、上海创智学院2024级联合全时培养在读博士生，研究方向主要包括 AI 安全、智能体安全，在 ICML、USENIX Security、ACM CCS 等会议上发表多篇论文。
王家熠，复旦大学2024级硕士生，研究方向方向为AI安全、智能体安全，在USENIX Security、NeurIPS等会议发表多篇论文。
文鑫，复旦大学2025级硕士生，研究方向为AI安全、智能体安全，在USENIX Security会议发表论文。