11 · 参考文献与相关研究

文档定位：本课题的文献调研结果与相关工作定位。给出检索策略、目标期刊（含等级与官网链接）、分类文献清单、研究空白分析，以及本课题与最接近的 5 篇工作的差异对照。用于论文的"相关工作"章节与开题/答辩的文献支撑。
关联文档：docs/01-系统总体方案.md、docs/02-安全管控插件层设计.md、docs/10-答辩问答手册.md、docs/adr/0003-openclaw-as-agent-core.md、docs/adr/0004-security-plugin-layer-in-process.md
状态：初稿。标注 ⚠ 的条目必须在写入论文前核对卷期页码与分区等级。

0. 等级标注体系与链接核验说明

0.1 等级标注含义

标注	含义	权威依据
SCI 一区 / 二区 / 三区	中科院文献情报中心《中国科学院文献情报中心期刊分区表》（升级版）大类分区	中科院分区表（每年 12 月更新）
JCR Q1–Q4	Clarivate《Journal Citation Reports》学科四分位	JCR（每年 6 月更新）
CCF A / B / C	中国计算机学会《推荐国际学术会议和期刊目录》	CCF 目录（最新版）
中文 A / B / C 类	CCF《推荐中文科技期刊目录》	CCF 中文目录
北大核心	《中文核心期刊要目总览》（北京大学图书馆）	2023 年版为最新版
CSCD	中国科学引文数据库（核心库 / 扩展库）	中科院文献情报中心
EI	Engineering Index / Ei Compendex 收录	Elsevier Engineering Village
科技核心	中国科技论文统计源期刊	中国科学技术信息研究所（每年更新）

0.2 链接核验状态

标记	含义
✅	本次检索（2026-09-22）中实际出现在检索结果里，链接有效
⚠	未实测需核验；或分区/等级需按最新目录复核

重要提醒：分区与收录状态每年变动。中科院分区表 12 月更新、JCR 6 月更新、北大核心约 4 年一版、CSCD 两年一版。本文件的等级标注是截至 2026-09 的快照，写论文与投稿前必须按 §0.3 的权威入口复核。

0.3 等级核实的权威入口

查询对象	权威入口
北大核心（中文核心期刊要目总览）	北京大学图书馆 http://hxqk.lib.pku.edu.cn/
中科院分区	中科院文献情报中心期刊分区表 https://www.fenqubiao.com/
JCR 分区 / 影响因子	Clarivate JCR（需机构订阅）
CCF 推荐目录	中国计算机学会 https://www.ccf.org.cn/Academic_Evaluation/By_category/
CSCD 收录	中国科学引文数据库 http://sciencechina.cn/
Ei 收录	Engineering Village https://www.engineeringvillage.com/
SCI 收录	Master Journal List https://mjl.clarivate.com/

1. 检索策略

1.1 检索范围

项	内容
时间范围	2023 – 2026（LLM Agent 安全方向文献几乎全部集中在此区间）
检索语言	中文、英文
目标数据库	Web of Science / IEEE Xplore / ACM DL / Scopus / arXiv / 中国知网（CNKI）/ 万方 / 维普
本次实际覆盖	公开网络检索（arXiv、出版社官网、期刊官网、Google Scholar 快照）。知网/万方需校内 IP 登录，本次未直接检索，故中文文献条目需按 §7 清单补充核实

1.2 检索式

按四个概念组做交叉组合（AND）：

概念组	中文关键词	英文关键词
主体	大语言模型、大模型、智能体、LLM Agent、自主智能体	large language model, LLM, agent, autonomous agent, tool-using agent
安全	提示注入、越权、权限控制、访问控制、最小权限、零信任	prompt injection, privilege escalation, privilege control, access control, least privilege, zero trust
机制	工具调用、能力约束、策略执行、沙箱、隔离	tool calling, capability restriction, policy enforcement, sandboxing, isolation
场景	工业、预测性维护、故障诊断、工业物联网、工控系统	industrial, predictive maintenance, fault diagnosis, IIoT, ICS, SCADA

代表性检索式：

("LLM agent" OR "large language model agent" OR 智能体)
AND ("prompt injection" OR "privilege control" OR "access control" OR 越权)
AND ("tool calling" OR "policy enforcement" OR "capability")

("predictive maintenance" OR 预测性维护 OR 故障诊断)
AND ("large language model" OR "LLM" OR 大模型)
AND ("retrieval-augmented generation" OR "RAG" OR 知识库)

1.3 筛选标准

纳入：提出安全机制/架构的原始研究；系统综述；工业场景的大模型应用研究；工控安全与访问控制研究。
排除：纯科普/产品介绍、无方法论的行业报告、专利、预印本之外的博客文章。
例外：安全类的工业界标准文档（如 OWASP LLM Top 10）虽非期刊论文，但作为威胁模型来源予以引用，需注明其性质。

2. 本领域的目标期刊与会议

以下清单用于两件事：引用时优先选它们，以及后续投稿时作为目标。

2.1 国内核心期刊（中文）

期刊	等级	官网 / 检索入口	与本课题的相关方向
计算机学报	北大核心 ✅ / CSCD / EI / CCF 中文 A 类	http://cjc.ict.ac.cn/ ✅	大模型安全、RAG 综述、系统安全
软件学报	北大核心 ✅ / CSCD / EI / CCF 中文 A 类	https://www.jos.org.cn/ ✅	智能体系统、软件工程中的 RAG、形式化方法
计算机研究与发展	北大核心 / CSCD / EI / CCF 中文 A 类	http://ict.cas.cn/xscbw/jsjyjyfz/ ✅	访问控制模型、隐私计算、系统安全
自动化学报	北大核心 ✅ / CSCD / EI / CCF 中文 A 类	https://www.aas.net.cn/ ✅	工业过程监控、故障诊断、智能控制
通信学报	北大核心 / CSCD / EI	https://www.joconline.com.cn/ ✅	工业互联网安全、零信任、网络协议安全
电子学报	北大核心 ✅ / 科技核心 ✅ / EI ✅ / CSCD ✅（期刊官网自述）	https://www.ejournal.org.cn/ ✅	信息安全基础理论
计算机集成制造系统	北大核心 ✅ / CSCD / EI	http://www.cims-journal.cn/ ✅	智能制造、工业大模型、制造系统集成
机械工程学报	北大核心 ✅ / CSCD / EI	http://www.cjmenet.com.cn/ ✅	设备故障诊断、预测性维护、状态监测
仪器仪表学报	北大核心 ✅ / CSCD / EI	https://yqyb.cis.org.cn/yqyb/home ✅	传感与状态监测、工业测量
振动与冲击	北大核心 ✅ / EI ✅ / CSCD ✅	https://jvs.sjtu.edu.cn/CN/home ✅	旋转机械振动特征与故障诊断（振动数据特征提取的直接依据）
信息网络安全（ISSN 1671-1122）	北大核心 ✅（2017 版入选，期刊官网自述，需按 2023 版复核 ⚠）/ 科技核心 ✅；CSCD ⚠ 待核实	http://netinfo-security.org/ ✅	LLM 安全、工控安全（本课题最对口的国内期刊之一）
信息安全学报	CSCD ⚠ 待核实	http://xuebao.iie.ac.cn/ ✅	系统安全、访问控制、协议安全
计算机工程与应用	北大核心 ⚠ 待核实	http://cea.ceaj.org/ ✅	RAG 技术综述、应用系统实现
计算机应用研究	北大核心 / 科技核心	https://www.arocmag.cn/ ✅	工程实现类工作
网络与信息安全学报（ISSN 2096-109X）	科技核心（CSTPCD）✅；北大核心 / CSCD ⚠ 未确证	https://opaj.napstic.cn/periodical/wlyxxaqxb ✅（官网未找到，此为国家级期刊平台条目）	信息安全领域学术刊物（工信部主管、人民邮电出版社主办、主编方滨兴）

⚠ 易混淆提醒：《信息网络安全》≠《网络与信息安全学报》。这是两本完全不同的期刊，名字高度相似，检索时极易张冠李戴：
《信息网络安全》《网络与信息安全学报》
英文名 Netinfo Security Chinese Journal of Network and Information Security
ISSN / CN 1671-1122 / 11-4990-TP 2096-109X / 10-1366-TP
主办公安部第三研究所人民邮电出版社（工信部主管）
官网 http://netinfo-security.org/ ✅ 未找到独立官网 ⚠
等级北大核心 ✅（2017 版）/ 科技核心 ✅ 科技核心（CSTPCD）✅
本文件早期版本曾把两刊混为一谈（将 netinfo-security.org 误当作《网络与信息安全学报》官网，并把 ISSN 1671-1122 的 DOI 挂在《网络与信息安全学报》名下）。已按上述事实更正：§3.1 的 S2 与 §3.6 的 C1 **实为《信息网络安全》**刊载（其 DOI 中的 ISSN 1671-1122 可自证）。
两刊的选题都高度对口本课题（LLM 安全 + 工控安全），引用价值在于内容而非等级。等级引用前请用 §0.3 的北大图书馆入口复核。

	《信息网络安全》	《网络与信息安全学报》
英文名	Netinfo Security	Chinese Journal of Network and Information Security
ISSN / CN	1671-1122 / 11-4990-TP	2096-109X / 10-1366-TP
主办	公安部第三研究所	人民邮电出版社（工信部主管）
官网	http://netinfo-security.org/ ✅	未找到独立官网 ⚠
等级	北大核心 ✅（2017 版）/ 科技核心 ✅	科技核心（CSTPCD）✅

2.2 国际期刊

期刊	等级	官网	相关方向
IEEE Transactions on Industrial Informatics (TII)	中科院 1 区 ✅ / JCR Q1 ✅	https://ieeexplore.ieee.org/xpl/RecentIssue.jsp?punumber=9424 ✅	工业大模型 / 故障诊断 / 工业 CPS 的首选
IEEE Internet of Things Journal (IoTJ)	中科院 1 区 ⚠ / JCR Q1	https://ieeexplore.ieee.org/xpl/RecentIssue.jsp?punumber=6488907 ✅	工业物联网、边缘计算、设备侧安全
IEEE Transactions on Industrial Cyber-Physical Systems	新刊，分区待观察 ⚠	https://ieeexplore.ieee.org/xpl/RecentIssue.jsp?punumber=10079470 ⚠	工业 CPS 安全
IEEE Transactions on Automation Science and Engineering	中科院 2 区 ⚠ / CCF B	https://ieeexplore.ieee.org/xpl/RecentIssue.jsp?punumber=8856 ✅	制造系统自动化与维护调度
IEEE Transactions on Dependable and Secure Computing (TDSC)	中科院 2 区 ⚠ / CCF A	https://ieeexplore.ieee.org/xpl/RecentIssue.jsp?punumber=8858 ✅	访问控制、策略执行、系统安全
IEEE Transactions on Information Forensics and Security (TIFS)	中科院 1 区 ⚠ / CCF A	https://ieeexplore.ieee.org/xpl/RecentIssue.jsp?punumber=10206 ✅	安全机制与攻防
IEEE Transactions on Systems, Man, and Cybernetics: Systems	中科院 1 区 ⚠	https://ieeexplore.ieee.org/xpl/RecentIssue.jsp?punumber=6221036 ✅	人机协同与智能运维
Reliability Engineering & System Safety	中科院 1 区 ⚠ / JCR Q1	https://www.sciencedirect.com/journal/reliability-engineering-and-system-safety ✅	预测性维护与可靠性建模
Mechanical Systems and Signal Processing (MSSP)	中科院 1 区 ⚠ / JCR Q1	https://www.sciencedirect.com/journal/mechanical-systems-and-signal-processing ✅	振动信号处理与故障特征
Computers in Industry	中科院 1 区 ⚠	https://www.sciencedirect.com/journal/computers-in-industry ✅	智能制造系统
Journal of Manufacturing Systems	中科院 1 区 ⚠	https://www.sciencedirect.com/journal/journal-of-manufacturing-systems ✅	制造系统
Expert Systems with Applications	中科院 2 区 ⚠ / JCR Q1	https://www.sciencedirect.com/journal/expert-systems-with-applications ✅	故障诊断应用
Information Fusion	中科院 1 区 ⚠ / JCR Q1	https://www.sciencedirect.com/journal/information-fusion ✅	多源数据融合诊断
ACM Computing Surveys	中科院 1 区 ⚠ / CCF A	https://dl.acm.org/journal/csur ✅	安全类综述的首选
ACM Transactions on Software Engineering and Methodology	CCF A	https://dl.acm.org/journal/tosem ✅	智能体软件工程
Computers & Security	CCF B / 中科院 3 区 ⚠	https://www.sciencedirect.com/journal/computers-and-security ✅	系统安全应用

2.3 顶级会议

会议	CCF 等级	官网	相关方向
IEEE S&P (Oakland)	CCF A	https://www.ieee-security.org/TC/SP-Index.html ⚠	安全机制与攻防
USENIX Security	CCF A	https://www.usenix.org/conferences/byname/108 ⚠	安全机制与攻防
ACM CCS	CCF A	https://www.sigsac.org/ccs.html ⚠	安全机制与攻防
NDSS	CCF A	https://www.ndss-symposium.org/ ✅	网络与分布式系统安全
NeurIPS	CCF A	https://neurips.cc/ ⚠	Agent 评测基准、对齐与鲁棒性
ICLR / ICML	CCF A	https://iclr.cc/ / https://icml.cc/ ⚠	同上
ACL / EMNLP	CCF A / B	https://aclanthology.org/ ✅	提示工程、RAG、注入检测
ICSE / FSE / ASE	CCF A	—	智能体软件工程与测试

安全四大会（S&P / USENIX Security / CCS / NDSS）均为 CCF A，是本课题最应参照的方法论来源。本课题最直接相关的四篇工作（Progent、CaMeL、Design Patterns、IsolateGPT）中，IsolateGPT 出自 NDSS 2025，其余三篇目前为 arXiv 预印本。

3. 分类文献清单

阅读顺序建议：先读 §3.1 的综述建立地图 → 再读 §3.3 的权限控制（最直接相关工作）→ 再读 §3.2 的攻防 → 最后读 §3.5 的工业应用与 §3.6 的工控安全。

3.1 LLM Agent 安全与隐私：综述类（建立地图）

#	文献	出处 / 等级	链接	核心贡献	与本课题的关系
S1	The Emerged Security and Privacy of LLM Agent: A Survey with Case Studies（He Zhu 等）	arXiv 预印本（2024-07）；是否已正式发表及等级 ⚠ 待查	arXiv：https://arxiv.org/abs/2407.19354 ✅	系统分类 LLM Agent 的固有威胁与继承威胁，按案例说明现实场景风险	开题必引。提供"Agent 威胁分类学"作为本课题威胁模型的骨架
S2	大语言模型提示词注入攻击与防御综述（袁明, 邹其霖, 袁文骐, 王群）	信息网络安全, 2026(3)；北大核心 ✅（2017 版）/ 科技核心 ✅；DOI: 10.3969/j.issn.1671-1122.2026.03.001	期刊官网：http://netinfo-security.org/ ✅ 文章页：http://netinfo-security.org/CN/10.3969/j.issn.1671-1122.2026.03.001 ✅	中文最新的提示注入攻防综述，覆盖攻击类型与防御方法分类	国内最对口的综述。支撑本课题注入检测规则（R6）的设计依据
S3	面向可信大语言模型智能体的安全挑战与应对机制	信息通信技术与政策, 2025(1)；行业期刊（非核心） ✅；DOI: 10.12267/j.issn.2096-5931.2025.01.005	期刊官网：http://ictp.caict.ac.cn/ ✅	梳理智能体的信息泄露、模型攻击、幻觉、伦理与合规风险及应对	作为威胁清单补充引用，不宜作为核心论据

3.2 提示注入：攻击与防御

#	文献	出处 / 等级	链接	核心贡献	与本课题的关系
A1	Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection（Greshake et al.）	ACM AISec 2023（Workshop，非 CCF 主会）；页码 ⚠	ACM DL：https://dl.acm.org/doi/10.1145/3605764.3623985 ⚠ arXiv：https://arxiv.org/abs/2302.12173 ✅	提出间接提示注入：不可信内容（网页、文档、邮件）中夹带指令	必引。本课题的威胁模型（故障手册投毒）正是间接注入
A2	AgentDojo: A Dynamic Environment to Evaluate Prompt Injection Attacks and Defenses for LLM Agents（Debenedetti et al.）	NeurIPS 2024 Datasets & Benchmarks Track（CCF A）；arXiv:2406.13352	官方论文页：https://proceedings.neurips.cc/paper_files/paper/2024/hash/97091a5177d8dc64b1da8bf3e1f6fb54-Abstract-Datasets_and_Benchmarks_Track.html ✅ arXiv：https://arxiv.org/abs/2406.13352 ✅	动态评测环境，可量化 agent 在注入攻击下的任务完成率 vs 攻击成功率	实验方法学参照。本课题的攻击样例可借鉴其构造方式

3.3 Agent 权限控制与能力约束（最直接的相关工作）

这一组是本课题的主要对话对象。四篇工作分别代表四种不同的技术路线。

#	文献	出处 / 等级	链接	技术路线	核心贡献
P1	Progent: Programmable Privilege Control for LLM Agents（Shi et al.）	arXiv:2504.11703（2025-04）；是否已被会议/期刊接收及等级 ⚠ 待查	https://arxiv.org/abs/2504.11703 ✅	工具级权限控制 + 策略语言	首个面向 LLM Agent 的权限控制机制：用领域特定策略语言表达细粒度工具调用策略，在工具调用层强制实施；支持动态调整权限
P2	Defeating Prompt Injections by Design (CaMeL)（Debenedetti et al., Google Research）	arXiv:2503.18813（2025-03）；是否已被会议/期刊接收及等级 ⚠ 待查	论文：https://arxiv.org/abs/2503.18813 ✅ 代码：https://github.com/google-research/camel-prompt-injection ✅	控制流/数据流分离 + 能力（capability）机制	不改模型，靠可信代码驱动控制流、把不可信数据标记为数据而非指令，实现可证明的抗注入；在 AgentDojo 上以 67% 任务完成率保证安全性
P3	Design Patterns for Securing LLM Agents against Prompt Injections（Beurer-Kellner et al.）	arXiv:2506.08837（2025-06）；是否已被会议/期刊接收及等级 ⚠ 待查	https://arxiv.org/abs/2506.08837 ✅	设计模式归纳	提出六种可组合模式：action-selector、plan-then-execute、LLM map-reduce、dual LLM、code-then-execute、context-minimization；系统分析各模式的效用—安全权衡
P4	IsolateGPT: An Execution Isolation Architecture for LLM-Based Agentic Systems	NDSS 2025（CCF A）；论文页与页码 ⚠ 待补	会议官网：https://www.ndss-symposium.org/ ✅	执行隔离架构	为每个工具服务提供独立的执行环境与权限，切断跨服务的数据与控制流；最接近"进程外边界"的思路

3.4 工具调用协议层安全（MCP）

#	文献/来源	出处 / 等级	链接	说明
T1	Model Context Protocol 规范（含 2026-07-28 版）	MCP 官方规范；非学术来源	官网：https://modelcontextprotocol.io/ ✅ 规范变更说明：https://blog.modelcontextprotocol.io/posts/2026-07-28/ ✅	协议层权威来源，用于说明工具契约、传输与鉴权机制
T2	OWASP Top 10 for LLM Applications（2026 版）	OWASP；非期刊论文	https://owasp.org/www-project-top-10-for-large-language-model-applications/ ✅	工业界威胁清单。用于对照本课题覆盖了哪些风险项
T3	MCP 实现漏洞统计（CVE 汇总）	行业安全报告；非学术来源	⚠ 待补权威来源	仅用于说明"工具调用层是真实攻击面"这一动机，不可作为方法论依据

说明：截至本次检索，MCP 安全的同行评议论文仍然稀少，主要产出集中在预印本与工业界报告。这本身是本课题的一个机会点（见 §4）。

3.5 工业预测性运维 + 大模型 / RAG

#	文献	出处 / 等级	链接	核心贡献	与本课题的关系
I1	Fault Diagnosis and System Maintenance Based on Large Language Models	IEEE Xplore（doc 10489566）；刊物名与分区等级 ⚠ 待核实	https://ieeexplore.ieee.org/document/10489566 ✅	将 LLM 用于故障诊断与维护决策的早期工作	支撑"LLM 可做诊断"这一前提
I2	FD-MLLM: Fault Diagnosis Framework Based on Multimodal Data and Large Language Models	IEEE Xplore（doc 11278971）；刊物名与分区等级 ⚠ 待核实（疑为 IEEE TII，1 区）	https://ieeexplore.ieee.org/document/11278971 ✅	多模态数据 + LLM 的故障诊断框架	说明多模态是趋势；本课题原型仅用温度/振动，需在"局限"中说明
I3	FCLLM-DT: Empowering Federated Continual Learning With Large Language Models and Digital Twin	IEEE Xplore（doc 10795863）；刊物名与分区等级 ⚠ 待核实	https://ieeexplore.ieee.org/document/10795863 ✅	LLM + 数字孪生 + 联邦持续学习	落地期演进方向参考
I4	工业大模型应用技术：综述与展望	软件导刊, 2025；非核心期刊 ⚠；DOI: 10.11907/rjdk.251555	期刊官网：https://www.rjdk.org.cn/ ✅	归纳国内外工业大模型关键技术与典型应用，指出落地挑战	作为工业大模型全景的背景引用
I5	检索增强生成技术研究综述	计算机工程与应用；北大核心 ⚠ 待核实；DOI: 10.3778/j.issn.1002-8331.2501-0061	期刊官网：http://cea.ceaj.org/ ✅	RAG 关键技术（检索器、生成器、优化）系统综述	支撑本课题 `kb.search` 与 ai-db 向量库的设计
I6	检索增强生成在软件工程中的应用综述	软件学报（2026）；北大核心 / CSCD / EI / CCF 中文 A 类 ✅；卷期页 ⚠	文章页：https://jos.org.cn/jos/ch/reader/view_abstract.aspx?file_no=7567 ✅	RAG 在软件工程领域的系统综述（2021–2024）	参考其 RAG 评测框架，用于设计知识库检索的评估指标
I7	大语言模型检索增强生成优化技术研究综述	计算机学报（待核实，仅见于二次引用）	⚠ 未找到原文，核实不到则删除	RAG 优化技术	必须核实原文，否则不予引用

3.6 工控系统安全与访问控制

#	文献	出处 / 等级	链接	核心贡献	与本课题的关系
C1	工业控制系统安全研究综述（金增旺, 江令洋, 丁俊怡, 张慧翔, 赵波, 方鹏飞）	信息网络安全, 2025(3)；北大核心 ✅（2017 版）/ 科技核心 ✅；DOI: 10.3969/j.issn.1671-1122.2025.03.001	期刊官网：http://netinfo-security.org/ ✅ 文章页：http://netinfo-security.org/CN/10.3969/j.issn.1671-1122.2025.03.001 ✅	综述工业控制协议的安全现状、挑战与趋势	工业侧威胁模型的国内权威依据
C2	工业控制系统安全综述（杨婷等）	待核实	⚠ 待补	覆盖制造、交通、水利、电力等关键基础设施的工控安全	补充引用
C3	零信任架构与动态访问控制相关研究	需补充检索（见 §7.2）	⚠ 待补	动态授权、持续验证	本课题"网关统一入口 + 最小权限"与零信任思想同源，需引用正规文献而非行业博客

4. 研究空白与本课题定位

4.1 现有工作的三条主线与各自缺口

主线	代表工作	已解决	缺口
策略层权限控制	P1 Progent	用策略语言表达工具级权限，可动态调整	① 未区分"进程内策略层"与"进程外凭证边界"，把权限控制全部放在应用进程内，无法回答"策略层被绕过怎么办"；② 未涉及字段级最小权限；③ 无工业场景与数据模型
设计级抗注入	P2 CaMeL、P3 Design Patterns	通过控制流/数据流分离实现可证明的抗注入；归纳出六种模式	① 要求控制流由可信代码驱动（plan-then-execute 类），与 ReAct 的自由循环存在张力，落地时需改造 Agent 内核；② 停留在模式与证明层面，缺少在真实工业系统上的完整落地与度量；③ 未讨论审计完整性与可用性的取舍
执行隔离	P4 IsolateGPT	为每个工具服务提供独立执行环境与权限，切断跨服务流	① 面向通用 Agent 应用生态，不含工业数据模型；② 隔离粒度是"服务级"，未涉及"同一服务内按调用方裁剪字段"；③ 未讨论 Agent 循环的行为约束（配额、收敛）

4.2 本课题的六个差异点

双层纵深结构的显式提出与论证。 把 L1 进程内策略层（有完整会话上下文 ⇒ 能做语义级判定、参数改写、配额）与 L2 进程外凭证边界（独立进程、独立凭证 ⇒ 不可绕过、能做字段裁剪与权威审计）拆成两层，并明确论证二者互补且不可互替，以及各自"拦不住什么"。现有工作（P1–P4）基本只做其中一层，或未做这个区分。
最小权限落实到字段级，且裁剪行为可观测。 网关返回载荷中带 meta.redactedFields，使"裁剪确实发生"成为可截图、可对照的验证事实，而非设计声明。P1–P4 均未把裁剪的可观测性作为设计目标。
审计 fail-closed 语义。 审计落库失败 ⇒ 调用失败、不返回数据。多数工作把审计当旁路日志（异步、失败不影响主流程）。本课题把审计完整性置于可用性之上，并明确记录其代价（业务库故障会导致网关整体拒绝服务）。
用会话级工具配额约束 ReAct 循环收敛。 配额不只是防滥用，更是行为约束：配额耗尽后返回结构化拒绝原因，迫使 Agent 基于已有信息给出结论，使循环必然终止。文献中少见把"Agent 行为约束"与"访问控制"并置讨论。
工业场景的双库分离 + 唯一出口，把注入后果压缩到"多调用几次工具"。 即使提示注入完全成功、模型完全听话，Agent 能做的也只是多调用几次工具——它没有凭证、网关会裁剪。这是"假设模型会被攻陷"的设计思路，与 P2 的"设计级防御"同源，但实现手段是凭证隔离而非控制流约束，因而不需要改造 Agent 内核。
对框架信任模型限制的显式声明与适配。 识别出所选 Agent 框架（OpenClaw）的信任模型是单用户个人助理、插件与宿主同进程，因此明确不宣称插件层是安全边界，而是把多用户权限模型移到网关承载。多数工作在使用某框架时不会显式声明其信任模型边界。

4.3 一句话定位

现有工作分别回答了"怎么表达权限策略"（P1）、"怎么在设计中保证抗注入"（P2、P3）、"怎么隔离工具服务"（P4）；本课题回答的是"在一个真实工业 Agent 系统里，如何把这些思路组织成可落地、可审计、可验证的双层纵深结构，并诚实界定每一层的能力边界"。

5. 与最接近的 5 篇工作的差异对照表

维度	P1 Progent	P2 CaMeL	P3 Design Patterns	P4 IsolateGPT	本课题
防御层次	进程内（工具调用层）	设计级（控制流/数据流）	设计模式	进程级隔离	进程内 + 进程外双层
是否需改造 Agent 内核	部分（需接入策略执行点）	需要（控制流须由可信代码驱动）	需要	需要	不需要（走插件钩子 + 独立网关）
凭证隔离	无	有（能力机制）	有（部分模式）	有（服务级）	有（字段级 + 双库分离）
字段级最小权限	无	无	无	无	有
裁剪可观测性	无	无	无	无	有（`redactedFields`）
审计 fail-closed	未讨论	未讨论	未讨论	未讨论	有，且明确代价
Agent 循环行为约束	无	无（改为确定性控制流）	部分（模式隐含）	无	有（会话级配额）
工业场景与数据模型	无	无	无	无	有（遥测/设备/工单/故障知识库）
硬件在环验证	无	无	无	无	有（STM32 终端）
对框架信任模型的态度	未讨论	未讨论	未讨论	未讨论	显式声明并适配
评测方式	自建任务集	AgentDojo	案例分析	自建	正证（拦截用例）+ 反证（越界尝试全失败）

表中"无/未讨论"的判断基于各文献摘要与公开描述，写入论文前需逐篇核对全文，避免误述他人工作。

6. 参考文献（GB/T 7714 格式草案，含等级与链接）

格式按 GB/T 7714—2015。标 ⚠ 的条目卷期页码/等级未核实，不得直接用于正式论文。

[S1]  ZHU H, et al. The Emerged Security and Privacy of LLM Agent: A Survey
      with Case Studies[EB/OL]. arXiv:2407.19354, 2024.
      https://arxiv.org/abs/2407.19354
      ⚠ 作者列表、是否已正式发表、刊物等级 待核实

[S2]  袁明, 邹其霖, 袁文骐, 王群. 大语言模型提示词注入攻击与防御综述[J].
      信息网络安全, 2026(3). DOI: 10.3969/j.issn.1671-1122.2026.03.001
      期刊官网: http://netinfo-security.org/
      等级: 北大核心（2017 版入选）/ 科技核心
      ⚠ 卷、页码待核实；北大核心需按 2023 版复核
      注: ISSN 1671-1122 属《信息网络安全》，勿与《网络与信息安全学报》(2096-109X) 混淆

[S3]  面向可信大语言模型智能体的安全挑战与应对机制[J]. 信息通信技术与政策,
      2025(1). DOI: 10.12267/j.issn.2096-5931.2025.01.005
      期刊官网: http://ictp.caict.ac.cn/
      等级: 行业期刊（非核心）
      ⚠ 作者、页码待核实

[A1]  GRESHAKE K, ABDELNABI S, MISHRA S, et al. Not what you've signed up for:
      Compromising Real-World LLM-Integrated Applications with Indirect Prompt
      Injection[C]//Proceedings of the 16th ACM Workshop on Artificial
      Intelligence and Security (AISec). 2023: 79-90.
      https://dl.acm.org/doi/10.1145/3605764.3623985
      预印本: https://arxiv.org/abs/2302.12173
      等级: Workshop（非 CCF 主会）
      ⚠ 页码待核实

[A2]  DEBENEDETTI E, et al. AgentDojo: A Dynamic Environment to Evaluate Prompt
      Injection Attacks and Defenses for LLM Agents[C]//Advances in Neural
      Information Processing Systems (NeurIPS), Datasets and Benchmarks Track.
      2024. arXiv:2406.13352
      官方论文页: https://proceedings.neurips.cc/paper_files/paper/2024/hash/
                  97091a5177d8dc64b1da8bf3e1f6fb54-Abstract-Datasets_and_Benchmarks_Track.html
      等级: CCF A（NeurIPS）
      ⚠ 页码待核实

[P1]  SHI T, et al. Progent: Programmable Privilege Control for LLM Agents[EB/OL].
      arXiv:2504.11703, 2025. https://arxiv.org/abs/2504.11703
      ⚠ 作者列表、是否已被会议/期刊接收及其等级 待核实

[P2]  DEBENEDETTI E, et al. Defeating Prompt Injections by Design[EB/OL].
      arXiv:2503.18813, 2025. https://arxiv.org/abs/2503.18813
      代码: https://github.com/google-research/camel-prompt-injection
      ⚠ 作者列表、是否已被会议/期刊接收及其等级 待核实

[P3]  BEURER-KELLNER L, et al. Design Patterns for Securing LLM Agents against
      Prompt Injections[EB/OL]. arXiv:2506.08837, 2025.
      https://arxiv.org/abs/2506.08837
      ⚠ 作者列表、是否已被会议/期刊接收及其等级 待核实

[P4]  IsolateGPT: An Execution Isolation Architecture for LLM-Based Agentic
      Systems[C]//Network and Distributed System Security Symposium (NDSS), 2025.
      会议官网: https://www.ndss-symposium.org/
      等级: CCF A（NDSS）
      ⚠ 作者、论文页链接、页码待核实

[I1]  Fault Diagnosis and System Maintenance Based on Large Language Models[J].
      IEEE. https://ieeexplore.ieee.org/document/10489566
      ⚠ 作者、刊物名、卷期页、分区等级 待核实

[I2]  FD-MLLM: Fault Diagnosis Framework Based on Multimodal Data and Large
      Language Models[J]. IEEE. https://ieeexplore.ieee.org/document/11278971
      ⚠ 作者、刊物名（疑为 IEEE TII, 1 区）、卷期页、分区等级 待核实

[I3]  FCLLM-DT: Empowering Federated Continual Learning With Large Language
      Models and Digital Twin[J]. IEEE.
      https://ieeexplore.ieee.org/document/10795863
      ⚠ 作者、刊物名、卷期页、分区等级 待核实

[I4]  工业大模型应用技术：综述与展望[J]. 软件导刊, 2025.
      DOI: 10.11907/rjdk.251555. 期刊官网: https://www.rjdk.org.cn/
      等级: 非核心期刊
      ⚠ 作者、卷期页待核实

[I5]  检索增强生成技术研究综述[J]. 计算机工程与应用.
      DOI: 10.3778/j.issn.1002-8331.2501-0061. 期刊官网: http://cea.ceaj.org/
      等级: 北大核心（待核实）
      ⚠ 作者、卷期页待核实

[I6]  检索增强生成在软件工程中的应用综述[J]. 软件学报, 2026.
      https://jos.org.cn/jos/ch/reader/view_abstract.aspx?file_no=7567
      等级: 北大核心 / CSCD / EI / CCF 中文 A 类
      ⚠ 作者、卷期页待核实

[I7]  大语言模型检索增强生成优化技术研究综述[J]. 计算机学报.
      ⚠ 未找到原文，核实不到则删除

[C1]  金增旺, 江令洋, 丁俊怡, 张慧翔, 赵波, 方鹏飞. 工业控制系统安全研究综述[J].
      信息网络安全, 2025(3). DOI: 10.3969/j.issn.1671-1122.2025.03.001
      期刊官网: http://netinfo-security.org/
      等级: 北大核心（2017 版入选）/ 科技核心
      ⚠ 卷、页码待核实；北大核心需按 2023 版复核
      注: ISSN 1671-1122 属《信息网络安全》，勿与《网络与信息安全学报》(2096-109X) 混淆

[T1]  Model Context Protocol Specification[EB/OL]. https://modelcontextprotocol.io/
      等级: 非学术来源（协议规范）
      ⚠ 引用时注明访问日期与版本（2026-07-28 版）

[T2]  OWASP. OWASP Top 10 for Large Language Model Applications (2026)[EB/OL].
      https://owasp.org/www-project-top-10-for-large-language-model-applications/
      等级: 非学术来源（工业界威胁清单），仅作威胁模型对照

7. 待核实与待补充清单

7.1 必须核实（影响能否引用）

链接类

[x] ~~补 §2.1 中标"官网待补"的期刊：通信学报、电子学报、计算机应用研究、信息网络安全。~~ 已于 2026-09-22 补齐：通信学报 https://www.joconline.com.cn/、电子学报 https://www.ejournal.org.cn/、计算机应用研究 https://www.arocmag.cn/、信息网络安全 http://netinfo-security.org/。
[ ] 补 P4 IsolateGPT 的 NDSS 2025 论文页链接。
[ ] 补 T3（MCP 漏洞统计）的权威来源链接。
[ ] 核对全部标 ⚠ 的链接是否可访问（期刊官网偶有迁移）。
[ ] 《网络与信息安全学报》独立官网仍未找到（现用国家级期刊平台条目代替），需确认是否只有投审稿系统而无独立官网。

等级类

[ ] 用 §0.3 的权威入口逐条复核 §2 的等级标注，特别是：
- [x] ~~《信息网络安全》北大核心状态~~ 已确认为北大核心（2017 版入选，期刊官网自述）；仍需按 2023 版复核
- [ ] 《网络与信息安全学报》是否已进北大核心 / CSCD（国家科技期刊平台仅标 CSTPCD，未见北大核心）
- [ ] 《计算机工程与应用》北大核心状态
- [ ] 《信息安全学报》CSCD 状态
- [ ] 各 IEEE / Elsevier 期刊的最新中科院分区（每年 12 月更新）
- [ ] CCF 目录中 TDSC / TIFS / ACM CSUR / Computers & Security 的等级

勘误记录

[x] 2026-09-22 更正期刊张冠李戴：S2、C1 两条中文文献原记为《网络与信息安全学报》，实为**《信息网络安全》**（DOI 中 ISSN 1671-1122 可自证；文章页位于 netinfo-security.org）。已同步更正 §2.1、§3.1、§3.6、§6。教训：两刊名称高度相似，引用中文安全类文献时必须用 ISSN/CN 刊号而非刊名简称来定位，仅凭刊名检索极易误引。

题录类

[ ] §6 中所有标 ⚠ 的条目：到 IEEE Xplore / ACM DL / 期刊官网 / 知网核对完整作者列表、卷、期、起止页码、DOI。
[ ] P1/P2/P3 是否已从 arXiv 预印本转为正式发表（若已发表，引用正式版本并更新等级）。
[ ] I7《大语言模型检索增强生成优化技术研究综述》是否真实存在——目前仅见于二次引用，若查不到原文则删除。
[ ] A1 的会议页码。

7.2 需要补充检索的方向（本次未覆盖）

方向	建议检索式	目标期刊（含等级）
零信任与动态访问控制	零信任 AND (访问控制 OR 持续验证)；zero trust AND (dynamic access control OR continuous verification)	通信学报（北大核心/EI）、计算机研究与发展（北大核心/EI）、IEEE TDSC（CCF A）
工业物联网数据隔离/多租户	工业物联网 AND (数据隔离 OR 多租户)；IIoT AND (data isolation OR multi-tenancy)	IEEE IoTJ（1 区）、计算机集成制造系统（北大核心/EI）
RBAC/ABAC 在工业场景的应用	ABAC AND 工业；attribute-based access control AND industrial	计算机研究与发展、IEEE TII（1 区）
RAG 知识库投毒攻击	RAG AND (投毒 OR 知识污染)；retrieval-augmented generation AND (poisoning OR knowledge corruption)	ACM CCS（CCF A）、信息网络安全（北大核心）
大模型在故障诊断中的幻觉抑制	大模型 AND 故障诊断 AND 幻觉；LLM AND fault diagnosis AND hallucination	机械工程学报（北大核心/EI）、MSSP（1 区）、IEEE TII（1 区）
Agent 行为约束与循环终止	agent AND (loop termination OR step budget OR action limit)	NeurIPS/ICLR（CCF A）、软件学报（北大核心/EI）
审计日志的完整性与防篡改	审计日志 AND (防篡改 OR 完整性)；audit log AND (tamper-evident OR integrity)	IEEE TDSC（CCF A）、信息安全学报
MCP / 工具调用安全的学术研究	"Model Context Protocol" AND (security OR authorization)	优先 arXiv + 安全四大会（均 CCF A）；该方向学术产出仍少

7.3 检索记录模板（建议每次检索留痕，便于论文写作时复现）

日期	数据库	检索式	命中数	纳入数	备注
2026-09-22	公开网络检索	见 §1.2	—	15	知网/万方未检索；链接与等级已初步核验
2026-09-22	期刊官网 / 国家科技期刊平台	刊名 + 官网 / ISSN / 等级	—	—	补齐 4 个期刊官网；发现并更正 S2/C1 的期刊张冠李戴（详见 §7.1 勘误记录）

8. 与本课题文档体系的对应关系

文献结论	落到本课题的哪一部分
S1 威胁分类学	`docs/01` §3 威胁模型；`docs/02` §4.3 规则表
S2 / A1 间接提示注入	`docs/02` §8 提示词塑形第 5 条；`docs/09` 用例 B2（投毒文档）
A2 AgentDojo 评测方法	`docs/09` B 组用例的构造方式与判定口径
P1 Progent 工具级权限	`docs/02` R1/R3 规则；`docs/04` G2/G4 网关规则
P2 CaMeL 能力机制	`docs/adr/0002`（唯一出口即能力约束的工程化）；`docs/02` §9"不承诺清单"的诚实表述
P3 Design Patterns 六模式	`docs/03` §1.2 能力裁剪表（对应 context-minimization）；`docs/adr/0004` 双层结构
P4 IsolateGPT 执行隔离	`docs/adr/0002`（独立进程 + 独立凭证）；`docs/05` §1.3 权限矩阵
C1 工控安全综述	`docs/01` §1.1 业务背景与安全动因
I1–I3 工业 LLM 应用	`docs/03` §4 两个 Skill 的设计依据
I5/I6 RAG 综述	`docs/05` §6 RAG 构建流程与切片策略
T2 OWASP LLM Top 10	`docs/10` Q11（提示注入）与 Q17（管控生效证据）

adr

agents

evidence

11 · 参考文献与相关研究

0. 等级标注体系与链接核验说明

0.1 等级标注含义

0.2 链接核验状态

0.3 等级核实的权威入口

1. 检索策略

1.1 检索范围

1.2 检索式

1.3 筛选标准

2. 本领域的目标期刊与会议

2.1 国内核心期刊（中文）

2.2 国际期刊

2.3 顶级会议

3. 分类文献清单

3.1 LLM Agent 安全与隐私：综述类（建立地图）

3.2 提示注入：攻击与防御

3.3 Agent 权限控制与能力约束（最直接的相关工作）

3.4 工具调用协议层安全（MCP）

3.5 工业预测性运维 + 大模型 / RAG

3.6 工控系统安全与访问控制

4. 研究空白与本课题定位

4.1 现有工作的三条主线与各自缺口

4.2 本课题的六个差异点

4.3 一句话定位

5. 与最接近的 5 篇工作的差异对照表

6. 参考文献（GB/T 7714 格式草案，含等级与链接）

7. 待核实与待补充清单

7.1 必须核实（影响能否引用）

7.2 需要补充检索的方向（本次未覆盖）

7.3 检索记录模板（建议每次检索留痕，便于论文写作时复现）

8. 与本课题文档体系的对应关系

11 · 参考文献与相关研究 ​

0. 等级标注体系与链接核验说明 ​

0.1 等级标注含义 ​

0.2 链接核验状态 ​

0.3 等级核实的权威入口 ​

1. 检索策略 ​

1.1 检索范围 ​

1.2 检索式 ​

1.3 筛选标准 ​

2. 本领域的目标期刊与会议 ​

2.1 国内核心期刊（中文） ​

2.2 国际期刊 ​

2.3 顶级会议 ​

3. 分类文献清单 ​

3.1 LLM Agent 安全与隐私：综述类（建立地图） ​

3.2 提示注入：攻击与防御 ​

3.3 Agent 权限控制与能力约束（最直接的相关工作） ​

3.4 工具调用协议层安全（MCP） ​

3.5 工业预测性运维 + 大模型 / RAG ​

3.6 工控系统安全与访问控制 ​

4. 研究空白与本课题定位 ​

4.1 现有工作的三条主线与各自缺口 ​

4.2 本课题的六个差异点 ​

4.3 一句话定位 ​

5. 与最接近的 5 篇工作的差异对照表 ​

6. 参考文献（GB/T 7714 格式草案，含等级与链接） ​

7. 待核实与待补充清单 ​

7.1 必须核实（影响能否引用） ​

7.2 需要补充检索的方向（本次未覆盖） ​

7.3 检索记录模板（建议每次检索留痕，便于论文写作时复现） ​

8. 与本课题文档体系的对应关系 ​

11 · 参考文献与相关研究

0. 等级标注体系与链接核验说明

0.1 等级标注含义

0.2 链接核验状态

0.3 等级核实的权威入口

1. 检索策略

1.1 检索范围

1.2 检索式

1.3 筛选标准

2. 本领域的目标期刊与会议

2.1 国内核心期刊（中文）

2.2 国际期刊

2.3 顶级会议

3. 分类文献清单

3.1 LLM Agent 安全与隐私：综述类（建立地图）

3.2 提示注入：攻击与防御

3.3 Agent 权限控制与能力约束（最直接的相关工作）

3.4 工具调用协议层安全（MCP）

3.5 工业预测性运维 + 大模型 / RAG

3.6 工控系统安全与访问控制

4. 研究空白与本课题定位

4.1 现有工作的三条主线与各自缺口

4.2 本课题的六个差异点

4.3 一句话定位

5. 与最接近的 5 篇工作的差异对照表

6. 参考文献（GB/T 7714 格式草案，含等级与链接）

7. 待核实与待补充清单

7.1 必须核实（影响能否引用）

7.2 需要补充检索的方向（本次未覆盖）

7.3 检索记录模板（建议每次检索留痕，便于论文写作时复现）

8. 与本课题文档体系的对应关系