Hermes Agent — Top 10 AttackPath

ATA Ontology v4.1 · RiskScore v4.0 难度分加权
ByRiskscore_v4.0 · 2026-04-19

RiskScore v4.0 公式

难度分 = max(0, 10 + 逃逸 + 精度 + 先验 + 感知 + 诱导) / 10 ← 高=易攻，低=难攻 Source分 = min(5, accessibility × trigger × 难度分 × 5) Sink分 = min(10, 危害等级 × 影响范围 × 难度分 × 10) Novelty = Breakthrough(0~3) + Rarity(-1~2) Total = Source分 + Sink分 + Novelty ∈ [-2, 20]

排名总览

排名 ID 攻击名称 Score v4.0 难度分 作用域 Source 槽位 Sink 类型
1 AP-10 LiteLLM 供应链投毒 19.0 1.00 Native model_routing_context SK-EXEC
2 AP-01 MEMORY.md 投毒 15.65 0.70 Native tool_call_result SK-MEMO
3 AP-04 MCP Line Jumping 13.85 0.70 Extended tool_call_result SK-NET
4 AP-09 浏览器注入 12.4 0.80 Extended tool_call_result SK-NET
5 AP-02 技能供应链篡改 12.3 0.60 Extended skills_guidance SK-EXEC
6 AP-05 SubAgent 权限提升 11.96 0.70 Extended delegate_context SK-AGENT
7 AP-08 网关弱认证注入 11.45 0.70 Extended gateway_message_context SK-EXEC
8 AP-03 上下文文件注入 11.4 0.65 Extended context_files SK-EXEC+NET
9 AP-07 Cron 持久化攻击 10.2 0.55 Native tool_call_result SK-PERSIST
10 AP-06 沙箱逃逸攻击 9.98 0.33 Native tool_call_result SK-EXEC

快速导航

详细攻击路径

每条路径包含：完整节点序列 · RiskScore v4.0 分值 · SecurityChecker 覆盖 · 测试构建要点

#1

LiteLLM 供应链投毒

AP-10 · Native · ByRiskscore_v4.0
19.0
/ 20
难度分1.00（零防御壁垒） Source分5.00 Sink分10.0 Novelty4.00（Breakthrough 3 + Rarity 1） Source槽位PromptTemplate.model_routing_context Sink类型SK-EXEC（.pth 自动执行）
PoisoningEntryPyPI 恶意包（typosquatting） 投毒渠道SUP（供应链）· T-ANY AffectedAgent 进程（AF-TOOL） SecurityChecker供应链层无覆盖 Intent TripleUI-ModelLoad · SI-PyExec · AI-SupplyChain
AttackPath 节点序列
PoisoningEntry
PyPI 恶意包 → Source
model_routing_context → Sink
.pth 执行 EventResult → Affected
Agent 进程 → Harm
RCE 完全控制
SecurityChecker 覆盖
供应链层：无检查器 模型路由：配置校验（部分） .pth 执行：无拦截
#2

MEMORY.md 投毒

AP-01 · Native · ByRiskscore_v4.0
15.65
/ 20
难度分0.70 Source分3.15 Sink分8.50 Novelty4.00 Source槽位PromptTemplate.tool_call_result Sink类型SK-MEMO（持久化写入）
PoisoningEntry受控网页（WebSitePage · PUB） 投毒渠道browse_web 读取 · T-ANY AffectedMEMORY.md · ~/work/（AF-MEMORY） 核心危害跨会话持久化污染 Intent TripleUI-WebBrowse · SI-MemWrite · AI-MemoryPoison
AttackPath 节点序列
PoisoningEntry
WebSitePage → Source
tool_call_result → Sink
memory_tool.write() EventResult → Affected
MEMORY.md · ~/work/ → Harm
持久化指令注入
SecurityChecker 覆盖
PromptInjectionDetector：部分覆盖 MemoryWriteAuditor：内容审查 跨会话污染：无检测
#3

MCP Line Jumping

AP-04 · Extended-Clean · ByRiskscore_v4.0
13.85
/ 20
难度分0.70 Source分2.835 Sink分5.67 Novelty5.00（MCP 信任边界突破） Source槽位PromptTemplate.tool_call_result Sink类型SK-NET（凭据外渗）
PoisoningEntry恶意 MCP 服务器响应（REG） Extended 资产用户安装的干净 MCP 服务器 Affected~/.hermes/.env · MEMORY.md 核心危害API key 等凭据外渗 Intent TripleUI-MCPCall · SI-CredExfil · AI-LineJumping
AttackPath 节点序列
PoisoningEntry
MCP tool 响应 → Source
tool_call_result → Sink
terminal.exec() EventResult → Affected
~/.hermes/.env → Harm
凭据泄露
SecurityChecker 覆盖
MCPResponseValidator：schema 校验 跨服务器跳转指令：无检测 CredentialAccessMonitor：部分
#4

浏览器注入

AP-09 · Extended-Clean · ByRiskscore_v4.0
12.4
/ 20
难度分0.80（低难度上升至 #4） Source分2.80 Sink分4.80 Novelty4.80 Source槽位PromptTemplate.tool_call_result Sink类型SK-NET（消息发送/命令执行）
PoisoningEntry钓鱼网页（PUB · T-BROAD） Extended 资产用户 Slack/email 账号（清洁） AffectedShortTermMemory（AF-CONTEXT） 核心特点最易触发，大规模部署首选测试 Intent TripleUI-WebBrowse · SI-MsgSend · AI-BrowserInject
AttackPath 节点序列
PoisoningEntry
钓鱼网页 → Source
tool_call_result → Sink
send_message EventResult → Affected
ShortTermMemory → Harm
数据外渗/欺骗
SecurityChecker 覆盖
BrowseResultFilter：关键词过滤 OutboundMessageAudit：发件内容审查 语义伪装型注入：无覆盖
#5

技能供应链篡改

AP-02 · Extended-Clean · ByRiskscore_v4.0
12.3
/ 20
难度分0.60 Source分2.16 Sink分4.32 Novelty5.00（技能层供应链突破） Source槽位PromptTemplate.skills_guidance Sink类型SK-EXEC（patch/写入操作）
PoisoningEntryGitHub 公开仓库恶意 SKILL.md Extended 资产用户安装的干净技能 Affectedtools/approval.py（AF-TOOL） 核心危害安全审批逻辑被篡改 Intent TripleUI-SkillLoad · SI-CodePatch · AI-SkillPoison
AttackPath 节点序列
PoisoningEntry
GitHub 恶意 SKILL.md → Source
skills_guidance → Sink
terminal.exec(patch) EventResult → Affected
tools/approval.py → Harm
审批绕过 / 后门植入
SecurityChecker 覆盖
技能完整性校验：无签名验证 SkillContentScanner：关键词扫描 SKILL.md 指令解析层：无审查
#6

SubAgent 权限提升

AP-05 · Extended-Clean · ByRiskscore_v4.0
11.96
/ 20
难度分0.70 Source分2.205 Sink分4.41 Novelty5.00（SubAgent 权限继承突破） Source槽位PromptTemplate.delegate_context Sink类型SK-AGENT（子代理执行）
PoisoningEntrySlack 消息（REG · T-BROAD） Extended 资产Slack 工作空间（清洁账号） Affected~/work/（AF-MEMORY） 核心危害子代理权限未隔离，继承父代理权限 Intent TripleUI-SlackDelegate · SI-SubAgentExec · AI-PrivEsc
AttackPath 节点序列
PoisoningEntry
Slack 恶意消息 → Source
delegate_context → Sink
SubAgent terminal EventResult → Affected
~/work/ → Harm
文件篡改 / 数据外渗
SecurityChecker 覆盖
SubAgent 权限隔离：未实现 DelegateContextFilter：消息来源校验 跨代理指令注入：无检测
#7

网关弱认证注入

AP-08 · Extended-Clean · ByRiskscore_v4.0
11.45
/ 20
难度分0.70 Source分2.45 Sink分4.90 Novelty4.10 Source槽位PromptTemplate.gateway_message_context Sink类型SK-EXEC（任意命令执行）
PoisoningEntry未认证 webhook / API 请求 Extended 资产用户配置的网关集成 AffectedRunningEnv（AF-TOOL） 核心危害外部任意方可通过网关注入指令 Intent TripleUI-WebhookRecv · SI-CmdExec · AI-GatewayInject
AttackPath 节点序列
PoisoningEntry
未认证 webhook → Source
gateway_message_context → Sink
terminal.exec() EventResult → Affected
RunningEnv → Harm
环境控制 / 数据外渗
SecurityChecker 覆盖
网关消息认证：无强制验证 GatewayRateLimiter：频率限制 消息来源身份校验：未实现
#8

上下文文件注入

AP-03 · Extended-Clean · ByRiskscore_v4.0
11.4
/ 20
难度分0.65 Source分2.63 Sink分5.27 Novelty3.00 Source槽位PromptTemplate.context_files Sink类型SK-EXEC + SK-NET
PoisoningEntryAGENTS.md（外部仓库维护者预植） Extended 资产克隆的项目仓库（清洁） Affected~/.hermes/.env · 项目源码 · MEMORY.md 触发方式打开项目即自动触发（T-AUTO） Intent TripleUI-FileRead · SI-TerminalExec · AI-ContextInject
AttackPath 节点序列
PoisoningEntry
AGENTS.md → Source
context_files → Sink
terminal.exec(curl exfil) EventResult → Affected
~/.hermes/.env · MEMORY.md → Harm
凭据外渗 / 供应链后门
SecurityChecker 覆盖
PromptInjectionDetector：关键词匹配 CommandAuditLogger：curl+base64 模式 AGENTS.md 完整性验证：无
#9

Cron 持久化攻击

AP-07 · Native · ByRiskscore_v4.0
10.2
/ 20
难度分0.55 Source分1.98 Sink分3.96 Novelty4.26（Hermes CronCreate 专属） Source槽位PromptTemplate.tool_call_result Sink类型SK-PERSIST（持久化定时任务）
PoisoningEntry含隐藏指令的网页（browse_web） AffectedCronScheduler · MEMORY.md · ~/.hermes/.env 核心特点利用合法调度能力，跨会话持续执行 Novelty 来源Hermes CronCreate 被滥用首次记录 Intent TripleUI-TaskSchedule · SI-CronPersist · AI-PersistInject
AttackPath 节点序列
PoisoningEntry
含隐藏指令网页 → Source
tool_call_result → Sink
CronCreate() EventResult → Affected
CronScheduler · MEMORY.md → Harm
C2 后门持久化
SecurityChecker 覆盖
CronContentAuditor：prompt 内容审查 CronCreate 用户确认：无强制机制 IntentAlignmentChecker：意图比对
#10

沙箱逃逸攻击

AP-06 · Native · ByRiskscore_v4.0 · Novelty=5（最高）
9.98
/ 20
难度分0.33（极难，v4.1中排#5→v4.0排#10） Source分1.34 Sink分3.30 Novelty5.00（满分！Breakthrough 3 + Rarity 2） Source槽位PromptTemplate.tool_call_result Sink类型SK-EXEC（容器逃逸 → 宿主机控制）
PoisoningEntry技术论坛恶意代码片段 Affected宿主机文件系统 · docker.sock · 其他容器 核心危害理论最重：宿主机完全控制 + 横向移动 v4.0 洞察极难 → 低难度分 → 综合排名垫底（合理） Intent TripleUI-CodeExec · SI-SandboxBreak · AI-PrivEsc
AttackPath 节点序列
PoisoningEntry
恶意代码片段 → Source
tool_call_result → Sink
execute_code + terminal EventResult → Affected
宿主机 / docker.sock → Harm
宿主机控制 + 横向移动
SecurityChecker 覆盖
SandboxEgressMonitor：syscall 监控 DangerousCodeAnalyzer：静态分析 0-day 利用：无法检测 多步骤混淆逃逸：无覆盖

ATA Landscape · Hermes Agent 威胁分析 · 返回首页

ATA Ontology v4.1 · RiskScore v4.0 · ByRiskscore_v4.0 · 2026-04-19