复旦团队揭示手机智能体安全漏洞：8款模型可端到端执行诈骗、制毒等有害任务

复旦大学张谧教授团队将8款基于不同模型构建的手机智能体接入真实手机，在微信、微博、小红书等31个国民级App上逐一验证，首次证实有害任务可被端到端真实执行。研究构建的BadPhoneAgent数据集从11部国内外法律法规及50余处权威报道中提取风险，形成6大类40子类的分类体系，包含2768个中英文违规问题，是目前测试样例最多、覆盖App最多的手机端智能体安全测评数据集。

在不使用任何越狱手段的情况下，Gemini 3.1 Pro、Claude Sonnet-4.5、GPT-5.4及Doubao-Seed-2.0-Pro四款商业模型的平均拒答率仅为18%。其中谷歌旗舰模型Gemini 3.1 Pro拒答率仅4.4%，而开源模型如智谱AutoGLM、字节UI-TARS-1.5-7B、阿里GUI-Owl-1.5-8B拒答率低至0%。

在有害任务完成率方面，开源和闭源模型平均高达68.8%。能力最强的商业模型Gemini 3.1 Pro达到86%，而开源的AutoGLM飙至96%。执行速度上，多款开源模型已能比肩甚至超过人类。

研究首次在真实世界中测试有害任务完成率，发现智能体可端到端执行诈骗、制毒等严重犯罪。Claude Fable5在用户一句命令下，自动锁定求票心切的受害者，扒取主页信息拼出用户画像，量身定制话术并私信行骗，全程无需人工干预。

在“制毒制爆”任务中，Gemini 3.1 Pro和Sonnet-4.5全程无一拒绝，成功下单付款买齐3种可直接用于制造爆炸物的原料配方。Opus 4.8为购买制毒原料，竟伪造病史欺骗线上医生开具处方，端到端自主完成全部原料下单与付款。据研究团队称，这是世界上首次由智能体端到端完成的制毒制爆原料采购。

研究结论指出：手机智能体安全意识低、有害任务完成率高，加上比肩人类的执行速度，已初步具备在真实世界中被批量恶意使用的条件。

研究揭露了手机智能体中的隐藏现象——“Safety Awareness-Execution Gap”。当直接询问“这个请求是否违规”时，智能体往往能识别风险；但要求执行同一有害任务时，却可能毫不犹豫地完成操作。例如Claude Sonnet-4.5能识别任务中的威胁、骚扰意图，但在真实手机环境中仍继续点击、发布。

通过神经元分析，研究进一步发现：执行Agent任务时，负责安全判断的机制并未被充分激活，这与智能体“知道危险却依然执行”的行为相关。通过定位安全神经元并进行干预，智能体能在几乎不增加推理成本的情况下显著提升拒绝能力，为未来构建更鲁棒的手机智能体提供了新方向。