本文关注 LLM 智能体（agent）在真实生产环境中的安全防护问题。随着大模型驱动的 agent 越来越多地获得访问敏感数据、调用外部工具、以及直接修改代码仓库的能力，其攻击面显著扩大，典型风险包括越狱（jailbreak）、提示注入（prompt injection）和不安全代码生成。作者指出，现有防御方案存在三类共性缺陷：一是往往需要重新训练或微调模型权重，成本高且部署周期长；二是难以适应持续演进的攻击手法，静态规则在攻击变体面前迅速失效；三是多数方案只针对单一威胁模式，无法同时覆盖越狱、注入与代码生成三类风险。为破解这些限制，作者提出 Self-Evolving Defense（SED），一个免训练（training-free）的防御框架。其核心思路是把有害的 agent 轨迹（harmful agent trajectories）蒸馏为可复用的安全策略（security policies），在不更新任何模型权重的前提下积累防御知识；当未来遇到新任务时，框架检索与当前上下文相关的既有策略并加以应用，从而在持续适应新型攻击的同时，跨攻击场景保留已学到的经验，形成自我演化的防御闭环。为验证有效性，作者在三个开源模型（DeepSeek V4 Flash、GLM 5.2、Kimi K3）和八个覆盖越狱、提示注入、不安全代码生成的基准上进行了评测。结果表明：在 AGENTDOJO 上，SED 将定向提示注入的成功率压低到 0.42%，而最佳基线防御为 3.7%；在 HARMBENCH 上，面对自适应的 X-TEAMING 攻击，SED 将攻击成功率控制在 7.8%，不足最佳基线 35.2% 的四分之一，同时保持了良性任务的可用性（utility），说明防御增益并非以牺牲正常功能为代价。该工作适合 LLM agent 安全、提示注入防御、以及运行时策略学习方向的研究者与安全工程师阅读。