本期回看范围： 2026-07-24—2026-07-30

本期筛出 10 项。整体趋势非常集中：Harness self-evolution、持久化记忆安全，以及跨 Agent 的语义信息流控制正在快速升温。以下均为“新论文”，只有第 10 项属于“论文版本更新”；关联代码已合并到对应条目，没有发现值得单独列出的高质量新项目。

1. DREvo: Distilling Recalibrated Historical Experience for Harness Self-Evolution

  • 类型 / 来源： 新论文｜arXiv
  • 作者： Hanghui Guo、Weijie Shi、Zhangze Chen 等
  • 日期： 2026-07-29
  • 链接： 论文
  • 核心内容： DREvo 研究历史轨迹为何不能稳定指导 harness 演化，提出 function-level evidence anchoring、state-dependent recalibration 和 role-conditioned search-intent distillation。作者报告其在五个 benchmark 上均取得最高准确率，在 domain reasoning 和 agentic tasks 上平均领先基线 16.2% 与 14.2%。
  • 与你的方向关系： 与 Natural Growth、函数级 harness edit、历史失败证据和有限优化预算高度重合；尤其值得比较它如何判断旧经验对当前 harness 是否仍然有效。
  • 建议： 精读。重点看 evidence recalibration、搜索方向生成方式，以及是否设置 held-out regression gate。arXiv 摘要与结果

2. Living-Harness Is an Interactive-Agent Evolver

  • 类型 / 来源： 新论文｜arXiv
  • 作者： Yuetian Du、Yucheng Wang、He Xu 等
  • 日期： 2026-07-29
  • 链接： 论文
  • 核心内容： 将每条完成轨迹和 evaluator 信号转化为有界的持久化 harness 更新，分别写入 episodic memory 与记录 repair transition 的 state graph。工具和基础上下文保持冻结，在 τ²-Bench 与 MultiWOZ-2.4 衍生环境上，Pass@1 分别提升约 10.07 和 9.91 个百分点。
  • 与你的方向关系： 这是 Natural Growth 的直接相邻工作，但它主要“增长”结构化记忆和状态图，而不是通用可执行 controller code；这一差异可能成为你论文 positioning 的关键。
  • 建议： 精读，并加入 related-work 对比表。方法与实验摘要

3. SafeFlow: Semantic Information-Flow Control for Blocking Malicious Propagation in Multi-Agent Systems

  • 类型 / 来源： 新论文｜arXiv
  • 作者： Haowen Dai、Zonghao Ying、Wenfeng Li 等
  • 日期： 2026-07-28
  • 链接： 论文
  • 核心内容： 将多 Agent 中被拆分、局部看似无害的恶意目标建模为 semantic information-flow 问题。SafeFlow 为根请求附加结构化语义 taint，在动态协作图中传播，并在不可逆操作前重构全局风险上下文。
  • 与你的方向关系： 与你此前考虑的跨设备 Agent 权限边界、间接提示注入和“单个 Agent 看不到全局恶意意图”高度一致；也提供了从传统标签式 IFC 扩展到语义 taint 的具体实例。
  • 建议： 精读。重点检查 taint schema、传播规则、不可逆 action gate，以及面对语义改写时的稳定性。论文页面

4. MemSecBench: Tracking Agent Memory Poisoning from Persistence to Consequence and Repair

  • 类型 / 来源： 新论文 / Benchmark｜arXiv
  • 作者： Xuanze Chen、Xukang Xie、Wentao Fu 等
  • 日期： 2026-07-29
  • 链接： 论文
  • 核心内容： 提出包含 310 个案例、48 种真实场景的 Write–Execute–Forget 测试协议，覆盖两个 harness、四种 memory backend 和三个 LLM。实验中恶意记忆持久化率达 84.2%，完整 Write–Execute 攻击成功率为 50.3%，不同 memory stack 的攻击与修复能力差异明显。
  • 与你的方向关系： 同时连接 memory poisoning、持久化 prompt injection 和 harness-dependent security；其“相同攻击语义跨生命周期追踪”的评价方式比单轮 ASR 更完整。
  • 建议： 精读，可考虑借鉴七个 lifecycle checkpoints 与 selective repair 指标。论文与实验数据

5. Isolated but Exposed: Persistence-Based Memory Extraction Attack on LLM Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者： Xinyu Gao、Wenyu Chen、Xiangtao Meng 等
  • 日期： 2026-07-26
  • 链接： 论文
  • 核心内容： SPORE 利用 Agent 把长期记忆内容写入工具调用参数这一通道，在不突破用户级 memory isolation 的情况下由恶意工具抽取隐私。它将攻击指令持久化到短期记忆、用语义纯净的 retrieval anchor 探索嵌入空间，并通过持久化 reactivation payload 跨会话继续攻击；论文报告最高 80% 的记录抽取率。
  • 与你的方向关系： 直接说明“存储隔离”并不等于“信息流隔离”，威胁边界应覆盖 memory → LLM → tool arguments 的完整链路。
  • 建议： 精读，尤其关注工具参数污点追踪和跨会话 capability revocation。论文正文

6. A Control System, a Dataset, and a Recipe for Making Frozen LLM Agents Learn a Domain

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Debjyoti Paul
  • 日期： 2026-07-28
  • 链接： 论文 · 代码
  • 核心内容： 不允许 Agent 任意重写代码，而是在 729 个可解释 harness 配置组成的固定空间中，用 contextual bandit 或 REINFORCE 选择 prompt、memory、planning、verification 和 step budget。奖励联合考虑成功率、验证分数、policy compliance、成本、延迟和 unsupported claims。
  • 与你的方向关系： 它代表“离散配置策略学习”，可作为你从 minimal scaffold 进行开放式代码增长的强对照。仓库已有核心库、三个任务域、测试和分析脚本，但目前仅 5 次提交、0 stars，实验成熟度需要自行验证。
  • 建议： 精读论文，浏览代码；重点比较固定动作空间与开放代码搜索的表达能力和审计性。代码结构与运行说明

7. SkillGate: Cost Efficient Runtime Malicious Skill File Detection in Coding Agents

  • 类型 / 来源： 新论文 + 新项目｜arXiv / GitHub
  • 作者： Rui Yang、Michael Fu、Kla Tantithamthavorn、Chetan Arora、Joey Chua
  • 日期： 2026-07-28
  • 链接： 论文 · 代码
  • 核心内容： 将 Agent skill 文件视为供应链中的持久化指令注入载体，使用 regex prefilter 与仅检查命中片段的 LLM judge。SkillsBench 上取得 F1=0.817、FPR=1.13%，相较整文件 LLM 检查减少 77% 输入 token。
  • 与你的方向关系： 非常贴近 harness engineering security：可安装的 Markdown skill 实际上拥有改变后续 Agent 行为的能力，却通常缺少签名、权限声明和安装前审计。
  • 建议： 精读并试跑；但要仔细检查数据集中的合成样本比例，以及对语义隐蔽、跨文件组合攻击的召回率。论文结果

8. ALIBI: Adaptive Agentic Attacks on LLM-Based Vulnerability Detectors via Adversarial Code Comments

  • 类型 / 来源： 新论文｜arXiv
  • 作者： Zixuan Wu、Cristina Nita-Rotaru
  • 日期： 2026-07-27
  • 链接： 论文
  • 核心内容： 攻击 Agent 在引入真实漏洞的同时插入不改变程序行为的对抗性注释，并根据检测器反馈迭代优化。四种 LLM 漏洞检测系统在 125 个真实空指针漏洞上的攻击成功率均超过 90%；prompt-level defense 效果有限，而注释清洗和架构隔离更有效。
  • 与你的方向关系： 这是典型的间接 prompt injection：不可信自然语言与可信程序证据被放入同一推理上下文。它也支持“安全边界应由 harness 架构执行，而不能只靠 system prompt”的论点。
  • 建议： 精读，特别关注伪造工具结果类注释和 architectural isolation 消融。论文与结果

9. Bits and Memories: Measuring Verbatim Extraction Across LLM Quantization

  • 类型 / 来源： 新论文 + 代码 / 数据｜arXiv / GitHub
  • 作者： Akshay Sasi
  • 日期： 2026-07-28
  • 链接： 论文 · 代码
  • 核心内容： 直接测量不同精度下训练数据的逐字抽取，而不是只使用 membership inference。量化确实比模型能力更快地降低逐字记忆，但四比特模型仍保留大部分已知记忆序列，且模型越大，量化后幸存的记忆比例越高。
  • 与你的方向关系： 对 LLM privacy 的评价指标选择很有价值：membership signal 的下降不能等价为语义或逐字泄露风险下降。
  • 建议： 浏览论文，收藏代码和数据；可用于支撑“隐私评价必须对齐实际泄露目标”的论述。论文及代码说明

10. ELLMo: Packing- and Depth-Aware Encrypted Transformer Inference

  • 类型 / 来源： 论文版本更新｜IACR Cryptology ePrint 2026/198
  • 作者： Seyda Nur Guzelhan、Lohit Daksha、Carlos Agulló Domingo 等
  • 更新时间： 2026-07-28
  • 链接： ePrint 论文
  • 核心内容： 面向 FHE Transformer inference，提出降低 ciphertext rotation 的矩阵乘法方案，并用 Statistical-max Softmax 与 DelayNorm 减少非线性层深度和 bootstrapping。更新版本报告在 encrypted BERT-Tiny 上相对基线约 1.4× 加速，bootstrapping 最多减少 46%，准确率损失为 0–1.5%。
  • 与你的方向关系： 属于 LLM prompt confidentiality 的密码学相邻方向；相比语义隐私，它提供更强的内容机密性，但仍受模型规模、交互延迟和密文计算成本约束。
  • 建议： 收藏 / 定向精读；如果研究重点仍是 Agent 与 harness，可只关注其 threat model 和 deployability trade-off。IACR 更新记录

今日优先阅读

DREvo、Living-Harness、SafeFlow。

前两篇直接影响当前 harness optimization 论文的 novelty positioning；SafeFlow 则与跨 Agent 权限和语义风险传播方向高度吻合。