本期检索范围： 2026-07-31—2026-08-03

本合并版共收录 8 项。最明显的趋势是 harness 正同时成为性能优化对象、可抽取的知识产权和需要细粒度权限控制的安全边界；Agent memory security 也从污染检测扩展到版本化恢复。内容包含 7 项新论文（其中 1 项同步发布新代码仓库）和 1 项项目重大更新；2026-08-03 当日没有额外达到中高相关标准的新条目。

1. Agent Harness Distillation: Inference-Time Harness Extraction and Exploitation in Autonomous Multi-Agent Systems

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yu Cui、Wuli Yang、Yirui Shi、Junhao Xia、Hui Jiang、Lei Gao、Chenfu Bao
  • 日期： 2026-07-30
  • 链接： 论文
  • 核心内容： 论文首次将 autonomous multi-agent system 的 inference-time harness extraction 形式化为安全与知识产权泄露问题。AHD 先从目标 Agent 的黑盒响应推断编排行为并构造初始 harness，再迭代对齐其行为模式；作者还提出 deception-based defense，在保持正常效用的同时向抽取过程暴露误导性 harness 信息。
  • 与你的方向关系： 它直接连接 Harness Optimization 与 Agent Security，并提出一个值得警惕的新结论：优化所得的 controller topology、角色分工和协作策略可能从输出轨迹中被蒸馏。对 Natural Growth 而言，这意味着除了性能与成本，还需要考虑 learned harness 的可识别性和可复制性。
  • 建议： 精读。重点核查其 harness leakage 定义、抽取保真度指标和 threat model；论文明确标注仍为 work in progress，因此实验结论宜谨慎引用。

2. Piggybacking on Perception: Stealthy Concurrent Audio Prompt Injections against Multimodal LLM Agents

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Mingxiao Liu、Yitong Li、Haoren Zhao、Yaoxiang Bian、Jianan Ma 等
  • 日期： 2026-07-30
  • 链接： 论文 · 代码
  • 核心内容： 该工作研究恶意音频指令与用户语音同时出现时的 Prompt Injection，通过 instruction augmentation 和 scenario concealment 将攻击隐蔽地搭载在正常交互中。AudioAgentSecurity 覆盖 8 类真实任务、10 种攻击模式和 11 个 Agent；论文报告对 Gemini 3 Pro 的平均 ASR 为 69.10%，而结合声源分离与跨模态一致性分析的 CADV 防御在多类攻击上的检测成功率超过 90%。
  • 与你的方向关系： 这是 Indirect Prompt Injection 从文档、网页进一步扩展到连续感知通道的实例，说明输入来源与指令权限不能仅在转写后的文本层判断。它支持在 harness 中引入 source-aware provenance、跨模态一致性验证和 action-time confirmation。
  • 建议： 精读并试跑。官方仓库包含攻击入口、数据构造、CADV 实现、评测脚本和结果日志，但当前仅 3 次提交，复现时应首先验证数据路径、judge 稳定性和真实环境音频设置。

3. ChronoMem: Version Control and Semantic Rollback for Large Language Model Agent Memory

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yongye Su、Wujiang Xu、Chaoji Zuo、Elisa Bertino
  • 日期： 2026-07-30
  • 链接： 论文
  • 核心内容： ChronoMem 将 Agent 长期记忆建模为可版本控制的状态：每次写入创建 whole-memory snapshot，并通过 lexical-semantic retrieval、rank fusion 与 reranking，把自然语言“撤销”请求映射到具体历史版本。其 post-exposure protocol 进一步测试 Agent 在已接触后续信息后，能否像这些信息从未出现一样回答问题和总结历史。
  • 与你的方向关系： 它为 memory poisoning 和错误经验积累提供了系统级恢复原语，也与 self-evolving harness 的 rollback 设计直接相关。相较只删除可疑条目，global snapshot 能更清楚地定义恢复后的状态一致性，但尚不能自动解决外部工具或环境中的副作用。
  • 建议： 精读。重点比较 semantic version selection 与确定性 restore 的边界，并评估其完整性检查能否扩展为恶意记忆写入后的安全恢复机制。

4. GitHub Agentic Workflows v0.84.2

  • 类型 / 来源： 项目重大更新｜GitHub
  • 作者 / 维护者： GitHub、pelikhan 等维护者
  • 日期： 2026-08-01
  • 链接： 项目 · v0.84.2 发布说明
  • 核心内容： v0.84.2 修复了 git archive fallback 路径中的参数注入漏洞（CWE-88），并加固 PR Description Updater，避免 one-shot safe-output 被提前耗尽；版本同时修复 external threat detection 的模型配置传播以及 Agent memory limit 的 front matter 解析。权限与执行方面，新版本支持 dispatch_workflow 的 per-call ref、显式 auto-merge strategy，并为 Docker 依赖增加 Dependabot supply-chain coverage。
  • 与你的方向关系： gh-aw 将 coding agent 置于 sandbox、read-only default 和受净化的 safe-output 写入边界内，是研究 executable harness、capability control 与 tool-use security 的高质量工程样本。这次更新展示了一个重要系统设计问题：即使 Agent 只能经受控输出写入，底层 fallback command、输出配额和运行时 branch target 仍可能形成权限绕过或注入面。
  • 建议： 精读。重点查看 CWE-88 修复、one-shot safe-output exhaustion 的触发条件，以及新增 per-call ref 是否配套限制 Agent 可指定的 branch；这些变化可直接用于建立 harness security 的攻击面分类。

5. Safeguards Based on Copyable Context Cannot Provide Reliable Safety for LLMs

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Pingyu Wu、Lingyao Zhu、Weiming Zhang、Nenghai Yu
  • 日期： 2026-07-30
  • 链接： 论文
  • 核心内容： 论文区分模型释放的 capability 与 safeguard 用于判断下游用途的 evidence，并证明当这些证据可被攻击者复制时，在保留有用回答的前提下，攻击者可获得的帮助存在不可消除的最坏情况下界。作者据此提出 Useful Capability、Reliable Safety 与 Open Access 不可同时满足的 trilemma，并讨论 trusted credential 如何引入难以复制的授权信号。
  • 与你的方向关系： 这为 capability / permission control 提供了理论依据：聊天历史、角色声明和“我是安全研究员”等上下文不是可靠授权凭证。真正的权限控制需要由模型外 harness 绑定不可伪造身份、资源能力和具体 action scope。
  • 建议： 精读。最值得核查的是定理成立的 threat model、copyable evidence 定义，以及 trusted-access 条件能否映射到 capability token 或细粒度工具授权。

6. AISPA: User-Centric System Prompt Auditing for Large Language Model Applications

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Xiangning Lin、Shenzhe Zhu、Shu Yang、Zhenyu Zhang、Haoqian Zhang 等
  • 日期： 2026-07-30
  • 链接： 论文
  • 核心内容： AISPA 提出面向用户利益的 system prompt 审计框架，沿 8 个维度将具体指令标为 protective 或 problematic。作者审计了 88 个商业 AI 产品中的 3,249 条指令：98.9% 的产品至少包含一条保护性指令，但仅 24% 覆盖全部维度，约 40% 至少包含一条不利于用户利益的指令。
  • 与你的方向关系： 该工作关注 system prompt 本身的治理与问责，而非 Prompt Injection 的抗攻击性；它可作为 harness specification audit 的上层补充。对安全 harness 来说，开发者配置的隐含目标、操纵性规则和数据处理指令同样需要被审计。
  • 建议： 浏览。适合借鉴其 span-level taxonomy 和 human–LLM auditing workflow，但不应把“保护性指令数量”直接解释为运行时安全强度。

7. ARES: Adaptive Reasoning-Effort Steering for PPA- and Cost-Aware RTL Optimization with LLM Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Stef Cuyckens、Mihaela Jivanescu、Jun Yin、Chao Fang、Marian Verhelst
  • 日期： 2026-07-30
  • 链接： 论文
  • 核心内容： ARES 在 RTL 优化循环中联合报告 FoM 与标准化美元成本，并在低 reasoning effort 的进展停滞后才升级推理强度。作者发现精心构造的跨设计 memory 相对相同经验的直接拼接没有稳定收益；在三个未见测试设计上，自适应策略以相同成本取得 23–27% 的 FoM 降幅，并以 Dr. RTL 约 12% 的 token 达到更深优化。
  • 与你的方向关系： 虽然任务域是硬件设计，它提供了很清晰的 cost-aware controller：不是固定每次调用的模型努力，而是根据 optimization stagnation 动态分配推理预算。这可作为 success-first、cost-aware harness optimization 中 call-level effort routing 的相邻基线。
  • 建议： 精读。重点比较 patience-based escalation 与按失败类型或轨迹不确定性分配预算的优劣，并注意其测试集只有三个 unseen designs。

8. SKIMIX: Multi-Agent Harness-Time Scaling with Skill Mixture for Dynamic Harness Engineering

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Jia Luo
  • 日期： 2026-07-30
  • 链接： 论文
  • 核心内容： SKIMIX 让携带不同 skill portfolio 的多个 Agent 通过 iterative refinement 协作，并结合 embedding retrieval、submodular anti-dilution routing 与 adaptive skill evolution。六个推理 benchmark 显示，协作对开放式数学任务有明显帮助，但对多选题收益有限或为负；Agent 数量扩展也并非单调，主要增益集中在第一轮 refinement。
  • 与你的方向关系： 它从 skill selection 与组合角度研究 dynamic harness engineering，并提醒“更多 Agent / 更多 skill”并不自动带来更好 controller。anti-dilution routing 对大型 skill library 中的上下文污染和无关指令竞争尤其相关。
  • 建议： 浏览。目前为单作者论文且未提供官方代码，优先理解其 routing objective 和负结果，不宜仅依据摘要中的性能描述采用为强基线。

今日优先阅读

优先阅读 Agent Harness Distillation、Piggybacking on Perception 和 ChronoMem。第一篇可能改变 learned harness 的 threat model 与论文定位；第二篇为多模态 IPI 提供可运行的攻击—防御评测链；第三篇则把 memory poisoning 后的恢复从 prompt suppression 推进到可定义、可验证的状态回滚。若更关注工程落地，可将 GitHub Agentic Workflows v0.84.2 作为 capability control 与 safe-output 设计的配套案例。