本期检索范围： 2026-08-03—2026-08-04

本期共筛选出 10 项。最明显的趋势是安全边界开始从“模型是否拒绝”转向 harness 对 typed tool return、来源权限和持久化记忆的系统级约束；另一条主线是用非生成式记忆、轨迹复用和有状态 tokenization 降低 Agent 的持续运行成本。本期包含 9 项新论文（其中 2 项同步提供实质代码）和 1 项项目重大更新；没有论文版本更新，也未发现值得单独收录的新代码项目。

1. CAGE: Certified Authorization under Typed-Return Uncertainty for Tool-Using Agents

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Blaise Delattre、Cong Wang、Yang Cao；tdsai-lab
  • 日期： 2026-07-31
  • 链接： 论文 · 代码
  • 核心内容： CAGE 研究 typed tool return 的来源绑定或数值出现小幅误差时，候选动作是否仍在整个联合扰动邻域内获得授权。论文证明分别认证类别字段和数值字段并不能组合成安全保证，并通过离散分支精确枚举加连续扰动认证，消除 pointwise gate 在预算内出现的 false allow。
  • 与你的方向关系： 这是 capability / permission control 的直接进展：它把权限检查放在 tool return 之后、action 执行之前，并明确将不可信文本排除在授权输入之外。对 Agent Security 和 executable harness 而言，它提供了比 LLM judge 更可审计的 typed action gate，以及对来源错绑、缓存陈旧和 read-then-act race 的统一建模。
  • 建议： 精读并试跑。仓库包含策略 oracle、混合攻击、认证后端、真实 harness 集成、测试和逐表复现映射；重点验证其扰动预算如何从实际 adapter fault 校准，以及 learned gate 的 policy-fidelity 假设。

2. Memory Provenance Laundering in LLM Agents: A Non-Amplification Firewall for Persistent Memory

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Jinghan Xu、Yiyong Xiao、Wanru Shao、Hankai Liu、Xinjin Li
  • 日期： 2026-07-31
  • 链接： 论文
  • 核心内容： 论文识别出 memory provenance laundering：外部低信任观察在 LLM consolidation 后被改写成类似用户历史或工作流依据的记忆，攻击触发仍保留，但来源权限已被抹去。PPMF 由平台维护不可由模型重写的 provenance、confirmation 与 risk label，并按 action risk 与相关记忆的 authority 匹配工具调用权限。
  • 与你的方向关系： 它把 memory poisoning 从内容检测推进到信息来源与权限的 non-amplification 约束，直接连接持久化 Prompt Injection、Agent memory security 和 capability control。对 self-evolving harness 来说，经验压缩或 code-as-memory 的重写过程同样不能提升原始证据的授权等级。
  • 建议： 精读。重点比较 PPMF 与 semantic taint / IFC 的差异，并检查平台 provenance 在跨会话合并、摘要和多 Agent 转发后是否仍可完整传播。

3. Zero-Mem: Zero-Token Memory Operations for LLM Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yilin Xiao、Zhehan Zhu、Yujing Zhang、Jin Chen、Zijin Hong、Luyao Zhuang、Qinggang Zhang 等
  • 日期： 2026-07-31
  • 链接： 论文
  • 核心内容： Zero-Mem 在最终问答之外不调用 LLM，也不为记忆操作消耗 LLM token，而是保留原始交互轨迹，并用 entity–context graph 与 temporal hierarchy 两种视图完成检索和关系扩展。论文报告在相同 reader 与上下文预算下保持竞争性表现，并相对最快对比基线降低 57.6% 的记忆操作时间成本。
  • 与你的方向关系： 该工作直接对应 cost-aware Harness Optimization：把反复发生的 memory write、summarization 和 retrieval mediation 从生成式调用迁移为确定性结构操作。它也保留原始证据，减少摘要导致的 provenance 丢失，因而与记忆安全存在重要交叉。
  • 建议： 精读。重点比较双视图 memory 与可执行 controller code 的表达能力、encoder 成本的核算方式，以及 conflicting-evidence calibration 是否会引入不可见的安全偏差；官方仓库目前仅为代码预告，未作为代码条目收录。

4. Reusing Past Repairs Through Hierarchical Trajectory Abstraction for Coding Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yisen Xu、Jiayuan Zhou、Ruiqi Pan、Tse-Hsun Chen
  • 日期： 2026-07-31
  • 链接： 论文
  • 核心内容： STAIR 将历史修复轨迹抽象成从细粒度诊断动作到高层策略的多级树，并为新 issue 检索、适配为可执行计划。论文报告在 SWE-bench Verified 上与 Lingxi 组合达到 81.2% Pass@1；同一计划无需修改代码即可把 mini-SWE-agent v2 从 75.8% 提升到 81.0%，且多粒度组合优于单层或原始轨迹。
  • 与你的方向关系： 这是 harness experience reuse 与 code-as-memory 的高相关相邻工作：它不直接重写 controller，而是把过去的执行轨迹蒸馏成可迁移计划注入后续运行。它可作为 Natural Growth 中“可执行函数增长”与“层级计划记忆”两种长期经验表示的强对照。
  • 建议： 精读。重点核查 trajectory abstraction 的生成成本、跨任务检索是否使用测试信息，以及计划增益在 held-out repository 和不同 Agent 上的稳定性。

5. GitHub Agentic Workflows v0.84.3

  • 类型 / 来源： 项目重大更新｜GitHub
  • 作者 / 维护者： GitHub、pelikhan、lpcox 等维护者
  • 日期： 2026-08-03
  • 链接： 项目 · v0.84.3 发布说明
  • 核心内容： v0.84.3 默认引入对 workflow run steps 的 ShellCheck linting，新增 jobs.agent.needs / jobs.agent.if gating，并仅在配置 allowed-refs 时把 dispatch_workflow.ref 暴露到工具 schema。安全更新还移除或禁用多个带未修复高危 CVE 的容器镜像、修补 brace-expansion 漏洞，并把基础镜像固定到已修复 digest。
  • 与你的方向关系： 这是 Agent harness 如何同时约束命令执行、工作流触发和供应链依赖的真实工程案例。相较上一版本的参数注入修复，本次进一步把权限边界前移到编译期 lint、agent-job gate 和 schema-level ref allowlist，适合作为 capability control 的实现参考。
  • 建议： 精读。重点比较 allowed-refs 与上一版本 per-call ref 的组合语义、ShellCheck Docker fallback 的可信边界，以及被移除 MCP 镜像对工作流可用性的回归测试。

6. Alignment Is Local: A Paired Diagnostic for GUI Agents under User-Side Persuasion

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Haoxin An、Yunpeng Song、Zihao Bai、Zhongmin Cai、Guojun Xiong、Chenhao Lin、Wentao Chen、Feng Wei、Chao Shen
  • 日期： 2026-07-31
  • 链接： 论文
  • 核心内容： 该工作用 paired diagnostic 测试三个前沿 GUI Agent 在 screen-grounded、用户侧说服情境下的动态安全性。单行 guardrail 在单轮显式请求中最多降低约 40 个 ASR 点，但四轮 escalation 在所有模型上又将 guarded ASR 提高约 20 点，且隐藏意图在加 guardrail 后反而更具优势。
  • 与你的方向关系： 它说明 jailbreak / harmful-action defense 不能只用单轮 refusal 评价，harness 必须在长交互中累积 intent evidence，并在高风险 GUI action 前重新授权。虽然没有环境侧 IPI，该结果对多轮权限漂移和 action-time confirmation 具有直接启发。
  • 建议： 精读。重点看 paired design 是否控制任务难度和模型状态，并将 multi-turn escalation 指标与 prompt injection benchmark 的可执行伤害终点对齐。

7. Reproducing LightMem: Naive RAG Is Just as Good for Memory Management

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Yongjie Zhou、Shuai Wang、Bevan Koopman、Guido Zuccon；ielab
  • 日期： 2026-07-31
  • 链接： 论文 · 代码
  • 核心内容： 复现实验发现，固定 LightMem store 仅更换 retriever 就会使回答准确率从 58.1% 变化到 75.5%，而直接从原始用户轮次检索的 Naive RAG 在匹配 retrieval depth 时通常更好。LightMem 的优势主要出现在回答 token 预算紧张时，且 memory construction 会删除部分与答案有关的信息。
  • 与你的方向关系： 这是对 Agent memory 与 context optimization 的重要负结果：复杂记忆构建并不天然优于原始轨迹检索，检索器和 token budget 可能才是主导变量。它也支持在 harness 优化中分别消融 representation、retriever、reranker 与 reader，而不是把增益归因于整体 memory 模块。
  • 建议： 精读并复现。仓库包含 LightMem、Naive RAG、full-context 和 oracle 流水线，以及多 retriever / budget 配置；重点复核 judge 依赖、H100 资源假设和构建成本是否公平计入。

8. TokTier: Exact Stateful Tokenization for Agentic LLM Serving

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Zhenyu Zhang、Zhichao Cao
  • 日期： 2026-07-31
  • 链接： 论文
  • 核心内容： TokTier 针对 coding agent 每轮只追加少量 tool result、却反复重分词完整长上下文的问题，通过稳定边界检查做增量修复，失败时扩大窗口或回退到完整 tokenization。作者在 17 个 tokenizer family、超过 93,000 个 Agent step 的回放中报告零 token divergence，并使 vLLM median time-to-first-token 降低 16–34%。
  • 与你的方向关系： 它属于 Agent scaffold / serving harness 的系统级优化，不改变模型或任务策略，却显著降低长轨迹反复提交的固定成本。对 cost-aware harness 研究，它提醒应把 tokenization、prefix-cache 命中与模型 token 费用分开计量。
  • 建议： 浏览并收藏。重点关注 exactness fallback 的最坏情况、session identity 与隔离边界，以及性能收益在不同 compaction 策略下是否仍成立。

9. OpenLLM: Modular and Scalable zkSNARKs for Verifiable LLM Inference

  • 类型 / 来源： 新论文｜IACR Cryptology ePrint 2026/1578
  • 作者 / 维护者： Yunbo Yang、Yupeng Ren、Changtong Xu、Rui Zhang、Xuanming Liu、Jin Tan、Tao Wei、Bingsheng Zhang、Kui Ren
  • 日期： 2026-08-03
  • 链接： 论文
  • 核心内容： OpenLLM 将大模型推理拆成可复用原子算子，为非线性函数设计可组合的非交互零知识证明，从而构建与具体模型架构解耦的端到端验证流程。作者报告其在证明大小、验证成本、数值精度和模型扩展性上优于既有端到端方案，并消除交互式协议的通信轮次。
  • 与你的方向关系： 该工作覆盖 LLM Security 中的远程推理完整性：它验证服务端确实按承诺模型执行，而不是只依赖 API 声明。对 Agent harness，这可作为高价值模型调用的可验证后端，但不直接解决 Prompt Injection、工具权限或输出语义正确性。
  • 建议： 收藏 / 定向精读。重点检查被证明的算子集合、近似非线性导致的精度—证明成本权衡，以及对真实大模型自回归解码的端到端开销。

10. GoldenRetriever: Non-Interactive Homomorphic Encrypted Retrieval for Privacy-Preserving RAG

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yang Gao、Gang Quan、Scott Piersall、Qian Lou、Dongdong Wang、Liqiang Wang
  • 日期： 2026-07-31
  • 链接： 论文
  • 核心内容： GoldenRetriever 用 CKKS 在密文上完成相似度评估，并以 threshold selection 代替昂贵的加密 top-k ranking，将相对语料规模的计算复杂度从二次降为线性。precision-stable mask polarization 用于把近似密文计算稳定映射回文档选择，且不泄露查询、分数或选中文档索引。
  • 与你的方向关系： 它属于 LLM Privacy 与 RAG / Agent memory retrieval 的密码学相邻方向，可保护用户查询和私有知识库的访问模式。与语义隐私或权限控制不同，它提供内容层强机密性，但需要权衡阈值选择、召回率和密文计算成本。
  • 建议： 浏览 / 收藏。优先看 threshold 对结果数量与信息泄露的影响，以及方法能否扩展到动态 Agent memory、频繁增量写入和多租户检索。

今日优先阅读

优先阅读 CAGE、Memory Provenance Laundering 和 Zero-Mem。CAGE 直接给出 tool-use authorization 的可认证 harness 边界；后两篇分别从“权限不能在记忆重写中被放大”和“记忆操作不必持续调用 LLM”出发，可能同时影响 Agent memory security 与 cost-aware harness 的系统设计。若正在强化论文 related work，建议随后对照阅读 STAIR。