本期检索范围： 2026-08-04—2026-08-05

本期共筛选出 9 项。最明显的趋势是：Harness Optimization 正从人工规则与离散配置搜索转向“从失败轨迹学习可执行补丁”，而 Agent Security 的风险边界正沿持久化记忆、MCP 工具和跨 Agent 委派链路扩张。本期均为新论文，没有达到收录标准的论文版本更新或项目重大更新，也未发现值得单独收录的新代码项目。

1. Harness-R1: Learning to Edit Executable Runtime Harnesses from Agent Failure Trajectories

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Shuai Shao、Kangning Zhang、Qingyao Li、Shijian Wang、Hao Wang、Wenxiang Jiao、Yuan Lu、Yi Guo、Weiwen Liu、Weinan Zhang
  • 日期： 2026-08-03
  • 链接： 论文
  • 核心内容： Harness-R1 将“根据失败轨迹编辑现有可执行 runtime”训练成独立能力：一个 9B harness engineer 把成批失败转化为经验证的代码补丁，并用冻结目标 Agent 的新鲜重跑结果作为在线 GRPO 奖励。作者报告在 WebShop、ALFWorld 和 DBBench 上把 vanilla Qwen3.5-9B 的平均成功率从 44.3% 提升至 53.6%，目标模型微调后再由专用 engineer 从 59.2% 提升至 64.2%。
  • 与你的方向关系： 这是 Harness Optimization 与 executable harness learning 的直接核心工作，也把优化对象从 prompt、memory 或固定 controller 参数扩展到生命周期级运行时代码。它尤其适合作为 code-as-memory、failure-conditioned edit 和 harness/agent co-evolution 的强基线。
  • 建议： 精读。优先核查补丁验证门、同批次重跑是否造成过拟合，以及 engineer 对未见任务和不同 harness 结构的迁移能力。

2. Salami Attack: Stealthy Collusive Memory Poisoning against OpenClaw

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Zheng Lin、Yuzhe Huang、Zhenxing Niu、Xianmin Ye、Haichang Gao
  • 日期： 2026-08-03
  • 链接： 论文
  • 核心内容： MemCollusion 把一个恶意目标切分成多条单独看似无害、组合后才触发危险行为的持久化记忆，并以四项约束、五类策略和微调生成器自动构造“记忆联盟”。在 MoltLab 的跨会话 OpenClaw 场景中，两种 backbone、48 个场景下，最强记忆保存设置的平均 Memory Save Rate 为 81.3%，Attack Success Rate 为 75.0%，且对良性记忆稀释和 memory-level defense 仍有效。
  • 与你的方向关系： 该工作直接覆盖 agent memory poisoning、persistent prompt injection 与组合式间接注入，说明逐条审核“无害”并不能保证聚合后的记忆安全。它也对语义信息流控制提出更强要求：防御必须追踪跨记录、跨会话的联合意图。
  • 建议： 精读。重点比较 coalition 构造约束、保存阶段与执行阶段的攻击成功拆分，以及现有 memory sanitizer 为什么无法识别组合语义。

3. Exposed by Design: A Dynamic Security Assessment of Internet-Facing MCP Servers at Scale

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Nicolás Padilla
  • 日期： 2026-07-31
  • 链接： 论文
  • 核心内容： 论文结合 11 个被动发现来源与含 34 个测试模块、覆盖 10 类 MCP 漏洞的 Corvus，对互联网暴露的 MCP 服务进行动态测量；四轮测量确认 640 个生产服务并审计其中 414 个，发现 68 个可报告漏洞。样本中 91.8% 缺少 OAuth，确认服务上有 687 个工具实例暴露无访问控制的 shell 执行能力，且相邻三天内 41.6% 的确认服务消失。
  • 与你的方向关系： 这是 tool-use security、capability control 与 MCP 部署风险的高价值实证研究，把抽象的工具投毒与权限问题落实到真实互联网服务、认证缺失和高危执行能力暴露。结果支持在 harness 层实施最小权限、服务身份验证、工具能力清单和调用前动态审计。
  • 建议： 精读。优先看动态测试的安全边界、漏洞确认与负责任披露流程，以及样本发现偏差是否会放大未认证服务比例。

4. A False Average: Chain-of-Thought Monitors Collapse Where They Are the Only Defense

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Shikhar Shiromani、Leo Richter
  • 日期： 2026-08-01
  • 链接： 论文
  • 核心内容： 攻击只把 Agent 的 reasoning 改写成看似善意的工程叙述，同时原样复制命令和输出、保持 exploit 不变；在“只有 CoT 暴露恶意意图”的子集上，held-out monitor 的捕获率一次无梯度改写后从约 95% 降至不足 11%。攻击可跨 monitor family 与 Agent 模型迁移，纯 trace 防御只能部分恢复，而引入 trace 外信息才有明显改善。
  • 与你的方向关系： 这项工作直接挑战把 CoT monitor 当作 Agent Security 最后一道防线的设计，也说明汇总准确率会掩盖关键条件子集上的系统性失效。对 harness 设计而言，安全判定必须结合权限、环境状态、实际 action effect 与独立 provenance，而不能只审查模型自述。
  • 建议： 精读。重点审查条件子集的构造、calibrated monitor 下的结果，以及哪些外部信号真正提升了因果可控性而不只是检测率。

5. Learning What to Remember and What to Internalize in LLM Self-Evolution via Adaptive Memory-Parameter Coordination

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Tianyun Ji、Zhenya Huang、Jiayu Liu、Zirui Liu、Yu Su、Hongbin Pei
  • 日期： 2026-08-02
  • 链接： 论文
  • 核心内容： COVE 联合 harness-based 与 parameter-based learning，用 task-aware routing、stage-aware scheduling 和 knowledge optimization 决定哪些经验写入可编辑 memory/skill，哪些内化到模型参数。论文报告在多类任务与变化环境中优于单通道演化策略，目标是在快速适应性与更深层能力提升之间动态分工。
  • 与你的方向关系： 它为 self-evolving agents 提供“外部可执行知识与内部参数更新协同”的系统框架，直接关联 Harness Optimization、skill/memory growth 与持续学习。其路由准则也可作为研究 code-as-memory 何时应固化、何时应继续外置的比较对象。
  • 建议： 精读。重点核查路由监督信号、阶段调度的消融，以及外部知识被内化后是否仍具备可审计、可撤销和回归测试能力。

6. From Monoliths to Swarms: A Study of Attack Surface Evolution in the Transition to Multi-Agent Web Systems

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yashaswi Malla、Sandra Siby
  • 日期： 2026-07-31
  • 链接： 论文
  • 核心内容： WebMASLab 固定用户任务、工具面和浏览器底座，对单 Agent 与多 Agent Web 系统进行架构对照，并提出利用跨 Agent 委派形成循环的 Telephone Loop 攻击。该攻击对单 Agent 无效，却在四个前沿模型中的三个多 Agent 配置上生效，基线平均攻击成功率为 80%；prompt hardening 的收益随模型大幅波动，未形成通用防御。
  • 与你的方向关系： 工作直接刻画 multi-agent security 与 delegation boundary：能力分解不仅改变性能，也创建单体系统不存在的控制流攻击面。它提示 harness 需要为委派图设置身份、深度、环路、预算与终止条件，而不是只加固每个子 Agent 的 prompt。
  • 建议： 精读。建议重点复核 SAS/MAS 控制变量、循环检测规则与不同模型的差异，以判断风险究竟来自角色语义、消息协议还是调度器。

7. Safety Invariants for Agents Orchestrating Irreversible State Transitions: A Four-Dimensional Formalism Evaluated on Public Ledgers

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Zhaoming Yin
  • 日期： 2026-08-01
  • 链接： 论文
  • 核心内容： 论文将不可逆外部操作形式化为状态转移，并用七项 safety invariant 保证 execution fidelity：实际结果要么为空，要么与向用户预览的有限状态转移完全一致且只执行一次。N=60 的对抗测试中，该栈对两种倾向写操作的模型相对 naive ReAct 提升约 74 个百分点，但对谨慎模型仅提升约 3 个百分点；失效分类还由 8 条链上的 108 次生产写操作支撑。
  • 与你的方向关系： 这是 capability/permission control 与 action gating 的形式化相邻工作，把预览、幂等、重试和委派调用整合为可验证的 harness invariant。它尤其适合用于不可逆 tool use 的 commit protocol、human confirmation 与 exactly-once semantics 设计。
  • 建议： 精读。重点区分“执行与预览一致”与“预览符合用户意图”，并检查故障模型是否覆盖恶意工具、提示注入和跨会话权限陈旧问题。

8. Shared Prefixes, Better Credit: Adaptive Routing for Multi-Agent Reasoning

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yiqing Liu、Zihao Wang、Hantao Yao、Wu Liu、Yongdong Zhang
  • 日期： 2026-08-03
  • 链接： 论文
  • 核心内容： TreeCredit 从相同中间状态扩展不同协作算子，构建 shared-prefix tree，再按终局正确性与后续累计成本为每个 state–operator pair 分配 suffix credit。结构化 credit 被转为局部偏好以训练轻量 pairwise router；六个推理 benchmark 上，论文报告在小幅提升准确率的同时显著降低推理成本。
  • 与你的方向关系： 该方法与 cost-aware agent optimization、multi-agent controller learning 和可执行调度策略直接相关，核心价值是把粗粒度 trajectory return 改造成状态匹配的局部 credit。它可作为 harness 搜索中“哪个编辑或算子在当前状态真正有用”的对照机制。
  • 建议： 浏览。重点查看成本定义、共享前缀带来的采样节省，以及 router 是否会在分布外状态上错误固化局部偏好。

9. Skillsets on the Chain: A Blockchain-based Zero-Trust Framework for Agentic AI Networking

  • 类型 / 来源： 新论文｜arXiv / IEEE TCCN 接收
  • 作者 / 维护者： Yayu Gao、Yong Xiao、Hao Hu、Xubo Li、Zhiwei Liu、Yingyu Li、Guangming Shi、Ping Zhang
  • 日期： 2026-07-31
  • 链接： 论文
  • 核心内容： TrustAgentNet 用全局 Chain of Skillsets 管理第三方 skill 元数据生命周期，并以链下 Agent 审计配合轻量链上共识；任务执行时再建立临时 Chain of Collaboration。原型在 40 个诚实与 10 个对抗 skillset 上实现 100% 验证准确率，并在来自 171 个 ClawHub skills 的 1,478 个特征上取得 83.91% 准确率和 0.85 F1。
  • 与你的方向关系： 该工作直接触及 persistent skill-file security、capability attestation 与 multi-agent zero trust，尤其关注“声明的能力”和“实际行为”不一致。即使不采用区块链，其 skill 生命周期、可验证元数据和协作链身份边界仍可迁移到 Agent harness 的安装、授权与撤销机制。
  • 建议： 浏览。重点评估链上机制是否真正必要，并核查对语义隐蔽、跨 skill 组合攻击和运行时行为漂移的覆盖范围。

今日优先阅读

优先阅读 Harness-R1、Salami Attack 和 Exposed by Design。前者直接改变可执行 harness 自演化工作的 novelty positioning 与基线选择；后两者分别揭示跨记录组合记忆攻击和真实 MCP 部署中的能力暴露，会影响持久化信息流、防护粒度与工具权限边界的系统设计。