本期检索范围： 2026-08-05—2026-08-06

本期共筛选出 10 项。最明显的趋势是 Agent 安全研究正在从输入文本过滤走向内部表征检测、跨阶段防御、运行时证据与系统级形式化语义；同时，持久化 memory/skill 已成为兼具完整性、隐私和身份冒用风险的独立安全边界。本期均为新论文，其中 3 项同步提供了有实质实现的代码仓库；没有符合标准的论文版本更新、项目重大更新或值得单独收录的新项目，IACR ePrint 也未发现需优先推送的新增工作。

1. Your Agentic LLMs Secretly Encode Latent Signals of Indirect Prompt-Injection Exposure

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Jianshuo Dong、Yiming Liu、Maosen Zhang、Nan Deng、Xu Peng、Xiaoping Zhang、Tianwei Zhang、Jie Zhang、Han Qiu
  • 日期： 2026-08-01
  • 链接： 论文 · 代码
  • 核心内容： 论文发现六个模型在生成前的 hidden states 中已经编码 IPI exposure 信号，线性 probe 在未见攻击、Agent 指令和任务套件上取得 90% 以上 AUROC，并在自适应攻击和跨语言设置下保持较强鲁棒性。基于“识别到了风险但未转化为安全行为”的 recognition–action gap，AGRI 只在 probe 触发时加入抗注入推理；在困难 AgentDojo 设置中，Qwen3.5-27B 的 ASR 从 34.6% 降至 0%，同时大体保持干净任务效用。
  • 与你的方向关系： 这是 Prompt Injection 与 Agent Security 的直接核心工作，也为你正在考虑的 CaMeL / program semantics 扩展提供了一个互补层：program-level policy 可以负责执行约束，latent probe 则可提供“当前外部数据已携带指令性风险”的动态标签。仓库包含 trace collection、风险标注、hidden-state featurization、probe 训练评估、AgentDojo 补丁和测试，不是仅有 README 的占位仓库。
  • 建议： 精读。优先核查 probe 标签究竟对应 exposure、可见性还是实际遵从，并思考如何把 AGRI 的软推理触发替换为 CaMeL 式不可绕过的语义权限门。

2. Formal Verification of Agentic Systems over Operational Data

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Alejandro J. Mercado、Alessio Lomuscio
  • 日期： 2026-08-04
  • 链接： 论文
  • 核心内容： 论文把单个 LLM、tool-orchestration harness 与关系型 operational data 组成的部署形式化为 Stateful Tool-Enabled Agentic Deployments（STEADs），给出系统语义并以 FO-CTL 表达工作流与数据演化要求；一般验证问题不可判定，在有限域限制下则为 PSPACE-complete。作者识别出“重命名不透明标识符时，所选工具调用必须相应重命名”的等变性条件，并构造 canonical deployment wrapper，使任意基础 Agent 满足该条件且保留原本已等变的行为。
  • 与你的方向关系： 这项工作与 program semantics、capability control 和 tool-use security 高度契合：它不只约束 Agent 接口，而是对 LLM、harness、工具调用和持久数据的联合状态转移给出语义。对 CaMeL 扩展尤其有价值，可用于区分“数据值如何变化”与“模型生成的控制决策如何随标识符变化”，并把 policy enforcement 转化为可验证 wrapper。
  • 建议： 精读。重点看 STEAD 的 transition semantics、FO-CTL 可表达的 security property，以及 canonicalization 是否能扩展到动态工具集、非关系数据和间接提示注入的污点标签。

3. $S^3$: Improving Agent Safety through Multi-Stage Defense

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Zibo Xiao、Haoyu Wang、Jun Sun
  • 日期： 2026-08-03
  • 链接： 论文 · 代码
  • 核心内容： $S^3$ 将输入、记忆、规划、工具选择、执行和工具观察阶段的异构防御统一表示为带显式 stage semantics 的 Stage-Specific Safety Skills，并由独立 guard agent 按阶段编排。作者还构建 Multi-Stage Risk Benchmark，报告完整框架在安全有效性与良性任务保留上优于单技能及代表性多阶段基线；仓库包含 27 次提交、GuardAgent、六类攻击、技能实现、数据与批量评测脚本。
  • 与你的方向关系： 它直接覆盖 Agent Security、memory poisoning、observation prompt injection 与 persistent skill-file security，并把“安全控制放在哪个生命周期阶段”提升为一等接口。对 harness 研究而言，它是把安全模块组合进 controller 的强工程基线，也暴露了 guard LLM 与主 Agent 共享认知弱点时的潜在单点失效。
  • 建议： 精读并试跑。重点比较 stage-local skill 与跨阶段信息流约束，检查 recovery 是否会在后续阶段重新引入已净化风险，以及 SKILL.md 语义是否足够支持静态验证。

4. WeClawArena: An Auditable Sandbox and Benchmark for Cross-User Agents Collaboration and Security in Human-Centered Agent Networks

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Prince Zizhuang Wang、Aojie Yuan、Haiyue Zhang、Xiyang Hu、Yue Zhao、Shuli Jiang
  • 日期： 2026-08-04
  • 链接： 论文
  • 核心内容： WeClawArena 面向由不同用户拥有、各自维护个人 workspace 与策略的 Agent 网络，提供可审计 runtime sandbox 和跨用户协作 benchmark。它包含六个领域的 124 个基础任务，并为每项扩展一个良性对照与四种攻击变体，共 620 个场景；系统记录 peer message、tool call、资源操作、治理决策和最终 workspace 状态，分别报告 utility 与 ASR。
  • 与你的方向关系： 该基准直接连接 multi-agent security、跨用户权限边界、隐私泄露、poisoned evidence 与 invalid authority path，避免只从最终文本判断攻击是否成功。它适合检验语义 taint、delegation capability 和跨 Agent 信息流控制是否真正限制了对他人资源的影响。
  • 建议： 精读。重点关注四类攻击的 authority model、运行时证据如何判定成功，以及是否能加入你关心的跨设备或跨账户 capability revocation 实验。

5. MutMem: Cryptographically Authorized Mutation in Persistent Agent Memory

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Walid Saidi
  • 日期： 2026-08-03
  • 链接： 论文 · 代码
  • 核心内容： MutMem 在 persistent memory engine HOM-AIMOS 中保留原始记忆内容，用签名的正负 outcome evidence 更新可检索权重，并将每次非平凡变化提交为 housekeeper 授权、不可分叉的 transition；数据库 writer 与独立 verifier 都执行 Ed25519 验证。N=100 的 PoisonedRAG 适应实验中，恢复签名标签策略后攻击目标的 top-5 检索中为 0/100 poison，而绕过该策略时为 94/100；作者明确限定该机制证明完整性、授权与历史连续性，而不证明内容真实。
  • 与你的方向关系： 该工作把 agent memory poisoning 与 cryptographic provenance、授权变更和可撤销信任状态结合起来，适合作为“持久记忆既可学习又可审计”的具体系统。它与 code-as-memory 也有直接类比：若 harness code 会持续自我修改，同样需要不可分叉的变更链、授权主体、旧新状态承诺和独立验证器。
  • 建议： 精读。重点区分内容真实性与变更授权，并评估单一 housekeeper identity、签名标签误判和长期 key rotation 对安全性的影响。

6. When Agents Learn to Be You: Benchmarking Privacy Leakage, Impersonation Risk, and Defenses in Persona Skills

  • 类型 / 来源： 新论文｜arXiv / 项目页
  • 作者 / 维护者： Yongli Xiang、Zhifang Zhang、Bojun Yang、Ziming Hong、Lei Feng、Miao Xu、Tongliang Liu
  • 日期： 2026-08-04
  • 链接： 论文 · 项目页与数据集
  • 核心内容： AntiSkillBench 研究把个人交互历史蒸馏成可移植、可执行 persona skill 后产生的隐私泄露与冒用风险，包含 50 个丰富 persona 的 7,500 条对话轨迹、三种 skill distillation 策略，以及属性披露、沟通风格和行为模仿评测。三种前沿 Agent 上风险均跨 backbone 与蒸馏协议持续存在，四种在线或事后防御的效果依赖具体蒸馏策略且难以泛化；项目页已提供数据集，代码仍标注为 coming soon。
  • 与你的方向关系： 该工作把 LLM Privacy 从单条记忆泄露推进到“碎片化个人信号被编译进持久技能”的语义隐私问题，也直接对应 persistent instruction / skill-file security。它提示 capability 声明不仅要描述工具权限，还应描述 skill 可推断、模仿和对外披露的 persona 属性范围。
  • 建议： 精读。重点查看 skill-level 与 agent-level 泄露如何区分，以及 provenance protection 为何不能稳定阻断行为风格与隐式属性的再现。

7. SparSEEty: Extracting Tokens from Sparsity-Exploiting LLM Serving Systems via Deterministic Side Channels

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yongwan Jo、Jinyoung Park、Euihyun Lee、Dokyung Song
  • 日期： 2026-08-04
  • 链接： 论文
  • 核心内容： SparSEEty 利用稀疏推理中由输入决定的 neuron weight access，先从 confidential VM 暴露的侧信道构造 neuron-activation oracle，再把部分二值激活轨迹反演回 token。针对 Intel TDX 内 LLM serving 的实验可同时重建 prompt 与 response，在多模型和数据集上 BLEU 均高于 0.95，监控开销为 3.7%–7.2%。
  • 与你的方向关系： 这是 LLM Security & Privacy 的高强度系统攻击，说明机密虚拟机并不能自动消除由优化策略引入的语义相关访存泄露。对 Agent 部署尤其重要：长期 memory、私有 tool result 与系统 prompt 都可能经过同一 serving path，因而需要把稀疏优化纳入端到端隐私威胁模型。
  • 建议： 精读。重点核查攻击者的观测权限、不同 sparsity scheme 的可迁移性，以及常数时间访问、噪声注入或固定稀疏模式的性能—隐私权衡。

8. AI Security Leaderboard: Methodology, Results and Minimal Standard

  • 类型 / 来源： 新论文｜arXiv / FAR.AI
  • 作者 / 维护者： Jasper Timm、Lukas Struppek、Ziwei Xu、Grace Cheong、Oscar Mata、Dan Zhao、Mick Yang、Isadora De Andrade、Xiaojun Jia、Yiming Li、Samuel Bauer、Heather McIntyre、Adam Gleave、Edward Yee、Kellin Pelrine
  • 日期： 2026-08-04
  • 链接： 论文 · 在线榜单
  • 核心内容： 论文提出 Minimal Standard for Safeguards v1.0，整理 67 种公开静态 jailbreak 技术并通过组合搜索，在 360 个 CBRNE 与 offensive cyber 目标上寻找能对同一领域超过 75% 目标产生合规回答的 universal jailbreak。四个前沿模型的 cost-to-jailbreak 相差超过百倍：随机搜索在 Grok 4.5 与 Gemini 3.1 Pro 上分别找到 63 和 18 个 universal jailbreak，而 Claude Fable 5 与 GPT-5.6 Sol 在两种搜索策略下均未出现此类结果。
  • 与你的方向关系： 该工作为 jailbreak defense 提供了比单一 ASR 更接近真实攻击预算的成本指标，并强调组合技术的大搜索空间。它可用于校准 Agent guardrail 的最低安全线，但其模型级结果不能替代对 tool use、memory 与 indirect injection 的系统级评测。
  • 建议： 浏览。重点参考 technique taxonomy、right-censored cost 指标与搜索协议，不要把榜单排序直接外推为 Agent runtime 的整体安全性。

9. ToolLIFT: Lifting Tool-Specific Trajectories into Function-Level Graphs for Generalizable Tool Planning

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Xiuhui You、Jiayi Luo、Zichao Shen、Qingyun Sun、Ziwei Zhang
  • 日期： 2026-08-04
  • 链接： 论文
  • 核心内容： ToolLIFT 不直接把历史轨迹固化为特定工具图，而是提升为 function-level workflow graph，把跨工具共享的功能结构与具体 tool selection 解耦。它进一步使用 source-gated 与 skill-specific RL rewards 保持跨调用信息流可追溯；在两个 ID 与三个 OOD benchmark 上均优于论文所比较的现有基线，并展示对未见工具集的泛化。
  • 与你的方向关系： 该工作直接关联 Harness Optimization、function-level controller abstraction、trajectory reuse 与 executable workflow learning。对 Natural Growth 的启发是：函数级结构可成为跨工具迁移的中间表示，但预先定义的功能聚类与图结构也可能重新引入你试图避免的 controller bias。
  • 建议： 精读。重点比较 FWG 的节点/边如何归纳、source gate 的安全语义，以及开放式代码增长与固定 function-level graph 在表达能力和审计性上的差异。

10. BAP-SQL: Budget-Aware Observation Planning for Agentic Text-to-SQL

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Chong Peng、Pin Qian、Su Wang、Yihang Chen、Varun Sah
  • 日期： 2026-08-03
  • 链接： 论文
  • 核心内容： BAP-SQL 把 observation formation 视为独立的预算控制阶段：策略估计查询风险、必要时改写 SQL，而硬限制交给独立 runtime shield，避免宽查询先耗尽 context 与数据库工作后再做无效压缩。主 BIRD 衍生设置中，它相对 matched SFT 提升 3.4/3.6 个百分点并减少 4.5/5.0% token；收益随模型能力和预算增加而减弱，在最宽松预算下反转，且没有减少数据库工作。
  • 与你的方向关系： 这是 cost-aware harness optimization 的干净实例，把“模型可见的规划策略”与“不可绕过的运行时预算门”分离，适合作为成功优先、成本次级的 controller 对照。它也提醒只优化 token 并不等价于降低外部工具成本，应分别核算 context、API、数据库与延迟预算。
  • 建议： 浏览。重点看 runtime shield 与 learned planner 的责任边界，以及宽松预算下负收益是否说明优化器需要按任务与预算动态停用策略。

今日优先阅读

优先阅读 Your Agentic LLMs Secretly Encode Latent Signals of Indirect Prompt-Injection Exposure、Formal Verification of Agentic Systems over Operational Data 和 ToolLIFT。前两篇能直接影响你从 program semantics 扩展 CaMeL 的研究设计：一篇提供动态 IPI 风险信号，另一篇提供系统级语义与可验证 wrapper；ToolLIFT 则会影响 Natural Growth 在 function-level abstraction 与开放代码搜索之间的 novelty positioning。