本期检索范围： 2026-08-06—2026-08-07

本期共筛选出 9 项。最明显的趋势是 Harness Optimization 与 Agent Security 正在汇合：一方面，系统通过持久状态、角色化控制和验证门实现运行时自演化；另一方面，攻击也开始沿搜索轨迹、技能接口和工具选择链路积累影响。本期均为新论文，没有符合标准的论文版本更新或项目重大更新；关联代码尚未形成可单独收录的高质量 GitHub 项目，IACR ePrint 亦未发现需优先推送的新增工作。

1. Argus: A General-Purpose Agentic Runtime for Long-Horizon Reasoning

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Boxiu Li、Zimo Wen、Yijia Fan、Junxiang Lei、Sufeng Guo 等
  • 日期： 2026-08-05
  • 链接： 论文
  • 核心内容： Argus 将长程任务拆成由 Manager、Planner、Engineer 和 Reviewer 执行的有界 mission，并在持久项目状态中保存记忆、技能、程序、验证器、路由决策与被否决路线；这些内容只有经过角色所有者审查和任务原生验证后才被接纳。论文报告在 731 个 SWE-Bench Pro 任务上约 78% 的解决率，对照 Direct Copilot 约 59%，但总 token 为其 1.41 倍；成熟阶段相较启动阶段每题 solve-input token 减少 21%，主动工作流时间减少 15%。
  • 与你的方向关系： 这是 Harness Optimization、executable harness learning 和 self-evolving agents 的直接核心工作。它把“增长”限定为固定模型之上的持久运行时状态与控制策略，并以 review/admission gate 管理经验进入长期记忆，适合作为开放式 harness code growth 的强对照。
  • 建议： 精读。重点比较其 mission boundary、持久状态 admission、回滚与 escalation 机制，并核查跨七类任务的评测是否足以支撑通用 runtime 的定位。

2. Breadcrumbing Search Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Xuebin Li、Hanqing Zhao、Siyuan Liang、Kejiang Chen、Weiming Zhang、Dacheng Tao、Nenghai Yu
  • 日期： 2026-08-05
  • 链接： 论文
  • 核心内容： 论文把搜索 Agent 的间接提示注入从“单个恶意页面”扩展为跨查询、跨页面协调的长程证据操纵：受控搜索中介每次只追加一个结果，也能持续影响后续查询与最终结论。Authority-Chain Hijack 在完整 SafeSearch 测试集达到 55.9% ASR、83.3% MaxN ASR；Trace-Guided Strategy Evolution 从执行轨迹自动改进攻击策略，在 held-out 设置中最高达到 71.4% / 95.0%。
  • 与你的方向关系： 该工作直接覆盖 indirect prompt injection、tool-use security 与 search-agent security，说明逐页面过滤无法处理跨轨迹形成的“伪造佐证链”。它对语义 provenance 和信息流控制提出更高要求：安全标签必须随证据链传播，并在多源交叉验证时防止同一攻击者伪装成独立来源。
  • 建议： 精读。重点检查搜索中介的控制能力、ACH 的 authority-chain 构造方式，以及 defense 是否能识别跨查询的共同来源与语义协同。

3. AgentAntibody: An Adaptive Immune System for Defending LLM Agents against Prompt Injection

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Shihao Weng、Yang Feng、Xiaofei Xie、Jiongchi Yu
  • 日期： 2026-08-04
  • 链接： 论文
  • 核心内容： AgentAntibody 将用户逐步显露的安全边界表示为持久化 antibody library，使 Agent 能从既往注入事件中学习哪些任务完成方式虽满足字面目标、却违背用户真实预期。作者在三个 benchmark 和四个 backbone LLM 上报告其能比现有防御更好地阻止有害动作，同时保留合法任务完成能力。
  • 与你的方向关系： 它同时连接 Prompt Injection、persistent memory 和 self-evolving defense，把安全策略从静态 system prompt 推进到跨会话经验积累。关键风险也非常贴近你的关注点：antibody 本身会成为高权限持久指令，因此需要 provenance、污染隔离、冲突处理和可撤销更新。
  • 建议： 精读。重点验证 antibody 的生成、匹配和更新规则，以及攻击者能否通过伪造反馈或对抗性经历毒化防御边界。

4. SafeCommit: Certifying When Memory-Grounded Agents May Safely Act

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Mayur Akewar、Ravi Ranjan
  • 日期： 2026-08-04
  • 链接： 论文
  • 核心内容： SafeCommit 在 Agent 推理与外部副作用之间加入风险控制层，从记忆、观察、工具输出、provenance 和 policy constraint 构造一组校准后的可能世界；只有当 conformal action certificate 证明动作在所有保留世界中都安全时才允许提交。无法认证时，系统选择低副作用探针以消除阻塞世界，或返回保守 fallback；在校准覆盖假设下，不安全认证提交的概率由目标水平 α 上界。
  • 与你的方向关系： 该工作直接对应 memory uncertainty、capability/permission control 和 irreversible action gate，把“是否已有足够证据执行”变成 harness 级可认证决策。它可与语义 taint 或 capability system 组合：前者生成候选风险世界，后者执行不可绕过的提交约束。
  • 建议： 精读。重点看 world proposal 的覆盖假设、表示误差项和 probe 成本；如果候选世界遗漏了被污染记忆所隐含的攻击意图，理论保证会如何退化尤其关键。

5. Behavioral Skill Reconstruction: Reconstructing Hidden Functionality from LLM Agent Skills

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Peichun Hua、Haoxuan Xu、Mengyuan Li
  • 日期： 2026-08-04
  • 链接： 论文
  • 核心内容： 论文提出 Behavioral Skill Reconstruction：攻击者不读取隐藏 skill 文件，而是通过合法任务请求和可观察响应恢复其功能。SkillClone 从公开说明形成接口假设，执行结构化良性探测，合成可执行副本，再用与目标 skill 的差分验证迭代修复；在涵盖规则、表格、流程和算法的 30 个技能上，若干目标可在 held-out 输入上被完整或部分复现。
  • 与你的方向关系： 这是 persistent skill-file security 与 semantic privacy 的新威胁模型：文件机密性和防 prompt leakage 并不能阻止功能语义从普通使用中被累积提取。对 code-as-memory 或可执行 harness 服务同样适用，系统需要限制查询预算、输出可辨识度和跨会话信息聚合，而不仅是隐藏源文件。
  • 建议： 精读。重点看不同 skill 类型的可克隆性、查询复杂度和差分修复收益，并思考 capability API 如何在保持效用的同时降低功能指纹泄露。

6. Diagnosing Tool-Selection Reasoning in LLM Agents with Canary Tools

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Atul Anand、Sourav Chattaraj
  • 日期： 2026-08-05
  • 链接： 论文
  • 核心内容： 论文在 MCP 工具集中植入专门诊断单一弱点的 canary tools，把“选错工具”细分为 semantic decoy、parameter trap、capability mirage、prerequisite blindness、temporal decoy 和 granularity trap 六类。作者对八个模型完成 8,640 次主实验和 2,880 次 subtlety ablation，发现模型间每任务 canary susceptibility rate 相差约 36 倍，且易感性与任务失败呈负相关（Spearman ρ=-0.34）。
  • 与你的方向关系： 该工作对 tool-use security、MCP capability selection 和 harness evaluation 很有工程价值，可用于判断 Agent 是被工具描述诱导、忽略前置条件，还是误判权限与粒度。Canary 也可扩展为安全回归测试，检测新增工具或 skill 是否改变 controller 的选择边界。
  • 建议： 浏览。建议收藏其 taxonomy 和评测设计；若用于安全结论，应进一步验证 canary 是否覆盖恶意工具描述、跨工具组合和带副作用的真实权限冲突。

7. Trident: How to Break Deep Reinforcement Learning Cyber Defenses (Agentic)

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Ryozo Masukawa、Ian Bryant、Armita Kazeminajafabadi、Sanggeon Yun、Hyunwoo Oh 等
  • 日期： 2026-08-05
  • 链接： 论文
  • 核心内容： Trident 为自主网络防御构建动态红队框架，包括覆盖 CybORG CAGE 4 与 CyberWheel 的隔离 sandbox、超过 13,000 条红蓝交互轨迹，以及 Log Summarizer–Planner–Coder 组成的 Code-as-Policy RLVR 架构。一个可训练的 7B Planner 从压缩日志生成完整攻击策略，冻结 Coder 将其翻译为可执行 Python policy；论文报告其使蓝队表现相对静态红队基线平均下降 522%。
  • 与你的方向关系： 该工作同时属于 agentic AI security、multi-agent security 和 executable harness learning，展示了攻击策略如何从轨迹压缩、计划生成到可执行代码形成闭环。其动态红队比固定 attack script 更适合检验防御 controller 是否会被自适应策略绕过。
  • 建议： 精读。重点检查 522% 指标的定义、sandbox realism、奖励解析器与自修复循环，并比较 Planner/Coder 解耦与通用 code-as-memory 的可审计性。

8. OneDayAgent: Towards a Long-Horizon Harness for Autonomous Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Jingsheng Zheng、Xinyuan Fang、Jintian Zhang、Zhengke Gui、Huajun Chen、Ningyu Zhang
  • 日期： 2026-08-04
  • 链接： 论文
  • 核心内容： OneDayAgent 将开放式请求转化为受管理的长程执行流程，通过有界子任务分解、上下文压力下的 execution memory，以及最终交付物验证与修复来联合处理 goal drift、state loss 和 context overflow。作者在 104 个 AgentIF-OneDay 任务上报告 GLM-5.2 后端总分 0.821，并在三个模型家族的五个后端上使用同一 harness 而无需调参。
  • 与你的方向关系： 这是 long-horizon harness、controller portability 和 memory-aware execution 的直接基线，尤其适合比较固定 scaffold 与可自增长 harness 在跨模型泛化上的差异。其公开仓库目前仍以“releasing soon”为主，未达到可作为实质代码项目单独收录的标准，因此本条仅链接论文。
  • 建议： 浏览。先看 AgentIF-OneDay 的任务定义、失败分解和后端一致性；待完整代码发布后再评估其 memory、verification 与 repair 是否可复现。

9. A Multimodal Automatic Redteaming Evaluation based on Atomic Jailbreak Strategy Decoupling and Combination

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Shiji Zhao、Yuxuan Zhou、Chen Xiong、Dongxian Wu、Yang Bai、Xun Chen
  • 日期： 2026-08-03
  • 链接： 论文
  • 核心内容： 论文把文本—图像 jailbreak 策略拆分为结构、语义和句法三个层级，并在六维策略空间上由跨模态 planner 选择和组合原子策略，再由统一 executor 生成攻击指令。其 Hierarchical Atomic Combination Attack 在五个主流 MLLM 上报告平均 95.48% 攻击成功率。
  • 与你的方向关系： 该工作直接属于 jailbreak attack and defense，也提供了“原子策略空间 + planner + executor”的可执行红队 harness。它说明多模态输入会扩大 prompt injection 的组合空间，防御评测不能只覆盖单一文本模板或人工构造攻击。
  • 建议： 浏览。重点参考其策略分解和自动组合框架，同时核查 ASR judge、攻击预算、目标模型版本及对自适应防御的评估是否充分。

今日优先阅读

优先阅读 Argus、Breadcrumbing Search Agents 和 SafeCommit。Argus 会直接影响自演化 harness 的 novelty positioning；Breadcrumbing 揭示跨搜索轨迹的间接注入如何形成伪造证据链；SafeCommit 则提供了把记忆不确定性转化为不可逆动作认证门的具体形式化路径。