本期检索范围： 2026-08-07—2026-08-08

本期筛选出 10 项，最明显的趋势是 Harness Optimization 开始形成专门评测与训练范式，同时自演化 Agent 的轨迹投毒、技能污染和写入前验证成为新的安全主线；多模态 Prompt Injection 也进一步进入机器人与智能家居等物理环境。本期均为新论文，其中 2 项同时发布了具备实质代码、文档或测试的官方仓库；未发现值得重复收录的论文版本更新、项目重大更新或独立新项目，IACR ePrint 亦无符合标准的新条目。

1. HarnessOpt-Bench: Evaluating LLMs at Harness Optimization

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Varun Ursekar、Apaar Shanker、Yash Maurya、Shehab Yasser、Vijay S. Kalmath、Veronica Chatrath、Yuan Xue
  • 日期： 2026-08-06
  • 链接： 论文
  • 核心内容： HarnessOpt-Bench 将 harness 优化定义为受固定目标评测预算约束的端到端任务：优化器根据种子 harness 与带分反馈反复修改系统，但不能访问 held-out test。作者通过可信执行环境计量资源、保存版本并隔离测试，在 5 个前沿优化模型、两类 coding harness、4 个任务和 111 次计分运行上发现，优化器模型差异通常大于 coding harness 差异，原生 harness 也并非稳定占优。
  • 与你的方向关系： 这是 Harness Optimization 的直接评测基础设施，尤其适合检验开放式 controller edit 在昂贵、随机反馈和有限预算下是否真正泛化，而非只适配可见样本。
  • 建议： 精读。重点比较其目标函数、预算计量、版本保留与 held-out 隔离是否足以形成你所需的 regression gate。

2. EvoHarness-RL: Learning Self-Evolving Runtime Harness for Long-Horizon LLM Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Xuying Ning、Dongqi Fu、Tianxin Wei、Hanqing Zeng、Yuanchen Bei、Bingxuan Li、Zihao Li、Qifan Wang、Xiang Shen、Yifan Wu、Jiayi Liu、Hong Li、Yinglong Xia、Xiangjun Fan、Hanghang Tong、Jingrui He
  • 日期： 2026-08-05
  • 链接： 论文
  • 核心内容： EvoHarness-RL 学习一个运行时 harness policy，以 Belief–Progress–Experience 状态组织长程轨迹，并决定何时读取、更新或压缩经验。方法先用 SFT 学习动作空间与状态构造，再以 cost-aware GRPO 优化决策；作者报告 Qwen3-8B 在 ALFWorld 上达到 96.9% 成功率，并观察到 harness annealing 与演化现象。
  • 与你的方向关系： 它把 Harness Optimization 从离线 prompt/scaffold 搜索推进到运行时策略学习，直接关联可执行记忆、成本控制和自演化 Agent。
  • 建议： 精读。重点核查状态表示、写入动作、成本奖励和长期稳定性，并与固定配置搜索及直接代码演化进行对照。

3. When Experience Becomes Instruction: Trajectory Poisoning in Self-Evolving Agent Skill Systems

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Jialuo Chen、Lingqi Jiang、Xinhao Deng、Xiaohu Du、Jianan Ma、Yunhao Feng、Yuqi Qing、Zhihao Yuan、Linkang Du、Jingyi Wang
  • 日期： 2026-08-06
  • 链接： 论文
  • 核心内容： 论文提出黑盒轨迹投毒攻击 PoisonedEvolution，使少量攻击者提供的成功记录在后续技能蒸馏中被提升为持久指令。在 SkillClaw 的六个 LLM evolver 上，10% 攻击者支持时 SkillClaw 嵌入目标行为 546/600 次（91.0% SER），Trace2Skill 为 369/600 次（61.5% SER）；受控实验中，30 条轨迹里的 3 条一致恶意记录即可造成明显污染。
  • 与你的方向关系： 该工作直接连接 Agent memory poisoning、持久化指令安全与 self-evolving harness，指出“经验成为代码或技能”时 evidence promotion 本身就是安全边界。
  • 建议： 精读。最值得验证的是攻击对轨迹排序、来源信誉、去重和跨轮蒸馏规则的敏感性。

4. When Self-Evolution Backfires: Pre-Commit Gating against Skill Contamination in LLM Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Linfang Shang、Ming Xu、Yiding Sun、Tianle Xia、Lingxiang Hu、Lan Xu、Ning Zheng
  • 日期： 2026-08-06
  • 链接： 论文
  • 核心内容： 作者将自演化中的错误积累描述为 capability contamination：缺陷技能一旦被提交，便会成为后续蒸馏来源并引发跨轮、难逆转的污染。提出的 VaG 在写入前联合结构有效性、行为无害性与语义一致性三个 critic，再以边际收益选择技能子集；在 Terminal-Bench 2 上达到 72% pass@1，同时将技能池缩小约 5 倍，并在四种 backbone 和第二个 benchmark 上验证迁移性。
  • 与你的方向关系： 这是 Harness Optimization 与 Agent Security 的交叉防线，把安全检查放在持久状态提交前，而不是等污染进入长期记忆或技能库后再修复。
  • 建议： 精读。可重点比较三类 critic 的独立贡献、误拒成本，以及是否能充当可执行 harness 修改的 pre-commit gate。

5. SkillHEX: Improving Agent Skills via Hypothesis-Driven Autonomous Exploration and Exploitation

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yuru Feng、Yaoqi Chen、Beidi Zhao、Qianxi Zhang、Xinjiang Wang、Jianan Lu、Zhirui Wang、Shusen Xu、Zengzhong Li、Qi Chen
  • 日期： 2026-08-06
  • 链接： 论文
  • 核心内容： SkillHEX 将失败分析转化为可证伪假设和可执行测试，再以 evidence-guided tree search 在探索新修复方向与利用已有证据之间分配预算。作者在 87 个 SkillsBench 任务、5 次迭代预算下，报告 GPT-5.3-Codex 与 Claude Opus 4.7 的平均通过率分别为 55.9% 和 57.9%。
  • 与你的方向关系： 它提供了一种从失败证据生成结构化搜索分支的 Harness Optimization 路线，与历史经验蒸馏、code-as-memory 和有限预算下的 scaffold 演化高度相关。
  • 建议： 精读。重点看假设如何落地为测试、树搜索是否避免过拟合，以及跨任务复用的技能是否设有回归验证。

6. Activity Frames: Deterministic Screen-Activity Compilation for Agent Memory and Replay

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Nossa Iyamu
  • 日期： 2026-08-06
  • 链接： 论文 · 代码
  • 核心内容： Activity Frames 以零模型、确定性编译方式把屏幕活动转化为带类型、边界和证据指针的 frames，用于 Agent 记忆查询与可重放例程。作者在单一专业用户 51 天、128,756 个 frames 上报告 68 毫秒内实现 86 倍压缩，问答准确率 98.4%，高于 LLM 摘要的 66%–80%；满足 guard 的重复流程可在命中时实现零模型 token 重放。
  • 与你的方向关系： 该工作将 code-as-memory 和 executable harness learning 落到可审计、可重放的结构化表示，同时通过证据指针和 guard 限制语义摘要带来的漂移风险。
  • 建议： 精读论文，浏览代码。仓库包含 Python 包、MCP 工具、CLI、测试与研究材料，适合验证 replay guard、隐私边界及跨用户泛化。

7. Robust Context-Aware Detection of Malicious Instructions in Text

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Buzhao Liu、Xinhang Ma、Yevgeniy Vorobeychik
  • 日期： 2026-08-05
  • 链接： 论文 · 代码
  • 核心内容： 该工作把恶意指令检测建模为依赖用户查询与上下文的句段级判断，而非对整段文本作静态分类，并结合特征空间对抗训练和 LLM 改写样本提升鲁棒性。实验强调检测效用与对抗鲁棒性之间存在权衡，最优阈值和训练方式随领域变化，不能依赖单一通用配置。
  • 与你的方向关系： 它直接面向 indirect prompt injection，适合作为工具输出、网页内容或文档进入 Agent 上下文之前的细粒度过滤层。
  • 建议： 精读并试跑。官方仓库虽提交历史较短，但已包含训练与评测源码、脚本、输出和预训练分类器；应重点复测自适应攻击与跨域误报。

8. Hijacking Robots with a Piece of Paper: A Systematic Study of Physical Prompt Injection in VLM-Controlled Robots

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： S. M. Bhagya P. Samarakoon、M. A. Viraj J. Muthugala、W. K. R. Sachinthana、Mohan Rajesh Elara
  • 日期： 2026-08-06
  • 链接： 论文
  • 核心内容： 论文系统评估纸面文字对 VLM 控制机器人的物理 Prompt Injection，覆盖 20 种攻击、3 种布局、3 类指令形式和 5,670 次试验。GPT-4o、Gemini 2.5 Flash 与 Qwen3-VL-32B 的攻击成功率分别为 27.0%、29.4% 和 5.0%，且成功入侵几乎总会被模型明确承认；提示防御、两阶段验证和视觉遮罩可显著降低攻击，但可能影响正常标签读取。
  • 与你的方向关系： 这是 indirect prompt injection 从网页与文件扩展到物理环境的直接证据，凸显 VLM Agent 在感知输入、指令权限和动作执行之间缺乏可信边界。
  • 建议： 精读。重点关注攻击成功的判定标准、防御对正常任务效用的影响，以及能否用 capability gate 替代纯输入清洗。

9. PromptShield Home: Ambient Multimodal Prompt Injection Defense for Smart-Home Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： He Zhang、Feilong Li、Dingning Long、Yilin Cui、Peijun Zhang、Yuewen Zhang、Qianyao Xu、Xinyi Fu
  • 日期： 2026-08-06
  • 链接： 论文
  • 核心内容： PromptShield Home 构建智能家居多模态注入试验，覆盖说话对象歧义、屏幕与音频注入、误触发及多人共处，并比较轻量检测器、MLLM 与多 Agent 防御层。作者强调仅“全部阻断”即可取得 82% 表面分数，因此分别衡量危险执行与安全任务完成；各层正确样本明显互补，oracle router 达 94.1%，高于最佳单层的 76.5%，但尚未实现实际路由器。
  • 与你的方向关系： 该工作把 Prompt Injection 防御与 smart-home Agent 的权限控制、用户归属和多模态工具执行联系起来，也揭示只看攻击阻断率会掩盖可用性退化。
  • 建议： 浏览。值得收藏其评测拆分和互补错误分析，但在实际 router、延迟与设备权限机制补齐前，不宜把 oracle 结果视为可部署防御。

10. Post-Hoc Trajectory-Risk Certification for Modular LLM-Based Security Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Zhenpeng Li
  • 日期： 2026-08-04
  • 链接： 论文
  • 核心内容： 论文研究模块化安全 Agent 的轨迹级风险认证，指出各阶段独立的 split-conformal 保证不能自动组合，并比较 Bonferroni、生成树组合与直接轨迹审计。两阶段入侵检测管线覆盖 6 个开源 LLM 和 2 个数据集；样本充分时直接审计比 Bonferroni 平均紧 13.7%，在 α=0.10 时平均轨迹覆盖率为 92.7±2.4%，而跨数据集单步 miscoverage 甚至可达 100%。
  • 与你的方向关系： 它为 multi-agent / modular-agent security 提供了输出之后的统计风险界限，并提醒局部模块准确率不能替代端到端轨迹安全保证。
  • 建议： 收藏 / 定向精读。重点核查交换性假设、审计样本需求，以及认证能否与运行时 action gate 和分布漂移检测结合。

今日优先阅读

优先阅读 HarnessOpt-Bench、EvoHarness-RL 与 When Experience Becomes Instruction。前两项直接影响 Harness Optimization 的评测基线、训练范式和论文定位；第三项则揭示自演化系统把经验提升为持久技能时最关键的攻击面，会实质改变数据来源、写入审批和回归测试的系统设计。