本期检索范围： 2026-08-11—2026-08-12

本期共筛选出 10 项。最明显的趋势是安全机制正在从固定 guardrail 转向可演化、可归因的 harness artifact，同时评测也从最终回复扩展到执行轨迹、权限行为和环境元数据。没有论文版本更新或项目重大更新；发现 3 个随论文发布、包含实质代码与评测资源的新仓库，没有值得单独收录的新项目。本批条目的论文原始提交日期为 2026-08-07 至 2026-08-10，并于本期进入最新公开列表。

1. SHE: Trajectory-driven Safety Harness Evolution for LLM Agents

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Wanying Qu、Qinghua Mao、Yu Li、Jiyao Liu、Xin Zhang 等；RainbowQTT
  • 日期： 2026-08-10
  • 链接： 论文 · 代码
  • 核心内容： SHE 将安全 harness 拆为 System Prompt、Rule Bank、Safety Memory 和 Tool Policy 四类职责明确的 artifact，再把 rollout failure 转成结构化诊断并归因到最小责任组件，通过 safety–utility validation 选择更新。作者报告其在 Agent-SafetyBench 上相对静态 SafeHarness 将攻击成功率降低 3.1 倍，同时提升良性任务效用；仓库提供演化、评测、数据划分和 smoke tests。
  • 与你的方向关系： 直接交叉 Agent Security 与 Harness Optimization：安全边界不再是冻结的单一提示，而是由轨迹驱动、局部修改且经验证门筛选的持久控制结构。
  • 建议： 精读并复现实验。重点比较其四类 artifact 分工与通用函数级 harness edit 的表达能力，并核对安全—效用 gate 对未见攻击和跨模型迁移的稳定性。

2. ActBench: Self-Evolving Benchmark of Behavioral Safety in Cowork Agents

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Hongwei Yao、Yiming Liu、Meihui Chen、Jieling Chen、Zikun Chen、Yiling He、Wangze Ni、Cong Wang、Kui Ren；ZJUICSR
  • 日期： 2026-08-10
  • 链接： 论文 · 代码
  • 核心内容： ActBench 用执行轨迹而非最终回复评估 cowork agent 的行为安全，包含 600 个配对案例、213 个场景、15 类风险、六种执行空间和 48 个 Web API，并以 reward-guided beam search 持续优化攻击载荷。论文评估 15 个 LLM、六个开源 Agent、共 24,000 条轨迹；官方仓库公开 300 个可运行任务、mock services、runner、backend adapters 与评分代码。
  • 与你的方向关系： 直接覆盖 prompt injection、data exfiltration、memory poisoning、permission chaining 和 unauthorized tool/API use，且可以用于比较相同模型在不同 harness 下的安全差异。
  • 建议： 精读并收藏基准。优先检查配对任务是否真正保持良性任务等价、dual-evidence scoring 的误差，以及公开任务与论文完整 600 案例之间的覆盖差异。

3. Hierarchical Self-Improvement: A Framework for Task-Specific Evolvable Agent Harnesses

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Tailin Zhou
  • 日期： 2026-08-09
  • 链接： 论文 · 代码
  • 核心内容： HSI 让同一个冻结 LLM 分别充当任务 harness、重写 harness 的 evolver，以及重写 evolver strategy code 的 meta-evolver，并用冻结 outer anchor 限制自修改边界。使用 DeepSeek-V4-Flash-Preview 在 BALROG 上，论文报告 BabyAI、Crafter、TextWorld 和 MiniHack 分别较初始 harness 提升 39.3、33.0、25.0 和 15.0 个 Progress 百分点，同时明确展示 NLE 上受 backbone capability bound 限制而无法改善。
  • 与你的方向关系： 与 executable harness learning、code-as-memory 和自然增长式 scaffold optimization 高度重合；其“harness—evolver—meta-evolver”分层会直接影响相关工作的 novelty positioning。
  • 建议： 精读并运行代码。重点比较固定 task-injection seam、两类持久记忆和 meta-evolution 是否扩大有效搜索空间，以及 held-out 选择是否足以排除 benchmark-specific patch。

4. SkillsMetric: Mapping the Detection Boundary of Static Analysis for Malicious Agent Skills

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Xinze Chen、Chi Zhang、Ping Ji、Yimin Liu
  • 日期： 2026-08-09
  • 链接： 论文
  • 核心内容： SkillsMetric 从 pattern density、statistical anomaly、dataflow taint、import anomaly 和 capability mismatch 五个维度静态分析 Agent skill package，并构建覆盖 16 类攻击的 2,266 个对抗 skill，在 SkillMD-138K 上评估。方法取得 0.93 AUC 和 73.4%±0.5% 的五折 F1，但对常见 shell 命令实施的 host destruction 检出率为 0%，对自然语言 prompt injection 仅为 42%。
  • 与你的方向关系： 直接针对持久化 SKILL.md/脚本供应链，量化了静态扫描的有效边界，并为“静态预筛 + 语义审查 + 运行时 capability control”的分层防御提供依据。
  • 建议： 精读。最值得关注的是 16 类攻击的构造方式、capability mismatch 的判定依据，以及与 SkillGate 一类运行时检测的互补关系。

5. Not an A11y: How Android Accessibility Exposes Mobile AI Agents to Indirect Prompt Injection

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Rahul Deivasigamani、Sayeda Faatin Alvi、Derqui Andrea、Kaushal Punjabi、Stjepan Picek
  • 日期： 2026-08-09
  • 链接： 论文
  • 核心内容： 论文指出 MobileRun 与 Mobile-Use 对 Android accessibility tree 和截图的依赖会把未经净化的界面元数据变成指令通道，攻击可导致 goal hijacking、context drift 和未授权设备操作。在汇总实验中，MobileRun 搭配 Gemma4:31B 的攻击成功率为 0.822，Mobile-Use 搭配 Qwen3.6:35B 降至 0.150，但仍未消除上下文漂移和未授权动作。
  • 与你的方向关系： 这是典型的跨模态 indirect prompt injection，说明视觉隐藏不等于语义隔离，harness 必须区分 A11y 数据、用户指令与可执行权限。
  • 建议： 精读。重点查看攻击在 accessibility metadata 与截图通道之间的差异，以及 zero-trust input validation 能否在不破坏无障碍功能的情况下落地。

6. BASIS: Breach-Aware Selective Prompt Injection Shielding with Prefill Attention Probes

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Laiqiao Qin、Tianqing Zhu、Longxiang Gao、Wanlei Zhou
  • 日期： 2026-08-08
  • 链接： 论文
  • 核心内容： BASIS 不把“存在注入”直接等同于“必须拒绝”，而用 Attention Competition Ratio 训练 existence probe 与 breach probe，级联判断注入是否实际突破当前模型和指令。该在线防御不增加额外 LLM 推理；作者在四个任务、六个开源模型上报告近乎完美的注入检测，并显著减少模型本可抵抗攻击时的过度拒绝。
  • 与你的方向关系： 与 Prompt Injection defense 的 utility–security trade-off 直接相关，也提示 harness 可把“污染存在”和“能力边界已被突破”设为不同的控制信号。
  • 建议： 精读。重点验证 attention probe 的跨模型迁移、面对自适应攻击的稳健性，以及闭源 API 无内部激活时的可部署性。

7. Whose Refusal Is It? The Unmeasured Contribution of Black-Box Multimodal Guardrails

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Haoyu Zhang、Xiao Luo、Haowen Xu、Yi Feng、Shibo Zheng、Mohammad Zandsalimy、Shanu Sushmita
  • 日期： 2026-08-09
  • 链接： 论文
  • 核心内容： 论文指出黑盒 guardrail 的安全得分混合了 guardrail 阻断与目标模型自身拒绝，却通常没有分开计量；真实贡献会随 payload channel 以及 harness 传给防御器的内部文本而变化。实验中，文本 guard 面对像素承载的 payload 完全不阻断，而若直接获得未编码攻击请求则会被显著高估；作者给出无需新增推理成本的拒绝归因方法。
  • 与你的方向关系： 直接影响 jailbreak/prompt-injection defense 的评测可信度，也说明 harness 的输入转换和通道选择本身是安全实验中的隐藏变量。
  • 建议： 精读。建议把“guardrail block、model refusal、provider-side block”拆分为独立指标，并复查现有实验是否向防御器泄露了 benchmark 才知道的原始攻击文本。

8. Capability-Routed Guard: Defending Large Reasoning Models Against Reasoning-Centric Jailbreaks

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yiyong Liu、Yixin Wu、Jun Sakuma
  • 日期： 2026-08-08
  • 链接： 论文
  • 核心内容： CRG 将 reasoning-centric jailbreak 防御改写为 capability routing：旁路 controller 从授权任务、活动上下文、安全证据和 capability-transfer risk 构建可信表示，再对高风险请求阻断、模糊请求限权、低风险请求放行。随后 TraceCheck 检查执行与授权任务的一致性，并用受限 fallback 尽量保留良性效用。
  • 与你的方向关系： 与 capability/permission control、trusted active context 和 tool-use security 高度相关；相比只做内容分类，它把安全判断落实到可执行能力的路由与降级。
  • 建议： 浏览后定向精读。重点核查 controller 的可信输入从何而来、capability-transfer risk 如何标注，以及 TraceCheck 是否能抵抗同源语义操纵。

9. Governing the KV Cache: Preventing Timing Side-Channel Leakage in Multi-Tenant LLM Inference

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Tejasvi C. Addagada
  • 日期： 2026-08-10
  • 链接： 论文
  • 核心内容： KVGov 用基于 principal identity 的 HMAC salt 将不同租户的 prefix-cache key 加密隔离，以阻断 PROMPTPEEK、EarlyBird 和 InputSnatch 三类时间侧信道。作者在 A100/vLLM 与 Apple Metal/llama.cpp 上复现缓存时延通道；防御效果主要通过校准模拟评估，并估计在提示分叉边界注入 salt 可保留 93% 的 prefix-cache 收益。
  • 与你的方向关系： 属于 LLM Privacy 与多租户 agent infrastructure 的底层问题：即使上层 memory 和权限隔离正确，共享 KV cache 仍可能泄露私有 prompt。
  • 建议： 浏览 / 收藏。该工作有明确工程原语，但防御主体仍以模拟为主；应重点验证真实 serving stack 中的隔离收益、缓存命中损失和 principal 生命周期管理。

10. The Anatomy of a Prompt Injection: A Component Model for Structured Analysis

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Jeremy McHugh
  • 日期： 2026-08-07
  • 链接： 论文
  • 核心内容： 论文把 prompt injection 从不可复用的原始字符串拆为 carrier、delivery vector、concealment、context-break、privilege escalation、payload 和 return channel 七个组件，并给出映射到 cyber threat intelligence schema 的标注规则。其核心主张是按工具目标、数据 sink 与行为效果表达攻击意图，而不是依赖表面措辞匹配。
  • 与你的方向关系： 该结构适合用于生成可控变体、构造组合攻击 benchmark，并把 indirect prompt injection 与传统 kill-chain、权限提升和回传通道统一描述。
  • 建议： 收藏 / 浏览。它主要是分析模型而非新防御算法，价值在于统一实验变量；可尝试将七组件映射到现有 IPI instance 与 harness policy 检查点。

今日优先阅读

优先阅读 SHE、ActBench 和 Hierarchical Self-Improvement。SHE 与 HSI 会直接影响当前 harness optimization 工作的 novelty positioning：前者把安全职责拆成可局部演化的 artifact，后者进一步让 evolver strategy 本身可修改；ActBench 则提供了检验这些 harness 是否真正降低权限违规、记忆投毒和数据泄露的轨迹级基准。