2026-08-13 热点论文推送

本期检索范围： 2026-08-12—2026-08-13

本期共筛选出 9 项。最明显的趋势是：Harness optimization 正从开放式自改代码扩展到 verifier-grounded、结构选择和生产级闭环优化；Agent Security 则进一步落到 MCP 身份委托、LLM 到传统 Web sink 的信任边界，以及多智能体中的指令传播。本期均为新论文，没有达到“实质方法或实验变化”标准的论文版本更新或项目重大更新；未发现值得脱离论文单独收录的新代码项目。

1. SBCO: Self-Supervised, Verifier-Grounded Harness Optimization For Planning Agents

• 类型 / 来源： 新论文｜arXiv
• 作者 / 维护者： Vivek Kulkarni、Sudipta Paul、Aounon Kumar、Nicholas Tzou、Srinivas Chappidi
• 日期： 2026-08-10
• 链接： 论文
• 核心内容： SBCO 将 Harness 自优化改写为 verifier bank 与 harness policy 之间的近似 block coordinate ascent：固定 meta-agent，利用系统自身的分级反馈学习验证器和策略，不需要人工标签，也不依赖 Agent 递归修改自身代码。作者报告其在两个规划域中达到或超过定制的 self-modifying baseline，同时只使用后者约 1/4–1/5.5 的计算预算。
• 与你的方向关系： 这是 Harness Optimization 的直接工作，提供了开放式 self-modification 之外、更便宜且更易审计的 verifier-grounded 路线；尤其适合作为 executable harness learning 与有限预算自进化的强基线。
• 建议： 精读。重点比较 verifier decomposition、策略更新的相互依赖，以及较低计算量是否牺牲跨任务泛化或可执行控制器的表达能力。

2. MESA: Task-Adaptive Multi-Structure Evidence Selection for Long-Horizon Agent Memory

• 类型 / 来源： 新论文｜arXiv
• 作者 / 维护者： Beidi Zhao、Yaoqi Chen、Yuru Feng、Menghao Li、Qianxi Zhang等
• 日期： 2026-08-10
• 链接： 论文
• 核心内容： MESA 为长轨迹构建五种互补记忆结构，并依据查询动态选择、融合其中的子集，而不是固定读取全部结构或只路由到单一结构。它以答案级反馈为弱监督，通过 prior-guided search 与 UCB 调度进行 harness optimization；在 AMA-Bench 上较最强基线提高 8.5%，同时比全结构方案少用 41% evidence tokens。
• 与你的方向关系： 该工作把 Harness Optimization 具体化为“结构级证据选择”，直接关联 Agent memory、cost-aware controller optimization 与长程轨迹压缩，也可作为 code-as-memory 路线的结构化记忆对照。
• 建议： 精读。最值得检查的是五种结构的互补性、UCB 的信用分配方式，以及选择器在任务分布变化时是否仍能避免证据遗漏。

3. From Prompt Injection to Web Exploitation: Revisiting Classic Vulnerabilities in LLM-Integrated Applications

• 类型 / 来源： 新论文｜arXiv
• 作者 / 维护者： Spiros Tsigkopoulos、Christoforos Ntantogian
• 日期： 2026-08-10
• 链接： 论文
• 核心内容： 论文提出 LLM-mediated web attacks，将 LLM2SQLi、LLM2XSS、LLM2SSTI、LLM2CommandInjection、LLM2SSRF 等统一描述为攻击输入经模型变换后进入传统 Web sink 的路径。作者用 Flask 应用 TicketOracle 在五种 LLM2SSRF 场景和七个模型上做案例研究，强调根因通常是应用架构信任模型生成内容，而非模型单独创造了底层漏洞。
• 与你的方向关系： 这把 Prompt Injection 与 tool-use security 的威胁边界延伸到数据库、HTTP、文件和模板等真实执行组件；“LLM 作为 mediation layer / confused deputy”也直接支持 capability separation 与 sink-level validation。
• 建议： 精读。建议围绕 source–transformation–sink 数据流重画威胁模型，并重点评估网络层 allowlist、参数化接口和最小权限是否比 prompt-only 防护更稳定。

4. A Gateway Architecture for Enterprise MCP Authentication: Unifying Heterogeneous Auth, Identity Delegation, and the User / Non-User Persona Problem

• 类型 / 来源： 新论文｜arXiv
• 作者 / 维护者： Suraj Kumar、Amy Wang、Srinivasan Manoharan
• 日期： 2026-08-11
• 链接： 论文
• 核心内容： 论文报告一个已投入生产的集中式 MCP gateway，用统一聚合层治理数十个内部 MCP server。其认证模型交叉区分交互用户/自动化非用户与多类凭据，支持三种企业 SSO grant、BYOT/GYOT、基于 RFC 8693 的委托 OAuth，以及三条端到端身份流。
• 与你的方向关系： 这是 capability / permission control 与 tool-use security 的直接工程案例，处理了 Agent 到工具链中的主体身份、token 委托、审计和离职回收问题；也给 MCP server 的最小权限设计提供了可落地边界。
• 建议： 精读。重点看 persona 与 credential 两轴是否覆盖 autonomous sub-agent、token exchange 的 audience/scope 收缩，以及 gateway 集中化后的故障与信任风险。

5. Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems

• 类型 / 来源： 新论文｜arXiv
• 作者 / 维护者： Vassilis Papadopoulos、McNair Shah、Sam Zimmerman、Jack Lindsey
• 日期： 2026-08-10
• 链接： 论文
• 核心内容： 作者用简单进化算法构造会诱导宿主 Agent 继续传播的“mind viruses”，并在协作编码团队与会话间清空上下文的 Agent 链中测试传播。传播率受宿主模型、既有指令、载荷危害性和网络拓扑影响；有害载荷总体较难传播，但并非无效，而简短警告在其实验中接近完全阻断。
• 与你的方向关系： 该工作将 indirect prompt injection 从外部文档扩展到 agent-to-agent message propagation，直接关联 multi-agent security、持久化指令与信任传播；其传播视角也提醒系统不能只评估单节点攻击成功率。
• 建议： 精读。应重点复核病毒适应度函数、跨模型迁移和网络拓扑消融，并把“系统提示警告近乎免疫”视为当前实验条件下的结果，而非通用防御结论。

6. GitSkills: A Dataset of Agent Skills on GitHub

• 类型 / 来源： 新论文｜arXiv / MSR 2027（待发表）
• 作者 / 维护者： Giuseppe Destefanis、Daniel Graziotin、Matteo Vaccargiu、Marco Ortu
• 日期： 2026-08-11
• 链接： 论文
• 核心内容： GitSkills 汇集 2026 年 7 月从 282,200 个公开仓库发现的 3,797,117 个 SKILL.md 文件，并按内容哈希归并为 1,877,981 个不同内容。单一 SQLite 数据文件保留仓库、路径、全文、front matter、目录内容、仓库元数据及部分文件历史，面向 Agent skill 的采用、复用、维护与安全研究。
• 与你的方向关系： 它为 persistent instruction / skill-file security 提供了罕见的大规模实证语料，可用于恶意技能检测、复制传播、权限声明缺失和供应链污染分析；也能检验现有 skill benchmark 是否代表真实 GitHub 分布。
• 建议： 收藏。优先获取数据后评估去重策略、许可证与敏感信息处理，再用它构建真实分布的安全审计基准；论文目前是 3 页数据说明，不必按方法论文深读。

7. Self-evolving Agentic Customer Support System at LinkedIn

• 类型 / 来源： 新论文｜arXiv
• 作者 / 维护者： Chih Hui Wang、Mengdie Tu、Qianyun Zhang、Wei Wu、Lili Zhou、Mingqi Shen、Changshuai Wei
• 日期： 2026-08-10
• 链接： 论文
• 核心内容： LinkedIn 将 RAG、evolutionary auto-prompting 与模块化生产评测组合成有版本和 guardrail 的持续优化闭环，无需重训基础模型。两周用户随机 A/B 实验中，集成流程使 QA self-serve、cancellation self-serve 和 routing accuracy 分别提高 9.0、4.8 和 30.6 个百分点。
• 与你的方向关系： 这是 Harness Optimization 的生产级证据，展示 prompt、retrieval 与 evaluator 如何共同成为可演化控制面；它也为离线优化增益能否转化为线上业务指标提供了难得参照。
• 建议： 精读。重点核查进化搜索空间、版本回滚与 guardrail 机制，以及 A/B 指标提升中 retrieval、prompt 和 evaluator 各自的因果贡献。

8. Interpreting Language Model Hidden States at Scale

• 类型 / 来源： 新论文｜arXiv
• 作者 / 维护者： Jordan Pettyjohn、Mansi Sakarvadia、Nathaniel Hudson、Daniel McKenzie、Kyle Chard、Ian Foster
• 日期： 2026-08-10
• 链接： 论文
• 核心内容： OmniLens 用低秩 translator 与 Subset-KL 将 trained lens 扩展到不同宽度、不同组件的隐藏状态；作者报告前者最多减少 98.4% 可训练参数，Top-k Subset-KL 最多降低 70% 峰值训练内存。由此可在 Llama-3.3-70B 上训练 482 个 lens，并在 prompt injection detection、multi-hop memory injection 和 toxicity localization 三个案例中复现既有结果。
• 与你的方向关系： 它为 Prompt Injection 与 memory injection 防御提供模型内部诊断工具，可帮助区分“行为最可见的组件”和“干预最有效的组件”，补充仅在输入/输出层部署 classifier 的方案。
• 建议： 浏览。重点关注安全案例的检测协议与 intervention 有效性；若要用于运行时防御，还需核算 lens 推理开销和跨模型、跨攻击迁移。

9. On Understanding, Identifying, and Mitigating Vulnerabilities in Agentic Large Language Models

• 类型 / 来源： 新论文｜arXiv
• 作者 / 维护者： Md Jafrin Hossain、Mohammad Arif Hossain、Nirwan Ansari
• 日期： 2026-08-11
• 链接： 论文
• 核心内容： 这项 PRISMA 2020 系统综述从六个数据库筛查 743 条记录并保留 85 篇 2023–2025 年论文，按 perception、brain、action、interaction 四层整理 13 类漏洞。其统计显示攻击研究与防御研究之比为 3.9:1，感知层占 66%，而 action-layer、code execution 和 tool-augmented agent 的研究占比分别仅 4.7%、3.5% 和 12%。
• 与你的方向关系： 综述为 Agent Security 选题提供宏观缺口证据：prompt injection 已高度拥挤，而工具误用、代码执行、隔离和 containment 与真实权限风险不成比例；可用于校准研究定位和 related-work taxonomy。
• 建议： 浏览。优先看纳入标准、分类边界和七个开放问题，再核查关键比例是否受检索式、年份窗口和论文去重方式影响。

今日优先阅读

优先阅读 SBCO、MESA 与 From Prompt Injection to Web Exploitation。前两项分别代表 verifier-grounded Harness 自优化和查询自适应的结构级记忆控制，直接影响 Harness Optimization 的基线与 novelty positioning；第三项则把 prompt injection 与传统 Web sink、confused deputy 和最小权限架构连成完整攻击链，会影响 Agent 工具接口的安全边界设计。