本期检索范围： 2026-08-18—2026-08-19

本期筛选出 10 项。最明显的趋势是 Agent Security 正从单次内容检测转向会话级授权、跨技能组合分析和可信执行证据，同时 skill 自演化已同时被用于红队攻击与持久化隐私侧信道。本期均为新论文，没有论文版本更新或项目重大更新；5 项论文附有实质代码或评测仓库，没有发现值得脱离论文单独收录的新项目，IACR ePrint 亦未发现达到中高相关标准的新增内容。

1. Bounded Agents: Delegation Security for Multi-Agent AI Systems

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Xabier Muruaga
  • 日期： 2026-08-16
  • 链接： 论文 · 代码
  • 核心内容： 论文提出 Agentic Principal Chain（APC），把委托权限、历史动作、范围与预算带入每次授权判定，并用六项检查在模型外执行 composition closure。对 3,154 个实例的评测中，APC 将 AgentDojo 四个域的外泄率从 75%–100% 降至 0%，阻断全部 544 个 InjecAgent 数据窃取案例；仓库包含实现、评测、215 项测试和论文数字复核脚本。
  • 与你的方向关系： 这是 capability / permission control 与 multi-agent security 的直接系统化方案，核心观点是 prompt injection 只有在权限允许危险动作时才形成实际风险，因此安全边界必须覆盖委托链和会话历史，而非只检查单次 tool call。
  • 建议： 精读。重点核查其 restriction set 完备性和 serialized admission 假设，并将 Blast Radius Monotonicity、Composition Soundness 与现有 action gate 做形式化对照。

2. CompoSkill: Compositional Skill Chain Attacks from Individually Scanner-Passing LLM Agent Skills

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Mingxiao Liu、Zhoumian Jiang、Jianan Ma、Jian Zhang、Jialuo Chen、Xinhao Deng、Zhen Wang
  • 日期： 2026-08-17
  • 链接： 论文
  • 核心内容： CompoSkill 证明逐个通过扫描的技能仍可在输出、能力和副作用连接后形成危险路径，并分别构造知道已安装技能池的白盒攻击与只知道角色画像的黑盒攻击。其 1,140 条记录 benchmark 覆盖 OpenClaw、Nanobot、五类威胁与六种场景，白盒和黑盒最高 Chain Formation Rate 分别为 83.3% 与 80.6%。
  • 与你的方向关系： 该工作直接挑战 persistent skill-file security 的“逐包认证”假设，把风险从节点属性提升为路径属性；这也说明 harness 的安装器和 planner 需要对组合后的 capability graph 进行审计。
  • 建议： 精读。优先分析 Skill Composition Graph、implicit lure 和三跳后的 hop decay，并与 SkillGate 等单技能检测器做端到端比较。

3. JailbreakSkill: Scaling Automated Red-Teaming with Reusable and Ever-Evolving Skills

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Xiaoyu Wen、Jiajia Li、Zhida He、Peng Yu、Chenxu Wang、Han Qi、Ziyuan Zhou、Cheng Jin、Ying Wen、Xingcheng Xu、Shuyue Hu、Tianhang Zheng、Chaochao Lu、Qiaosheng Zhang；BattleWen
  • 日期： 2026-08-17
  • 链接： 论文 · 代码
  • 核心内容： JailbreakSkill 将既有越狱策略封装为可复用技能，用共享 UCB memory 选择攻击，再从失败轨迹中诊断、细化、组合和发现新技能。演化使 AdvBench 与 HarmBench 的宏平均 ASR 分别增加 17.5 和 13.4 个百分点；仓库已有两阶段运行时、内置与演化技能、三个 benchmark 数据、配置和外部证据技能抽取工具。
  • 与你的方向关系： 它把 jailbreak attack 与 executable harness learning 合并为闭环，展示 skill library 如何从攻击反馈持续增长；同一机制也构成持久化红队资产的治理、审计和滥用风险。
  • 建议： 精读并受控试跑。重点比较 UCB 搜索和 meta-skill 演化与一般 harness optimization 的探索策略、迁移性及污染控制，只在获授权目标上运行。

4. Proof-of-Execution Memory: Defending LLM Agents Against Forged-Reasoning Attacks by Verifying What Actually Happened

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Md Habibur Rahman、Jaeho Kim；bithabib
  • 日期： 2026-08-17
  • 链接： 论文 · 代码
  • 核心内容： 论文展示 FARMA 可向 reasoning memory 写入“安全步骤已执行”的伪造记录，而简单改写即可令措辞检测型 SENTINEL 在全部测试模型上失效。PoEM 不审查记忆文本，而由可信 action layer 写入 HMAC 链式、可防篡改的执行账本；三模型三场景中攻击成功率降至 0%，代码仓库含复现实验、自动攻击器、LangChain 端口和分析脚本。
  • 与你的方向关系： 这是 agent memory poisoning 与 tool-use security 的关键架构分离：不可信语义记忆不能作为已执行副作用的证据，安全决策应依赖独立的 provenance ledger。
  • 建议： 精读。重点评估可信 action layer 的攻击面、账本与真实外部副作用的一致性，以及 PoEM 对未纳入 gate 的行为是否留下旁路。

5. SkillWatermark: An Embedded Skill Watermark of Progressive Privacy Inference via Benign Prompts

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yu Li、Liqi Zhuang、Dong Wei、Jiwen Luo、Hang Zhang、Meng Zhang、Xiaona Li、Weiqing Huang
  • 日期： 2026-08-17
  • 链接： 论文
  • 核心内容： SkillWatermark 在看似无害的 skill description 中嵌入约束，使 Agent 在多轮执行时产生可区分的网络流量模式，从而让被动网络观察者逐步解码用户提示中的私密信息。该方式不直接外传数据或执行显式恶意指令，实验中的变换技能仍能通过现有 LLM 安全审计工具。
  • 与你的方向关系： 它揭示 persistent skill-file security 与 semantic privacy 的新交叉面：技能可通过执行形态而非文本内容或工具参数建立 covert channel，传统 prompt injection 扫描难以覆盖。
  • 建议： 精读。重点检查流量观察者能力、编码容量与误码率，并考虑在 skill 审计中加入跨轮动态信息流、流量整形和最小可观测性测试。

6. What to Remember, What to Reveal: Privacy-Aware Memory for Conversational Agents

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Wenjie Wang、Wenhe Si、Xinyue Xu、Yue Xu；Jensassss
  • 日期： 2026-08-17
  • 链接： 论文 · 代码
  • 核心内容： SP-Mem 将可用于个性化的净化记忆与精确私密值分离存储，并依据任务需求和用户同意选择性恢复私密值，覆盖写入、存储、检索和使用的完整生命周期。论文同时提出联合衡量回复质量、隐私行为和推理成本的 benchmark；仓库含 memory/agent 实现、合成数据和规则式及 LLM judge 评测脚本。
  • 与你的方向关系： 该工作直接面向 agent memory privacy，把“是否记住”和“何时揭示”拆成可执行 controller policy；适合与单纯 PII 删除、语义摘要和 memory capability revocation 做对照。
  • 建议： 精读。重点验证 consent path、私密值 hydration 与 graph/vector retrieval 的隔离是否能抵抗 prompt injection、推断攻击和跨会话权限变化。

7. Governance at the Boundary: How Agent Decomposition Degrades Policy Compliance

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Bowen Li、Guojun Wang
  • 日期： 2026-08-17
  • 链接： 论文
  • 核心内容： Fiducia-bench 不只检查任务完成，还测量金融 Agent 是否按政策升级、拒绝并留下可审计轨迹。626 个 episode 显示，32B 模型在单循环中不丢失已发现的政策事实，但固定 pipeline 和 orchestrator–subagent 架构在约束距离为 2 时分别衰减 56% 与 85%；遗漏既会导致升级不足，也会导致过度升级。
  • 与你的方向关系： 它揭示 multi-agent decomposition 的安全成本来自 handoff 中的 policy-fact attenuation，直接关联 semantic information-flow control、controller 分解和跨 Agent 权限决策。
  • 建议： 精读。可将“约束事实的发现—传递—执行”拆成独立指标，并比较显式 taint、typed handoff 与共享状态是否能减少衰减。

8. A Policy Algebra for Trust-Preserving Agentic AI Execution

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Bhaskar Tripathi、Anurag Kumar、Ramendra Kumar、Bhavesh Gadhe
  • 日期： 2026-08-17
  • 链接： 论文
  • 核心内容： 论文把可靠能力定义为路径属性：身份、工具、数据、记忆、预算、产物、审批和审计约束在整个行动序列中都必须可接受。其 policy algebra 通过 join、intersection、预算收窄、审批继承与证据累积组合运行时义务；实验中干预 94.8% 的违规事件，同时保持 86.9% 的任务完成率，并将审计完整度提升至 98.6%。
  • 与你的方向关系： 这是 Harness Optimization 与 permission control 的形式化相邻工作，尤其适用于让可自修改 controller 在能力增长时仍保持单调收窄的权限和可恢复的预算边界。
  • 建议： 精读。重点审查 algebra 的 least-restrictive 性质、跨 Agent 调用传播和 cost-aware artifact materialization，并确认评测中的政策覆盖是否足以支持强结论。

9. Security Assessment of DeepSeek Harness with A.I.G: Evaluating Resistance to Indirect Prompt Injection

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Zonghao Ying、Xiangfan Wu、Huiyu Wu、Xing Zheng、Huangsheng Cheng、Xiaorong Shi、Jing Guo；Tencent Zhuque Lab
  • 日期： 2026-08-17
  • 链接： 论文 · 代码
  • 核心内容： 研究在保留 DeepSeek Harness agent loop、tool registry、model adapter 和 session-event path 的条件下，用本地 source/sink fixture 完成 14,560 次受控执行，覆盖 16 个间接内容通道、35 种 payload objective 和 12 类攻击。最高观测 ASR 为文本 fake-completion 的 17.0%（LLMJudge）、文件 hidden-Unicode 的 25.5%（RuleJudge）和文件 skills channel 的 16.0%（RuleJudge）；配套 A.I.G 仓库拥有 Agent、Skill、MCP 与基础设施扫描实现。
  • 与你的方向关系： 这是 indirect prompt injection 与 harness-level security 的直接实证，能够定位哪些额外上下文、工具结果和 policy hook 把不可信内容传播到敏感动作。
  • 建议： 精读并复现实验协议。重点比较 deterministic 与 semantic judge 的分歧、不同 carrier/channel 的覆盖，以及 source-to-sink fixture 能否迁移到其他 agent harness。

10. What Does Context Compression Cost an Agent? Interaction Costs Unrevealed by Task-Completion Metrics

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Shuyu Liu
  • 日期： 2026-08-17
  • 链接： 论文
  • 核心内容： 论文在固定 24 轮工具环境中比较丢弃式与事实保留式压缩，并将新增 tool call 拆成重新检索和执行。六组模型—任务对比的 retrieval call 全部增加，而 5× 压缩下完成率均无显著变化；GPT-5.5 的完成率由 80% 变为 85%，但检索调用从 21.0 增至 63.9，说明终态指标会掩盖重获状态的交互成本。
  • 与你的方向关系： 该工作直接影响 cost-aware harness optimization、context compaction 和 code-as-memory：压缩策略若只以成功率为 reward，可能把上下文成本转移为大量工具调用和延迟。
  • 建议： 精读。建议将 reacquisition cost、retrieval/execution 分解和环境依赖性纳入 harness evaluator，而不是只比较 token 数和最终 pass rate。

今日优先阅读

优先阅读 Bounded Agents、CompoSkill 和 JailbreakSkill。前两项分别给出会话级委托权限的外部强制机制和技能组合风险的路径级威胁模型；JailbreakSkill 则展示攻击技能如何形成可执行、自演化的红队闭环，会直接影响 skill/harness optimization 的安全边界与论文定位。