本期检索范围： 2026-08-25—2026-08-26

本期共筛选出 10 项，主要来自 8 月 25 日公布的 arXiv 批次。最明显的趋势是 Harness Optimization 正从提示词搜索转向基于执行轨迹的持久代码更新，而代理安全则同时扩展到记忆注入、技能资源放大和状态化信息流控制；没有需要重复收录的论文版本或既有项目重大更新。Prime Agent 与 SecOPD 提供了包含实质实现、测试或训练评测代码的新仓库；AEGIS 的官方链接仓库当前为空，因此仅按论文收录，AutoSaddler 和 AgentWeave 也未附上无法从官方页面核实的代码地址。

1. AutoSaddler: Automatic Harness Optimization with Durable Updates from Agent Execution Traces

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Sungho Park、Wonjoong Kim、Rongyuan Tan、Jue Zhang、Wook-Shin Han、Pengfei Gao、Chanyoung Park 等
  • 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24）
  • 链接： 论文
  • 核心内容： AutoSaddler 将 harness 优化建模为离线学习：从 mini-batch 执行失败中进行深度诊断，把 harness 视为代码生成结构化 patch，再通过验证集选择可持久保留的更新。论文在 GAIA2、SWE-Bench Pro 和 Terminal-Bench 2.0 上相对基础 harness 分别提升 9.0、9.6 和 10.0 个百分点，并表明深度调试、定向修改与泛化感知选择均是关键组件。
  • 与你的方向关系： 这是 Harness Optimization 的高度直接工作，搜索空间覆盖 prompt、tool 与 middleware，且其“轨迹诊断—代码 patch—验证选择”流程可与 Meta-Harness、GEPA 以及从空 scaffold 自然生长的路线进行正面对比。
  • 建议： 精读。重点核对初始化 harness、patch 粒度、验证集使用方式与总执行预算；这些细节决定其增益来自真正的控制器结构学习，还是对现有 harness 的局部修补。

2. InjecMEM: Memory Injection Attack on LLM Agent Memory Systems

  • 类型 / 来源： 新论文｜arXiv（COLM 2026）
  • 作者 / 维护者： Hanling Tian、Gengyu Zhang、Zeyang Sha、Jingying Wang、Yuhang Liu、Zhehao Huang、Kun Yang、Xiaolin Huang
  • 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24）
  • 链接： 论文
  • 核心内容： InjecMEM 只需一次正常交互、无需直接读取或编辑记忆库，即可让后续相关查询被引导到预设输出。攻击把高召回主题线索构造成 retriever-agnostic anchor，并用跨模板、位置与 backbone 优化的 adversarial command 抵抗融合上下文、长提示和记忆漂移；实验覆盖多个记忆系统与基础模型，并保持非目标查询基本不受影响。
  • 与你的方向关系： 它直接刻画 agent memory poisoning 的现实写入入口，并将攻击拆成“保证被检索”与“检索后控制生成”两个可独立优化的阶段，适合与昨日的事实性记忆投毒及 provenance 防御边界进行对照。
  • 建议： 精读。应重点复现跨 retriever、跨 backbone 的迁移，以及记忆压缩、去重和摘要机制是否会破坏 anchor-command 耦合。

3. AgentFlow: A Flow-Centric Policy Language and Framework for Securing LLM Agent Systems

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Basavesh Ammanaghatta Shivakumar、Swarn Priya、Peng Gao
  • 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24）
  • 链接： 论文
  • 核心内容： AgentFlow 用带标签的运行时边表达敏感数据、工具、sink 与委派关系，支持 flow/path rule、任务级 capability、controlled release 和有状态 taint semantics；reference monitor 执行动作中介，受限策略片段由 SMT verifier 检查。原型的七项安全性质均在 0.5 秒内完成验证；在 949 个 AgentDojo 注入样例中 confirmed compromise 从 33.0% 降至 0%，效用由 46.7% 升至 63.3%，AgentDyn Dailylife 上也将 compromise 从 73.5% 降至 0%。
  • 与你的方向关系： 这项工作把 Prompt Injection 的后果建模为跨步骤 information flow，而非单次恶意文本检测，直接关联 capability / permission control、multi-agent delegation 和 semantic privacy。
  • 建议： 精读。重点检查哪些行为必须显式暴露为 policy-visible edge，以及自然语言任务如何可靠映射到标签与 release 条件；这决定了零 compromise 是否能迁移到开放式代理。

4. SecOPD: Mitigating Adaptive Prompt Injections by On-Policy Distillation

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv（EMNLP 2026）/ GitHub
  • 作者 / 维护者： Yibo Peng、Long Lian、David Wagner、Sizhe Chen；pppyb
  • 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-21）
  • 链接： 论文 · 代码
  • 核心内容： SecOPD 针对 DPO/GRPO 的序列级反馈无法定位不安全 token 的问题，让学生模型在受攻击上下文中 rollout，再由同初始化的 clean-context teacher 对学生实际采样 token 提供逐 token 蒸馏信号。防御后的 Qwen3.6-27B 在 PISmith 自适应注入上的 ASR 为 9.0%，对比 Meta-SecAlign 的 94.0%；未见训练域的 agentic tool calling 上 ASR 为 4.7%。官方仓库包含训练、评测、配置、测试与模型链接等实质内容。
  • 与你的方向关系： 这是 adaptive prompt injection 防御与安全微调的直接交叉，尤其适合作为“模型内生防御”与 runtime monitor、taint tracking 或 contract enforcement 的组合基线。
  • 建议： 精读。优先验证 clean teacher 的假设、全响应 reverse-KL 对 reasoning token 的作用，以及针对该训练目标重新自适应后的攻击强度。

5. Prime Agent: A Self-Improving RLM Harness

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Seth Karten、Alex L. Zhang、Kevin Thomas、Sebastian Müller、Elie Bakouch、Daniel Auras、Mika Senghaas 等；PrimeIntellect-ai
  • 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24）
  • 链接： 论文 · 代码
  • 核心内容： Prime Agent 用持久 IPython REPL 提供程序化上下文处理与 test-time compute，Continual Harness 跨轨迹保留历史、记忆、skills、prompts 和 subagent 规格，并统一执行、恢复、验证与资源核算。论文报告 ARC-AGI-3 RHAE Best@1 从 30% 提升到 95.5%，并在长上下文编码、GPU kernel、模拟器构建等任务中与多种原生或流行 harness 对比；官方仓库包含 runtime、多包代码、测试、文档与持续开发历史。
  • 与你的方向关系： 它同时覆盖 RLM、code-as-memory、持久 harness 与自改进代理，并把“策略由模型构造、执行语义由 harness 保证”作为清晰的系统边界。
  • 建议： 精读。应区分 persistent state、recursive subagent 与恢复机制各自贡献，并审视跨轨迹保留 prompts/skills 时的投毒、撤销和审计风险。

6. SkillBloat: Token Amplification Attacks via Skill Injection in LLM Coding Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yuanjin Zheng、Jingbang Chen
  • 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-22）
  • 链接： 论文
  • 核心内容： SkillBloat 把 malicious skill 的威胁从数据窃取或越权扩展到经济型资源滥用：第一阶段在多类放大机制中筛选攻击条件，第二阶段用 LLM 引导的全技能文档重写继续优化。真实 skill benchmark 上，不同 coding-agent 配置的平均最佳 token amplification 达 5.4184×–10.1455×，消融显示第二阶段持续优于只做攻击类型筛选。
  • 与你的方向关系： 直接命中 persistent skill-file security 与 cost-aware agent optimization，说明即使最终动作不越权，可信指令通道仍可通过循环、冗余规划或上下文膨胀造成显著成本攻击。
  • 建议： 精读。重点检查放大倍率是否包含失败重试与模型差异，并考虑将 token、wall-clock、工具费用和上下文增长统一为资源预算策略。

7. Beyond Over-Refusal: Defending Indirect Prompt Injection via Latent Instruction Manifolds

  • 类型 / 来源： 新论文｜arXiv（EMNLP 2026 Findings 扩展版）
  • 作者 / 维护者： Jiahao Chen、Rui Yin、Xinfeng Li、Qianli Ma、Tianyu Du、Zhihui Fu、Jun Wang、Zhaoxiang Wang、Shouling Ji
  • 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-23）
  • 链接： 论文
  • 核心内容： 论文从理论与实验两方面主张 LLM 的潜表示能内生地区分 instruction 与 data，并据此提出 AEGIS：提取 instruction-sensitive projectors，再以跨网络深度的多层共识聚合拓扑不同的检测信号。作者报告其在启发式与优化型 IPI 上相对基线兼顾检测与低 over-refusal；官方论文所链 GitHub 仓库当前为空，因此本期不把它计为新代码仓库。
  • 与你的方向关系： 这是一条针对 indirect prompt injection 的 representation-level defense 路线，可与输入分类器、双模型审查和 information-flow enforcement 形成互补比较。
  • 建议： 浏览。最值得验证的是 projector 跨模型、跨层和跨攻击域的稳定性，以及白盒攻击能否直接优化绕过其共识信号。

8. TRACE: A Self-Evolving Skill Bank for Consistent, Limit-Aware LLM Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Wenhao Wu、Menghao Zhang、Xin Wang、Zhi Wang、Kun Shao、Jian Luan
  • 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24）
  • 链接： 论文
  • 核心内容： TRACE 将工具规则与行为约束组织为可检索 Skill Bank，并在每轮评测后按实际调用的 skill 聚合轨迹，通过成功/失败行为对比持续改写技能；部署时 Actor 每一轮根据状态编排 skill。CAR-bench 上，GPT-5.5 的 Pass³ 从 59.9% 提升到 94.5%，潜在能力与稳定表现的差距缩至 4.0 个百分点；官方隐藏集使用 GPT-5.6-Sol 获得 70% Pass³。
  • 与你的方向关系： 直接关联 self-evolving agents、persistent instruction 与 executable harness learning，也把 pass@k 与一致性 Pass^k 的差别引入 skill 优化目标。
  • 建议： 精读。应检查 skill 更新的接受门槛、回滚与遗忘控制，尤其关注成功/失败对比是否会把偶然轨迹或安全违规固化进持久技能库。

9. SkillAlchemy: Open-World Agent Skill Creation

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Hengjun Wang、Shuyue Wei、Boyi Liu、Jun Yang、Yongxin Tong
  • 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24）
  • 链接： 论文
  • 核心内容： SkillAlchemy 面向只有模糊 skill brief、缺少人工轨迹的开放世界创建场景，从允许访问的外部材料中通过对比证据发现隐含要求，按证据支持的范围 admission 候选过程，再编译为 grammar-guided skill package。87 个 SkillsBench v1.1 任务上，较无 skill 提升 19.9 个百分点，较最强自动基线提升 8.6 个百分点，并达到接近人工技能的表现。
  • 与你的方向关系： 它把 skill synthesis 的关键问题从生成能力转向 source grounding、scope admission 与结构化编译，既是 Harness Optimization 路线，也为防止来源材料中的间接注入和过度授权提供了新的控制点。
  • 建议： 精读。关注 evidence-supported scope 的形式化程度，以及恶意或相互冲突来源下 admission 是否仍可靠；这可能形成 skill 供应链安全的直接扩展。

10. AgentWeave: Routing Before Reasoning for Efficient Function Calling in Tool-Rich Language Models

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Saurav Singla、Aarav Singla、Advik Gupta、Parnika Gupta
  • 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24）
  • 链接： 论文
  • 核心内容： AgentWeave 在模型推理前用 eligibility、requirement、capability 与 routing 信号构造有界的可见动作空间，而不改动下游模型。其 BFCL-derived routing-pressure 实验在 48 个新多函数任务上取得 6/48 成功，all-tools、随机 top-8 与语义 top-8 均为 0/48；相较全工具暴露，工具数、输入 token 与本地模型平均延迟分别下降 70.18%、61.70% 和 50.95%，但作者明确承认绝对成功率仍低且并非官方完整 BFCL 得分。
  • 与你的方向关系： 这是 cost-aware harness 与 least-privilege tool exposure 的交叉：预路由同时减少 token/延迟和无关工具攻击面，可作为大型 MCP/tool registry 的前置 controller。
  • 建议： 浏览。保留其窄实验结论，重点比较 routing recall、错误拒绝与动态 escalation；在扩大任务和模型之前不宜把 12.5% 绝对成功率解释为通用提升。

今日优先阅读

优先阅读 AutoSaddler、InjecMEM 与 AgentFlow。它们分别代表可执行 harness 的轨迹驱动持久更新、无需记忆库权限的一次性交互投毒，以及跨工具与委派边界的状态化信息流控制，会直接影响当前 harness 论文的定位、Agent Security 威胁模型和实验对比组设计。