本期检索范围： 2026-08-26—2026-08-27

本期共筛选出 10 项，最明显的趋势是 Agent Security 正从整段轨迹审计前移到工具执行前的动作级决策，并进一步覆盖浏览器 WebMCP、时序性恶意 MCP server 与多阶段交接中的约束弱化；Harness Optimization 则出现了递归搜索可执行上下文构造器及资源感知工具调度的新工作。没有需要重复收录的论文版本或既有项目重大更新；StepGuard 与 Semantic Overlays 的官方仓库均包含实质代码，其中 StepGuard 尚未发布训练语料与 StepGen 引擎。

1. StepGuard: Learning Step-Level Guardrails with Scalable Supervision and Safety-Utility Balancing

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv（EMNLP 2026）/ GitHub
  • 作者 / 维护者： Zhijie Zheng、Yu Li、Chen Qian、Yuqian Fu、Yanwei Fu、Lu Sheng、Jing Shao、Dongrui Liu；zheng977
  • 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25）
  • 链接： 论文 · 代码
  • 核心内容： StepGuard 是一个 4B guard model，可在工具调用执行前检查单步动作，也可审计完整轨迹。其 StepGen 构造共享上下文、仅在风险步骤动作不同的安全/不安全轨迹，Balance-GRPO 则依据两类动作的准确率差动态平衡训练；在 AgentDojo 与 AgentDyn 上，平均 ASR 相对无 guard 降低 77.3%，效用下降 2.8 个百分点。
  • 与你的方向关系： 它直接连接 Agent Security、indirect prompt injection 与 pre-action reference monitor，并提供了安全—效用权衡下的动作级训练范式，可与静态内容过滤和轨迹后验 judge 比较。
  • 建议： 精读。重点检查 StepGen 的 paired construction 是否覆盖自适应攻击，以及未发布训练语料与生成引擎对完整复现的影响；官方仓库已包含模型、训练配方、动态/静态评测代码和测试。

2. What Guides the Agent? Adjudicating Unauthorized Behavior via Localizing Behavior-Guiding Instructions

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yichao Gao、Yumo Zhang、Yunhao Yao、Haohua Du、Puhan Luo、Ruiqi Li、Zhiqiang Wang
  • 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25）
  • 链接： 论文
  • 核心内容： AttnLocate 将真正影响工具决策的 behavior-guiding span 定位建模为注意力矩阵上的一维目标检测：多头多层聚合形成 token 特征，再由 1-D U-Net 与 anchor-free head 预测边界，最后依据内容提供者的 authority policy 裁决调用。十种 agent 配置上的平均 mIoU 为 0.743、AUROC 为 0.956，并覆盖 indirect prompt injection 与 tool poisoning。
  • 与你的方向关系： 该工作不只判断文本是否“像攻击”，而是定位推理时实际改变工具决策的外部指令，再结合来源权限裁决，直接关联 Prompt Injection、tool-use security 和 capability control。
  • 建议： 精读。应重点验证 attention-based signal 在不同推理后端、量化模型与白盒自适应攻击下是否稳定，以及 authority mapping 是否能落到真实 MCP/tool provenance。

3. WebMCP-Phalanx: Enforcing and Characterizing Trust Boundaries for Browser-Integrated LLM Agents

  • 类型 / 来源： 新论文｜arXiv（AAAI 2027 投稿）
  • 作者 / 维护者： Lin-Fa Lee、Yi-Yu Chang、Kuo-Hui Yeh
  • 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25）
  • 链接： 论文
  • 核心内容： WebMCP-Phalanx 为浏览器页面暴露的工具增加两层防线：浏览器原生 trust anchor 用加密 capability credential 绑定注册主体并传播 provenance，隔离的 Quarantine Agent 则先审查工具元数据、返回值与页面内容，再交给具有调用权限的 Privileged Agent。实验中所有 80 个工具描述注入均被阻断，工具返回注入仅 2/80 成功；白盒攻击仍可利用检查前的恶意工具名，暴露出 call-timing gate 的必要性。
  • 与你的方向关系： 这是 WebMCP、Same-Origin Policy 与 agent capability lifecycle 的直接交叉，将 IPI 防御从纯文本检测扩展到主体归属、工具撤销和调用时序。
  • 建议： 精读。最值得关注的是其显式承认的 TOCTOU 式调用时序缺口，以及 capability credential 与浏览器现有 origin/process isolation 的组合边界。

4. Semantic Overlays: Mitigating Prompt Injection with Annotations Beyond Tokens and Steering Vectors

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Joshua Penman；JoshuaSP
  • 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-24）
  • 链接： 论文 · 代码
  • 核心内容： Semantic Overlays 在冻结模型的 prefill 位置向 residual stream 注入小型可训练 adapter，为 span 提供 token 无法伪造的带外语义标注；将不可信区段标为“non-executable”即可抑制其中的指令。论文报告 TensorTrust ASR 从 34.8% 降至 6.6%，PIArena 四类攻击的 compliance 均降至 0%，同时标注区段保持 92.5% exact-copy 可读性。
  • 与你的方向关系： 它把 instruction/data separation 从提示格式或外部控制流推进到模型输入表示层，是 Prompt Injection 与 semantic information-flow control 的新接口，也可与 CaMeL 类架构隔离方案形成互补。
  • 建议： 精读。重点检查需要修改 serving stack 与开放权重模型的部署约束、overlay adapter 本身的供应链风险及白盒攻击对带外通道的可适应性；官方仓库含训练、服务和三套评测实现及已发布 adapter。

5. TrustShiftProbe: Characterizing, Benchmarking, and Defending Staged Trust Attacks on MCP Servers

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Mehrdad Rostamzadeh、Sidhant Narula、Mohammad Ghasemigol、Daniel Takabi
  • 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-24）
  • 链接： 论文
  • 核心内容： TrustShift 将恶意 MCP server 建模为先在 conditioning phase 中表现正常、建立依赖后再于 trust horizon 切换到结构破坏、语义篡改或 scope expansion。其九类攻击在多种闭源与开源模型上取得 69.5% 平均 ASR；零 oracle 的传输层防御 SHIELD 基于清洁窗口学习行为基线，将其降至 42.7%，但无法完全阻断拒绝服务型 defection。
  • 与你的方向关系： 该威胁不来自用户 prompt 或中间人，而来自已被信任的有状态工具端点，直接扩展 MCP security、persistent trust 与运行时 provenance 的研究边界。
  • 建议： 精读。它适合用于检验“安装时扫描一次即可”的假设；尤其应研究渐进漂移、协同多 server 和攻击者针对 SHIELD 基线窗口自适应时的表现。

6. When “Must” Becomes “Maybe”: Constraint Weakening in LLM Agent Workflows

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yiheng Sun、Huifei Wang、Yancheng Zhu、Zhenyu Li、Zebin Zhao、Yifan Yuan
  • 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25）
  • 链接： 论文
  • 核心内容： 论文区分“语义上仍提到约束”和“约束仍对后续动作具有 binding effect”，研究摘要、计划、handoff note 等中间语言制品如何把硬性安全 blocker 弱化为参考信息。1,296 个受控 episode 中，普通 handoff compression 导致 100% blocker deactivation 与 54.2% forbidden action；保留 prerequisite、authority、fallback 和 consequence 四个字段可恢复到 100% preservation、0% forbidden action。
  • 与你的方向关系： 这是 multi-agent security 与 harness state semantics 的高度相关问题：风险并非注入新指令，而是合法约束在多阶段转换中丢失操作语义。
  • 建议： 精读。其 operational state preservation 概念可直接启发带类型/效果的 handoff IR、程序语义约束与验证门；同时需观察合成任务结论能否迁移到开放环境。

7. RePolicy: Reinforcement Learning for Safety-Policy Invocation in Agent Safeguards

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Houcheng Jiang、Boxuan Zhang、Qiyong Zhong、Junfeng Fang、Xiang Wang、Xiangnan He
  • 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25）
  • 链接： 论文
  • 核心内容： RePolicy 面向动态 policy library，让 safeguard 针对完整 agent trajectory 调用适用策略，再生成 policy-grounded rationale 与安全判定。作者构造 PolicyTraj-20K 做监督初始化，并使用带可验证奖励和 policy-context perturbation 的 GRPO；六个 agent safety benchmark 上表现出对策略上下文变化的稳健调用能力。
  • 与你的方向关系： 它把安全判定拆成“检索/调用正确 policy”与“依据 policy 裁决轨迹”，直接对应 persistent instruction、policy routing 与可演化 agent safeguard。
  • 建议： 浏览。重点比较其 policy invocation failure 与 judgment failure 的归因方式，并验证策略库被投毒、版本漂移或存在冲突规则时是否仍可靠。

8. Beyond the Mandate: A Systematic Security Analysis of the Agent Payments Protocol (AP2)

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Avital Aviv、Parth A. Gandh、Ron Bitton、Asaf Shabtai
  • 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-24）
  • 链接： 论文
  • 核心内容： 论文分析 AP2 v0.2 的五阶段交易生命周期、五类部署架构与签名 mandate 之前未被保护的 A2A/MCP 上下文。基于 MAESTRO 建模得到 48 个威胁、其中 8 个在至少一种架构达到 High，并用覆盖五类架构的测试床实现对应 proof of concept 与 mitigation；结论是 mandate 签名有效并不保证交易仍符合被操纵前的用户意图。
  • 与你的方向关系： 它展示了权限签名只保护已形成的交易字段，无法自动保护塑造这些字段的 agent context 与工具链，是 Agent Security、prompt injection 后果与 authorization semantics 的具体案例。
  • 建议： 精读。建议将其 pre-authorization context manipulation 与 intent binding、provenance chain 及最小权限执行作对照，尤其关注协议层保证与 LLM 决策层保证之间的断点。

9. VideoHarness-RSI: Recursive Harness Self-Improvement for Long-Video Understanding with Frozen Vision-Language Models

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Guoyang Xu、Hao Chen
  • 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25）
  • 链接： 论文
  • 核心内容： VideoHarness-RSI 固定 VLM 与接口，只递归搜索负责长视频 context construction 的可执行程序。外层 proposer 根据历史程序、评测结果和 execution trace 生成候选，端到端执行后保留成功变体；从 uniform sampling 或较强手工基线出发均能继续提升，选出的 harness 还能迁移到其他长视频 benchmark。
  • 与你的方向关系： 这是 Harness Optimization 的直接新实例，把搜索对象明确限制为 executable program structure，可用于比较“从弱 scaffold 生长”和“从强手工 controller 局部改进”的初始化偏置。
  • 建议： 精读。最值得核对的是候选保留准则、搜索预算、程序编辑粒度和迁移实验，以判断提升来自真正的 harness discovery 还是特定视频采样启发式。

10. PeakBench: Benchmarking Resource-Aware Tool Invocation in LLM Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Zhi-Kai Chen、Xu-Xiang Zhong、Song-Yan Li、De-Chuan Zhan、Han-Jia Ye
  • 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25）
  • 链接： 论文
  • 核心内容： PeakBench 为可执行多工具 workflow 增加依赖标注与实测资源 profile，将逻辑依赖规划和物理资源调度分开评价。结果显示，逻辑规划强并不代表在资源约束下安全高效；显式提供资源信息可以减少可避免的 overflow 并改善利用率。
  • 与你的方向关系： 它把 cost-aware agent optimization 从 token/调用数扩展到并行工具执行的峰值资源与调度约束，为 harness controller 的性能目标和安全失败归因提供新基准维度。
  • 建议： 浏览。优先关注其依赖图、资源 profile 的测量假设与 overflow 指标；论文所列代码链接在本期核查时返回 404，因此暂不把它计为新代码仓库。

今日优先阅读

优先阅读 StepGuard、What Guides the Agent? 与 VideoHarness-RSI。前两项分别把防护前移到动作执行点、把注入检测细化为行为引导 span 与来源权限的联合裁决；VideoHarness-RSI 则为当前 Harness Optimization 论文提供了一个非常直接的“固定模型、仅搜索可执行控制程序”新对比点。