本期检索范围： 2026-08-27—2026-08-28

本期共筛选出 10 项。最明显的趋势是 self-evolving agent 的持久技能库同时成为性能增长机制与自传播攻击面，Harness Optimization 也进一步转向从成功/失败轨迹中提炼原子经验并通过门控持续更新；安全侧则集中于工具参数最小化、策略与执行分离以及跨轮风险重组。本期没有论文版本更新或项目重大更新，也未发现达到单独收录标准且可由官方来源确认的新代码项目。

1. EVOMAL: Self-Poisoning in Self-Evolving Coding Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Xiaodong Wu、Yu Shi、Qi Li、Zhimin Zhao、Xiangman Li、Bram Adams、Ahmed E. Hassan、Jianbing Ni
  • 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）
  • 链接： 论文
  • 核心内容： EVOMAL 揭示 self-evolving coding agent 在模仿共享技能编写新工具时，会把恶意模板中的 payload 一并复制、存储和执行；新副本还能重新进入技能库，形成删除初始恶意技能后仍持续传播的 worm。六个模型、153 个 SWE-bench Verified 相关任务上的 agent self-poisoning rate 为 20.3%–41.8%，定向描述可将其推至 86.7%；counter-prompt 将该指标压至最高 6.7%。
  • 与你的方向关系： 这是 persistent skill-file security、agent memory poisoning 与 self-evolving harness 的直接交叉，说明“从历史技能自然生长”本身会放大供应链污染并产生持久二次来源。
  • 建议： 精读。优先分析恶意技能的 provenance 在复制后为何丢失，以及 acceptance gate、污点传播、撤销和整库清理应如何覆盖 agent-authored descendants。

2. From General Agents to RCA Experts: A Self-Evolving Harness for Root Cause Analysis

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Haiyu Huang、Jiewei Lyu、Zhihan Jiang、Jinyang Liu、Xiao He、Tieying Zhang、Wu Xiang、Michael R. Lyu
  • 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）
  • 链接： 论文
  • 核心内容： OpsHarness 复用通用 agent 的基础能力，把 RCA 适配集中到外部 harness：数据平面维护分层运维知识与 idea-card 工具库，控制平面协调设置、诊断、演化和验证。系统对比成功/失败轨迹，将证据转成原子 proposal，并通过 dual-gate 防止过拟合与回归；两个公开 benchmark 与工业部署上的 top-1 accuracy 为 59.0%，相对裸通用 agent 提升 63.4%。
  • 与你的方向关系： 这是 Harness Optimization 的高度直接工作，其“轨迹对比—原子经验—双门验证”与从最小 scaffold 自然生长、失败窗口和 held-out gate 的设计具有明确对比价值。
  • 建议： 精读。重点核查初始 harness 的人工结构、idea-card 的可执行粒度、双门数据划分以及成本目标是否进入更新准则，这些会决定其与当前论文的定位边界。

3. ToolMinimize: Auditing and Rewriting LLM Agent Tool Calls to Minimize Privacy Exposure

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Wenbiao Li、Yuqiao Xu
  • 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-25）
  • 链接： 论文
  • 核心内容： ToolMinimize 不只 allow/block 工具调用，而是在中间件中依据 schema 必要性对参数执行删除、泛化、替换和截断。作者测得三个生产模型的默认工具调用中有 81%–88% 携带非必要隐私数据；307 次 live call 上，系统在保持 100% argument-level task validity 的同时将 privacy cost 降低 81.2%–92.0%，中位延迟为 1.77 ms。
  • 与你的方向关系： 它把 semantic privacy 与 least disclosure 落到工具调用参数级，补足传统 capability control 和 information-flow policy 只能决定“能否调用”、不能最小化“传什么”的缺口。
  • 建议： 精读。最值得验证的是隐式敏感信息的 necessity 判定，以及恶意 tool schema、自由文本参数和跨调用组合推断下的剩余泄露。

4. LMSM: LLM Security Framework Inspired by Linux Security Modules

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： XiuYu Zhang、Bonan Ruan、Junfeng Fang、An Zhang、Tat-Seng Chua、Zhenkai Liang
  • 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）
  • 链接： 论文
  • 核心内容： LMSM 借鉴 Linux Security Modules，将模型内部安全 backend 提供的校准证据、版本化 policy 和负责 buffered output release 的 gate 解耦，使 SAE、transcoder 与 dense probe 等信号共享统一 enforcement substrate。Qwen3-4B 上，LMSM-Checkpoint 将 HarmBench ASR 从 39.20% 降至 3.32%，XSTest false refusal 从 2.40% 升至 4.40%，32 个活跃序列下保留 98.14% 对照吞吐。
  • 与你的方向关系： 该工作把 interpretability signal 转成可组合的运行时 security hook，直接关联 jailbreak defense、policy enforcement 与 harness middleware 设计。
  • 建议： 精读。应重点区分 mediation correctness 与 backend effectiveness，并检查 continuous batching、流式输出和多规则冲突时 gate 是否仍满足 fail-closed 语义。

5. SkillShield: Prompt-Space Security Skills for LLM Coding Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Xiaodong Wu、Zhimin Zhao、Qi Li、Xiangman Li、Yu Shi、Bram Adams、Jianbing Ni
  • 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）
  • 链接： 论文
  • 核心内容： SkillShield 从已知攻击或历史 agent failure 离线合成安全技能，并在会话开始时注入 system prompt，整个 tool-use loop 无需额外分类器或运行时路由。RedCode 上默认 all-classes skill 将恶意代码严重度从 3.37 降至 0.58、执行 ASR 为 43.6%；更细粒度的 per-bundle 与 per-class 配置分别降至 36.2% 和 14.5%，731 个良性任务的平均安全拒绝率为 0.14%。
  • 与你的方向关系： 它将安全经验编码为 persistent prompt-space skill，是 code-as-memory 与 agent security 的轻量交叉，也为“性能技能”和“安全技能”共享有限上下文时的资源竞争提出问题。
  • 建议： 精读。重点关注仅评估非自适应 jailbreak 的限制，以及技能数量增长、冲突、覆盖遗忘和恶意安全技能注入时的稳健性。

6. Reassembling Distributed Risk: Trajectory-Conditioned Action Generation for Multi-Turn Agent Safety

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yanbo Dai、Zhenlan Ji、Zongjie Li、Shuai Wang
  • 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）
  • 链接： 论文
  • 核心内容： ReDiR 针对将恶意目标拆散到多个看似正常请求和工具动作的 multi-turn decomposition attack，在每次行动前把完整轨迹压缩为 latent safety representation，并注入冻结模型以直接约束 action generation。三个模型家族、八个未见工具域上的 ASR 降至 8% 以下，同时保持良性 fidelity 和较低计算开销。
  • 与你的方向关系： 它直接覆盖 multi-turn Agent Security，并避免额外在线 judge，把跨轮风险状态变成生成阶段的隐式控制信号，可与显式 taint/state machine harness 比较。
  • 建议： 精读。需要验证 latent state 是否可审计、能否抵御长轨迹稀释与白盒操纵，以及跨会话持久攻击是否超出其 trajectory boundary。

7. Auto-Policy, not Auto-Skill: Compiled Agent Skills for the Physical World

  • 类型 / 来源： 新论文｜arXiv（Agent Skills 2026 Workshop）
  • 作者 / 维护者： Zhonghao Zhan、Hamed Haddadi
  • 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-25）
  • 链接： 论文
  • 核心内容： 论文区分描述“如何行动”的 Skill 与决定“哪些行动获准执行”的 Policy，并提出 Borrowed Authority：恶意或误用技能可附带未经类型化验证的权限声明来驱动物理执行。Edge Skillguard 将 world state 与 sensor evidence 上的 typed guard 打包进技能；实时边缘控制测试床中拒绝了五类攻击的 60/60 个请求且未阻断良性请求。
  • 与你的方向关系： 它直接连接 persistent skill security、capability control 与 executable policy，说明自动生成更多技能并不自动带来可验证的授权边界。
  • 建议： 精读。其“procedure + typed policy”共同编译的方向可与 program semantics 延伸结合；应进一步检查 guard 自身的来源、更新权限和传感器欺骗问题。

8. Separating Disclosure from Authorization: Field-Tier Minimization for Agent Action Mediation

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Jiten Oswal、John Cadeddu
  • 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）
  • 链接： 论文
  • 核心内容： 该设计将 agent action 的字段分为可原样跨域、只能以投影跨域、以及永不离开 workload 的三层，同时在最小化前对完整参数生成 canonical digest 写入审计承诺。tier table、policy schema 与 wire schema 从同一声明生成，使重新分类字段不会破坏既有审计记录；论文还报告了一个初版投影意外保留标识符的真实设计失误。
  • 与你的方向关系： 这是 action mediation、semantic privacy 与可审计 authorization 的交叉，解决“安全决策所需披露”与“不可删除日志最小化”之间的结构性冲突。
  • 建议： 浏览。最值得借鉴的是承诺与披露解耦，但应审视字段投影的组合泄露、声明生成链的可信根和 private pilot 之外的泛化证据。

9. A Self-Evolving Multi-Agent Framework Defense against LLM Jailbreak Attacks

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Tongyan Hu、Bryan Hooi
  • 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）
  • 链接： 论文
  • 核心内容： 该框架在 jailbreak 成功后，将失败抽象为描述攻击 wrapper 而非有害主题的 method-level rule，并写入跨交互持久记忆；随着新 wrapper 出现，规则标签空间持续扩展。方法仅依赖外部记忆和 prompting，适用于 API 黑盒模型；作者报告在四类黑盒 jailbreak 及 adaptive composite-wrapper attack 下显著降低 ASR，同时保持良性效用且未随记忆增长增加 over-refusal。
  • 与你的方向关系： 这是 self-evolving defense、persistent instruction memory 与 jailbreak 的直接组合，也暴露了防御记忆被投毒、规则冲突和长期膨胀的潜在攻击面。
  • 建议： 浏览。优先检查具体绝对结果、攻击预算与记忆更新门槛，并测试攻击者能否故意制造“成功样本”来向规则库注入过度拒绝策略。

10. Here is a GIFT: Enforcing User Data Isolation in LLM Serving via GPU Information Flow Tracking

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Jiacheng Shi、Xunjie Wang、Cheng Tan、Jinyu Gu
  • 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）
  • 链接： 论文
  • 核心内容： GIFT 用每用户加密隔离 CPU 侧共享 serving 逻辑，并对 GPU kernel 预计算静态信息流规则，以解耦追踪避免 kernel instrumentation 与 GPU stall；GIFT-CC 再加入 confidential computing 以覆盖不可信操作系统和 hypervisor。vLLM 与 DistServe 实现的吞吐开销为 4%–10.7%，延迟水平保持不变。
  • 与你的方向关系： 虽非 agent 专用，它为共享 LLM/agent serving 中的跨用户隐私隔离提供底层 information-flow enforcement，可作为上层语义隐私与工具权限机制的可信执行基础。
  • 建议： 收藏。适合作为系统层隐私参考；进一步阅读时应关注动态 kernel、KV cache、跨请求 batching 与 side channel 是否完整纳入威胁模型。

今日优先阅读

优先阅读 EVOMAL、OpsHarness 与 ToolMinimize。EVOMAL 揭示技能自然生长会形成可自传播的持久污染，OpsHarness 与当前 Harness Optimization 工作在轨迹驱动更新和双门接受上高度可比，而 ToolMinimize 则提供了比 allow/block 更细的工具参数级隐私控制原语。