本期检索范围： 2026-09-01—2026-09-02

本期共筛选出 10 项。最明显的趋势是 Agent 安全边界进一步下沉到 harness 层的能力约束、恢复语义与委托证明；攻击研究则开始系统利用长轨迹、代码仓库配置、长期记忆和知识工具。本期没有论文版本更新或项目重大更新，也未发现经核实后值得单独收录的新代码项目。

1. Reachability-Based Capability Confinement for LLM Agents under Indirect Prompt Injection

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Wujie Xiong、Rabimba Karanjai、Yang Lu、Weidong Shi、Lei Xu
  • 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-30）
  • 链接： 论文
  • 核心内容： 论文提出 harness 层执行机制 SkillGuard：一旦外部技能输出污染 Agent 状态，系统便利用 Skill Impact Graph、参数可操纵性签名和内联 reference monitor，限制后续可达能力，使受污染状态无法抵达部署者定义的禁止状态。其分数流限制在 AgentDojo 的 Tool Knowledge 攻击中令两个后端在四个套件中的三个实现零攻击成功，Slack 场景降至 4.8% 和 14.3%，且不增加模型调用或 token 开销。
  • 与你的方向关系： 这是 Agent Security、indirect prompt injection、capability control 与 Harness Optimization 的直接交叉：防御目标从“识别恶意内容”转为在状态污染后动态收缩未来权限。
  • 建议： 精读。重点核对技能摘要与策略完备性的假设，以及 fractional-flow 限制相较二元撤权如何保留良性能力。

2. Beyond the Payload: How User Invocation Shapes Coding Agent Vulnerability to Repository Poisoning

  • 类型 / 来源： 新论文｜EMNLP 2026 Main Conference · arXiv
  • 作者 / 维护者： Fukang Zhu、Binbin Zhao、Ruixiao Lin、Ping He、Tianyu Du、Shouling Ji
  • 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31）
  • 链接： 论文
  • 核心内容： 论文提出 CIPR 基准，以 20 个真实仓库的 1,920 个实例系统改变任务类型、提示表达以及 skill/rule 条件，研究用户侧 Prompt-Level Configurations 如何改变仓库投毒风险。实验发现任务类型可造成最高 4.5 倍攻击成功率差异，测试执行任务尤其呈现“高攻击成功、低告警”的静默攻击面；欠明确和噪声提示还会通过改变执行深度或恶意内容显著性间接改变风险。
  • 与你的方向关系： 该工作直接覆盖 coding-agent security、repository / persistent instruction poisoning 与 harness 配置安全，说明脆弱性不是固定模型属性，而是用户调用方式、规则文件和执行路径共同产生的结果。
  • 建议： 精读。CIPR 很适合用于检验代码 Agent 的安全评测是否覆盖任务类型和规则配置变量，尤其应关注测试命令这一高风险入口。

3. ECLIPSE: Self-Evolving Stealthy Prompt Injection Attack against Long-Horizon Agentic Systems

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Shiqian Zhao、Yangfan Zhou、Xinfeng Li、Runyi Hu、Yechao Zhang、Yi Xie、Tianwei Zhang、Luu Anh Tuan
  • 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31）
  • 链接： 论文
  • 核心内容： ECLIPSE 先在沙箱中生成并反复验证攻击工具链，再把已验证轨迹渲染成自然的一次性直接提示，并通过工具描述中的静态工作流编码及偏航时的动态纠正信号，将计划迁移到目标环境。配套 LASE-Bench 含 120 个恶意任务和 198 个独特工具，96.7% 的任务至少调用五次工具；攻击在无防御时最高成功率 96.7%，在常见安全过滤器下仍达 69.2%。
  • 与你的方向关系： 工作覆盖 Prompt Injection、tool-use security 与 self-evolving attacks，突出长轨迹 Agent 中局部看似正常、整体却实现恶意目标的组合风险。
  • 建议： 精读。应把 LASE-Bench 作为长程防御的压力测试，并比较静态工具描述投毒和运行时纠偏分别贡献了多少攻击收益。

4. Safe to Resume? Breaking Execution Continuity of Agent Execution via Rollback

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Guanlong Wu、Dahui Li、Ke Jiang、Jianyu Niu、Cong Wang、Yinqian Zhang
  • 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-29）
  • 链接： 论文
  • 核心内容： 论文首次系统研究 Agent checkpoint / rollback 的安全问题，指出正确恢复字节并不保证恢复后的内部状态、外部依赖和副作用曾共同存在于某条合法历史中。作者归纳五类失败模式，并在 Hermes、Cline 与 LangGraph 上实现恶意软件验证绕过、未授权邮件转发和双重支付；对五个代表性框架的分析显示，根因普遍是检查点覆盖范围与安全继续执行所需依赖不一致。
  • 与你的方向关系： 这直接关联 persistent agents、Harness Optimization 与 Agent Security，把恢复机制从可靠性功能提升为需要事务语义、外部效应日志和安全再验证的攻击面。
  • 建议： 精读。优先检查五类失败条件能否映射到你的 Agent 状态机，并据此设计恢复前置条件、幂等工具和不可回滚外部效应的补偿协议。

5. Extracting Knowledge from Tools in LLM Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Chuanchao Zang、Jianing Wang、Wenyu Chen、Xiangtao Meng、Li Wang、Xinyu Gao、Yingkai Dong、Zheng Li、Shanqing Guo
  • 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31）
  • 链接： 论文
  • 核心内容： 论文提出 query-only 攻击 ToolSiphon，通过 Tool Contrastive Analysis 提高目标工具被选择的概率，并以 Evidence Chained Feedback 缓解工具参数对细粒度查询的压缩，逐步重建工具背后的文件、数据库或索引内容。在三类知识工具和六个领域数据集上，已知非目标工具粗粒度信息时平均恢复 74.3% 的源记录；未知时仍恢复 66.3%，且攻击对代表性防御和三个真实 Agent 平台保持有效。
  • 与你的方向关系： 该工作直击 tool-use security、LLM privacy 与语义数据外泄，说明即使单次响应合规，长期自适应查询仍可能抽取受保护知识源。
  • 建议： 精读。值得将其与查询预算、差分隐私、响应去重和跨轮泄露记账机制对照，评估工具接口的累计隐私损失。

6. Understanding Stage-Wise Utility-Risk Trade-offs in LLM Agent Memory

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Chuanchao Zang、Zijian Cao、Xiangtao Meng、Jianing Wang、Wenyu Chen、Xinyu Gao、Li Wang、Zheng Li、Shanqing Guo
  • 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31）
  • 链接： 论文
  • 核心内容： MemGauge 在匹配的干净与投毒条件下，分别控制记忆写入准入、管理策略和检索暴露，从而测量阶段级效用—风险关系。对 11 个 LLM、两个长期记忆基准及四种现有记忆系统的结果显示：写入阶段存在阈值式风险跃迁，管理阶段可出现依赖策略的局部解耦，而检索阶段的效用与风险往往同步增长。
  • 与你的方向关系： 这直接服务 agent memory poisoning、persistent memory security 与 Harness Optimization，提供了比单一端到端分数更可操作的阶段化诊断方式。
  • 建议： 精读。重点利用其三阶段控制变量判断安全预算应投入写入过滤、记忆重写还是检索暴露限制，而不是为整个记忆模块设置统一阈值。

7. SIR: Self-improving Red-teaming for Compute Use Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Chen Xiong、Zhiyuan He、Pin-Yu Chen、Stjepan Picek、Tsung-Yi Ho
  • 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31）
  • 链接： 论文
  • 核心内容： SIR 面向操作系统级 computer-use agents，以少量可复用的自然语言原则组合隐蔽 IPI，再从受害者失败轨迹中诊断绕过方式、沉淀新策略并跨任务复用。其确定性判定器直接检查文件系统、服务和权限状态；自改进循环把 Claude Opus 4.8 的攻击成功率从 4% 提至 24%，把 Gemini 3.5 Flash 从 0% 提至 28%，且发现的原则可跨模型架构迁移。
  • 与你的方向关系： 工作连接 indirect prompt injection、self-improving agents 与 CUA 安全评测，展示攻击 harness 如何从执行反馈中持续积累可迁移策略。
  • 建议： 精读。建议关注确定性 oracle、策略库增长和跨模型迁移，因为它们比一次性攻击提示更接近持续红队系统。

8. Influence Is Not Authority: When Causal Guardrail Signals Make Legitimate Tool Use Look Like an Attack in Tool-Using LLM Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Tanzim Ahad、Ismail Hossain、Md Jahangir Alam、Sai Puppala、Syed Bahauddin Alam、Sajedul Talukder
  • 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-30）
  • 链接： 论文
  • 核心内容： 论文用 24 个基础案例衍生的 96 个条件审计 influence-based guardrails，在授权、动作和预期效果不变时，仅把必要值从用户输入移到合法工具结果。所有 24 个配对案例在 Llama 与 Gemma 评分器上都向攻击区域偏移；语义监控器虽将攻击成功率降为 0%，效用却只有 28%，而 shadow guardrail 又让 57.5% 未授权运行在后续安全检查前自动通过。
  • 与你的方向关系： 这说明因果影响并不等于权限来源，直接挑战 Agent Security 中基于信息影响度的 guardrail，并支持把 authorization 与 provenance 放入外部 harness 策略。
  • 建议： 精读。最值得比较的是 influence signal、来源认证和用户授权三者的可分离性，避免把“使用了工具数据”误当作恶意行为代理变量。

9. The Fragility of Jailbreak Robustness Across Operational States

  • 类型 / 来源： 新论文｜Findings of EMNLP 2026 · arXiv
  • 作者 / 维护者： Yuna Park、Hwang Youn Kim、Yujin Kim、Won Woo Ro、Suhyun Kim、Jae-In Hwang
  • 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31）
  • 链接： 论文
  • 核心内容： 论文在七个对齐模型和三种代表性 jailbreak 攻击上，只改变普通、并非为影响安全而设计的 system prompt，以测试 operational state 对鲁棒性的影响。某一案例的攻击成功率仅因状态变化便从 2% 升至 58%；这种变化与拒绝相关表示轴上的隐藏状态差异系统相关，且该轴投影可强预测 jailbreak 结果。
  • 与你的方向关系： 该工作覆盖 jailbreak defense 与 LLM Security，也说明真实 Agent harness 的 system prompt、角色配置和运行模式会改变安全结论，单一 vanilla 配置不足以代表部署风险。
  • 建议： 浏览。适合据此扩展安全评测矩阵，将业务 system prompt、工具模式和对话状态纳入同一攻击基准。

10. Attesting Outputs and Delegation Ancestry in Multi-Agent AI Systems

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Lifei Liu、Haoran Yu
  • 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31）
  • 链接： 论文
  • 核心内容： 论文提出双层证明：可信部署运行时签名已释放输出的哈希，委托祖先证据则记录跨部署边的授权，并比较签名链表、Merkle-chain 和双方共签 DAG。子密钥泄露时，单签设计允许伪造父绑定，而共签 DAG 会拒绝；本地 30 个任务和跨三个可用区的 1,000 条有效路径均完成验证，云端平均签发与完整验证分别为 3.651 毫秒和 5.015 毫秒（不含 TLS、KMS 与模型服务延迟）。
  • 与你的方向关系： 这直接覆盖 multi-agent security、delegation control 与可审计 harness，为动态发现的 A2A / MCP 调用链提供输出归属和授权祖先证明，但不声称阻止 prompt injection。
  • 建议： 浏览。重点评估共签 DAG 的密钥生命周期、撤销和跨组织信任假设，以及它与运行时策略执行如何组合。

今日优先阅读

优先阅读 Reachability-Based Capability Confinement、Beyond the Payload 与 Safe to Resume?。三者分别把安全边界落到污染后的动态能力收缩、用户调用配置造成的仓库投毒差异，以及恢复后执行历史的一致性；它们共同影响 Agent harness 应如何建模权限、状态与外部副作用，而不仅是如何过滤输入文本。