本期检索范围： 2026-09-07—2026-09-08

本期共筛选出 10 项。最明显的趋势是 Agent 安全开始从单点 guard 转向贯穿身份、来源、授权与最终 effect 的可验证契约，同时 Indirect/Visual Prompt Injection 被进一步建模为受测试时算力驱动的自适应搜索；Harness Optimization 则聚焦局部路线编辑、轨迹到技能的层级归纳及紧凑记忆。本期没有论文版本更新或项目重大更新；发现 1 个随新论文发布、包含参考实现、故障注入测试和原始结果的代码仓库，没有值得单独收录的新代码项目。

1. CONTINUITY: Security-Context Contracts for Composable LLM Agent Controls

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv（cs.CR / cs.AI）· GitHub
  • 作者 / 维护者： Chris Zheng、Geng Yang；代码由 zast-ai 维护
  • 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）
  • 链接： 论文 · 代码
  • 核心内容： 论文将 provenance、authorization、policy、protocol adapter 与 execution control 之间丢失、放宽或重绑定安全信息的现象定义为 security-context discontinuity，并用 assume-guarantee contract、签名 root grant、transition receipt、typed release 与 effect-bound permit 串联 instruction-to-effect 路径。作者报告完整配置在 2,560 个参数化攻击实例中未提交有害外部 effect，同时完成 700 个良性任务并升级处理 200 个歧义案例；官方仓库提供参考 verifier、32 类跨层故障注入、测试、原始结果与复现实验脚本。
  • 与你的方向关系： 这是 Agent Security、capability control 与 program semantics 的直接交叉：安全属性不再依赖单个过滤器，而被表达为跨组件、跨状态转换、直到最终副作用提交点仍可验证的契约。
  • 建议： 精读。重点核查 consequence integrity 的形式化边界、可信计算基，以及 contract/permit 能否与 CaMeL 式信息流标签和真实工具执行器组合。

2. Rethinking Indirect Prompt Injection as a Test-Time Search Problem

  • 类型 / 来源： 新论文｜arXiv（cs.AI / cs.CL / cs.CR）
  • 作者 / 维护者： Duong M. Nguyen、Joon Sik Kim、Blazej Manczak、Vaikkunth Mugunthan
  • 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-03）
  • 链接： 论文
  • 核心内容： 论文把 Indirect Prompt Injection 表述为由环境、用户任务和注入目标共同决定的测试时搜索，并实现带有环境侦察、策略结构化推理和 victim feedback 自适应评估的攻击 Agent。实验显示增加攻击者测试时算力会提高漏洞发现与利用能力，而显式策略管理有助于避免重复搜索并在更高预算下保持收益。
  • 与你的方向关系： 该工作直接改变 IPI 评测假设：attack success 不应被当作 victim 的预算无关属性，安全基准必须同时声明攻击 harness、反馈通道和 compute budget。
  • 建议： 精读。适合用来重构 IPI 实验协议，并与固定攻击集、静态红队和自适应 on-policy 攻击比较，判断防御是否只是抬高搜索成本。

3. Repeat-After-Me: Black-Box Adaptive Visual Prompt Injection

  • 类型 / 来源： 新论文｜arXiv（cs.CR / cs.AI）
  • 作者 / 维护者： Sizhe Chen、Yu-Lin Tsai、Ivan Evtimov、Kamalika Chaudhuri、Raluca Ada Popa、David Wagner、Arman Zharmagambetov
  • 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-03）
  • 链接： 论文
  • 核心内容： Repeat-After-Me 面向需要生成精确、可解析 tool call 或敏感信息的黑盒视觉注入，通过自适应优化提高攻击强度。作者报告在开放权重与商用前沿 VLM 上分别达到超过 80% 与 47% 的攻击成功率，并在默认 OpenClaw Discord 部署中演示由不可信图片覆写 tools.md、从而持久启用后续敏感行为的路径。
  • 与你的方向关系： 该工作把 IPI 从文本网页和文档扩展到多模态输入，并与 persistent instruction、skill-file security 和 tool-use security 直接相连：一次视觉输入可改变未来会话的执行配置。
  • 建议： 精读。优先验证其黑盒查询预算、跨 surrogate/样本迁移和 OpenClaw 持久化链路，并把结构化工具调用正确率纳入多模态 Agent 红队指标。

4. Forgetting Without Restarting: Execution-State Unlearning for Stateful LLM Agents

  • 类型 / 来源： 新论文｜arXiv（cs.CR / cs.AI）
  • 作者 / 维护者： Chao Yao、Yangbo Wei、Zhen Huang、Junhong Qian、Chenle Chen、Shaoqiang Lu、Chen Wu、Lei He
  • 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）
  • 链接： 论文
  • 核心内容： 论文指出删除明文记忆并不会清除由其派生的 summary、pending tool plan 和 KV cache，进而形式化 execution-state unlearning：遗忘后行为应与从未观察目标信息的反事实世界一致。Provenance-Guided Selective Replay 通过定位注入点、裁剪 cache checkpoint 并重放净化后的后缀达到理论重算下界；实验中它与 full reset 不可区分，同时最多减少 9 倍重算 token。
  • 与你的方向关系： 这是 Agent memory privacy 与信息流控制的核心结果，说明“删除记录”不是语义遗忘；Harness 必须追踪派生状态的 provenance，并对受到污染的执行后缀进行撤销或重建。
  • 建议： 精读。其 transition-system 定义、token-level attribution 下界和 selective replay 机制可直接用于设计可撤销的长期 Agent memory 与审计语义。

5. TROVE: Adaptive Agent Skill Orchestration via Trace-Grounded Route Validation and Editing

  • 类型 / 来源： 新论文｜arXiv（cs.AI）
  • 作者 / 维护者： Tianxing Wang、Mingming Zhao、Shuai Huang、Huiyang Xu、Chaoyue Niu、Shengzhong Liu、Fan Wu
  • 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）
  • 链接： 论文
  • 核心内容： TROVE 离线地将带评估的 workflow-search traces 蒸馏为原子/组合技能和 outcome-conditioned transition graph；在线执行时不整体重规划，而依据新证据保留有效 continuation、插入局部响应或仅替换失效后缀。跨代码生成、问答和数学推理实验显示其质量—效率权衡优于数据集级优化、逐查询架构选择和图约束调度基线。
  • 与你的方向关系： 这是 Harness Optimization 的直接方法：它把 runtime feedback 转化为局部 controller edit，避免预先锁死完整执行结构，也为 function-level/route-level 可编辑性提供对比基线。
  • 建议： 精读。重点比较其 suffix replacement 与你的 function-level harness edit 在搜索粒度、状态复用、回归保护和成本目标上的差异。

6. Trace2Tower: Transition-Aware EigenTrace Induction of Multi-Level Skills for LLM Agents

  • 类型 / 来源： 新论文｜arXiv（cs.AI / cs.SE）
  • 作者 / 维护者： Jiazheng Sun、Boyu Yang、Binhao Yuan、Mingxuan Li、Xin Peng
  • 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）
  • 链接： 论文
  • 核心内容： Trace2Tower 将 step-level interaction 抽象为 canonical event，结合语义兼容性、转移动态和结果证据构图，再以 contrastive spectral decomposition 提取稳定且 success-aligned 的行为模式。模式被组织为 action template、procedural routine 与 task strategy 的动态技能层级；论文报告在 ALFWorld 达到 87.31% 成功率、平均 10.35 步和 0.26 次无效动作，在 WebShop 达到 50.67% exact success。
  • 与你的方向关系： 它连接 execution trace、code/skill-as-memory 与 self-evolving harness，核心问题是如何把经验压缩为可重用且避免失败捷径的多层控制结构。
  • 建议： 精读。适合比较谱分解得到的技能层级与可执行函数自然生长在可解释性、迁移能力和 failure shortcut 抑制上的差异。

7. Does Your Agent’s Memory Survive a Model Upgrade? A Controlled Study of Memory Portability

  • 类型 / 来源： 新论文｜arXiv（cs.AI / cs.CL / cs.IR）
  • 作者 / 维护者： Ankit Goyal、Jaideep Ray
  • 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）
  • 链接： 论文
  • 核心内容： 论文在相同历史上比较 raw long context、RAG chunks、模型压缩 notes 和固定 schema knowledge graph 的跨模型迁移。固定 schema 的 KG 在 writer swap 后准确率仅变化 +0.0004±0.0020，而 NOTES 随迁移方向出现 +9.91 或 −13.28 个百分点的非对称变化；50/50 混合 embedding index 只获得完整重嵌入 11.90 点收益中的 4.96 点。
  • 与你的方向关系： 该工作揭示 Agent memory 与具体模型、embedding space 的隐藏耦合，对持久 memory、模型升级安全和 harness 可移植性均有直接影响。
  • 建议： 精读。重点关注固定 schema、原始证据保留和 embedding version isolation，可据此设计模型升级前后的 memory migration gate。

8. Compact-Memory LLM Agents via Online Max-Member Clustering and Atom-Aware Packing

  • 类型 / 来源： 新论文｜arXiv（cs.AI）
  • 作者 / 维护者： Jiahe Geng、Jinpeng Wang、Kun Yuan
  • 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）
  • 链接： 论文
  • 核心内容： RSM-full 结合 cosine-gated max-member merge 写入规则与 atom-aware grouped context packer，面向约 2k–5k prompt token 的紧凑记忆区间优化质量—成本 Pareto。论文在 AMA-Bench 的 4k 预算下以 32% token 成本保留 Full-Context 83% 的质量，并通过消融把主要收益分别归因于 merge rule 与 grouped packing。
  • 与你的方向关系： 它属于 cost-aware harness 与 Agent memory optimization：优化对象不是模型权重，而是记忆写入、聚类和上下文装配这一可执行控制面。
  • 建议： 浏览。可将其作为 memory module 的强轻量基线，重点复核不同预算下的 Pareto 曲线以及对检索错误、语义漂移和敏感信息保留的影响。

9. TIER: Threat Implicitness Benchmark for Evaluating LLM Safety Behaviors

  • 类型 / 来源： 新论文｜arXiv（cs.CR / cs.AI）
  • 作者 / 维护者： Thu-Hien Trinh-Thi、Hai-Yen Vong、Thanh-Ha Ung-Dung、Tram Ho
  • 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）
  • 链接： 论文
  • 核心内容： TIER 用四个风险领域、四级 threat implicitness、六类行为标签和两个独立 LLM judge，替代只看二元拒绝/成功率的安全评测。六个开放权重模型的实验显示安全行为随威胁隐含程度渐变，contextual prompt 产生最丰富的行为分布，而 jailbreak 暴露最大稳健性差距；相同 ASR 的模型也可能具有明显不同的响应模式。
  • 与你的方向关系： 该 benchmark 适用于 jailbreak defense 与 Agent guard 的细粒度评估，可避免 Harness 优化器通过表面拒绝或不完整执行“刷高”单一安全指标。
  • 建议： 浏览。重点检查标签定义和 judge 一致性，并考虑把行为分布而非单一 ASR 接入安全 gate 与多目标 harness 选择。

10. Trust-Aware Adaptive Disclosure for Inference Privacy Preservation in Multi-Agent Networks

  • 类型 / 来源： 新论文｜IEEE ANTS 2026 / arXiv（cs.MA / cs.CR）
  • 作者 / 维护者： Puspanjali Ghoshal、Tobias J. Oechtering
  • 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）
  • 链接： 论文
  • 核心内容： 论文研究网络化多 Agent 共识中的 latent goal inference，并提出随 Agent 间动态信任关系调整消息披露的随机策略。实验显示该机制在维持有竞争力共识效用的同时，相较代表性基线降低了攻击者的目标推断准确率。
  • 与你的方向关系： 它从通信级信息释放角度补充 multi-agent privacy：即使消息本身合法，共享频率和内容仍需按信任状态控制，以限制协作轨迹对内部目标的推断泄露。
  • 建议： 收藏。当前不是专门的 LLM Agent 工作，但其 trust-conditioned disclosure policy 可作为语义信息流控制和多 Agent 消息最小化的形式化参考。

今日优先阅读

  1. CONTINUITY：它将 Agent 安全从局部 guard 提升为跨组件的可验证 instruction-to-effect 契约，可能直接影响 capability、provenance 与最终副作用控制的系统设计。
  2. Rethinking Indirect Prompt Injection as a Test-Time Search Problem：该工作把攻击 harness 和 compute budget 纳入 IPI 威胁模型，会改变对防御有效性和基准公平性的判断。
  3. TROVE：其“保留有效前缀、局部插入或替换失效后缀”的执行时编辑机制，是当前 Harness Optimization 中值得与 function-level natural growth 直接对比的设计。