[{"content":" 本期检索范围： 2026-09-07—2026-09-08\n本期共筛选出 10 项。最明显的趋势是 Agent 安全开始从单点 guard 转向贯穿身份、来源、授权与最终 effect 的可验证契约，同时 Indirect/Visual Prompt Injection 被进一步建模为受测试时算力驱动的自适应搜索；Harness Optimization 则聚焦局部路线编辑、轨迹到技能的层级归纳及紧凑记忆。本期没有论文版本更新或项目重大更新；发现 1 个随新论文发布、包含参考实现、故障注入测试和原始结果的代码仓库，没有值得单独收录的新代码项目。\n1. CONTINUITY: Security-Context Contracts for Composable LLM Agent Controls 类型 / 来源： 新论文 + 新代码仓库｜arXiv（cs.CR / cs.AI）· GitHub 作者 / 维护者： Chris Zheng、Geng Yang；代码由 zast-ai 维护 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 · 代码 核心内容： 论文将 provenance、authorization、policy、protocol adapter 与 execution control 之间丢失、放宽或重绑定安全信息的现象定义为 security-context discontinuity，并用 assume-guarantee contract、签名 root grant、transition receipt、typed release 与 effect-bound permit 串联 instruction-to-effect 路径。作者报告完整配置在 2,560 个参数化攻击实例中未提交有害外部 effect，同时完成 700 个良性任务并升级处理 200 个歧义案例；官方仓库提供参考 verifier、32 类跨层故障注入、测试、原始结果与复现实验脚本。 与你的方向关系： 这是 Agent Security、capability control 与 program semantics 的直接交叉：安全属性不再依赖单个过滤器，而被表达为跨组件、跨状态转换、直到最终副作用提交点仍可验证的契约。 建议： 精读。重点核查 consequence integrity 的形式化边界、可信计算基，以及 contract/permit 能否与 CaMeL 式信息流标签和真实工具执行器组合。 2. Rethinking Indirect Prompt Injection as a Test-Time Search Problem 类型 / 来源： 新论文｜arXiv（cs.AI / cs.CL / cs.CR） 作者 / 维护者： Duong M. Nguyen、Joon Sik Kim、Blazej Manczak、Vaikkunth Mugunthan 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-03） 链接： 论文 核心内容： 论文把 Indirect Prompt Injection 表述为由环境、用户任务和注入目标共同决定的测试时搜索，并实现带有环境侦察、策略结构化推理和 victim feedback 自适应评估的攻击 Agent。实验显示增加攻击者测试时算力会提高漏洞发现与利用能力，而显式策略管理有助于避免重复搜索并在更高预算下保持收益。 与你的方向关系： 该工作直接改变 IPI 评测假设：attack success 不应被当作 victim 的预算无关属性，安全基准必须同时声明攻击 harness、反馈通道和 compute budget。 建议： 精读。适合用来重构 IPI 实验协议，并与固定攻击集、静态红队和自适应 on-policy 攻击比较，判断防御是否只是抬高搜索成本。 3. Repeat-After-Me: Black-Box Adaptive Visual Prompt Injection 类型 / 来源： 新论文｜arXiv（cs.CR / cs.AI） 作者 / 维护者： Sizhe Chen、Yu-Lin Tsai、Ivan Evtimov、Kamalika Chaudhuri、Raluca Ada Popa、David Wagner、Arman Zharmagambetov 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-03） 链接： 论文 核心内容： Repeat-After-Me 面向需要生成精确、可解析 tool call 或敏感信息的黑盒视觉注入，通过自适应优化提高攻击强度。作者报告在开放权重与商用前沿 VLM 上分别达到超过 80% 与 47% 的攻击成功率，并在默认 OpenClaw Discord 部署中演示由不可信图片覆写 tools.md、从而持久启用后续敏感行为的路径。 与你的方向关系： 该工作把 IPI 从文本网页和文档扩展到多模态输入，并与 persistent instruction、skill-file security 和 tool-use security 直接相连：一次视觉输入可改变未来会话的执行配置。 建议： 精读。优先验证其黑盒查询预算、跨 surrogate/样本迁移和 OpenClaw 持久化链路，并把结构化工具调用正确率纳入多模态 Agent 红队指标。 4. Forgetting Without Restarting: Execution-State Unlearning for Stateful LLM Agents 类型 / 来源： 新论文｜arXiv（cs.CR / cs.AI） 作者 / 维护者： Chao Yao、Yangbo Wei、Zhen Huang、Junhong Qian、Chenle Chen、Shaoqiang Lu、Chen Wu、Lei He 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 核心内容： 论文指出删除明文记忆并不会清除由其派生的 summary、pending tool plan 和 KV cache，进而形式化 execution-state unlearning：遗忘后行为应与从未观察目标信息的反事实世界一致。Provenance-Guided Selective Replay 通过定位注入点、裁剪 cache checkpoint 并重放净化后的后缀达到理论重算下界；实验中它与 full reset 不可区分，同时最多减少 9 倍重算 token。 与你的方向关系： 这是 Agent memory privacy 与信息流控制的核心结果，说明“删除记录”不是语义遗忘；Harness 必须追踪派生状态的 provenance，并对受到污染的执行后缀进行撤销或重建。 建议： 精读。其 transition-system 定义、token-level attribution 下界和 selective replay 机制可直接用于设计可撤销的长期 Agent memory 与审计语义。 5. TROVE: Adaptive Agent Skill Orchestration via Trace-Grounded Route Validation and Editing 类型 / 来源： 新论文｜arXiv（cs.AI） 作者 / 维护者： Tianxing Wang、Mingming Zhao、Shuai Huang、Huiyang Xu、Chaoyue Niu、Shengzhong Liu、Fan Wu 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 核心内容： TROVE 离线地将带评估的 workflow-search traces 蒸馏为原子/组合技能和 outcome-conditioned transition graph；在线执行时不整体重规划，而依据新证据保留有效 continuation、插入局部响应或仅替换失效后缀。跨代码生成、问答和数学推理实验显示其质量—效率权衡优于数据集级优化、逐查询架构选择和图约束调度基线。 与你的方向关系： 这是 Harness Optimization 的直接方法：它把 runtime feedback 转化为局部 controller edit，避免预先锁死完整执行结构，也为 function-level/route-level 可编辑性提供对比基线。 建议： 精读。重点比较其 suffix replacement 与你的 function-level harness edit 在搜索粒度、状态复用、回归保护和成本目标上的差异。 6. Trace2Tower: Transition-Aware EigenTrace Induction of Multi-Level Skills for LLM Agents 类型 / 来源： 新论文｜arXiv（cs.AI / cs.SE） 作者 / 维护者： Jiazheng Sun、Boyu Yang、Binhao Yuan、Mingxuan Li、Xin Peng 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 核心内容： Trace2Tower 将 step-level interaction 抽象为 canonical event，结合语义兼容性、转移动态和结果证据构图，再以 contrastive spectral decomposition 提取稳定且 success-aligned 的行为模式。模式被组织为 action template、procedural routine 与 task strategy 的动态技能层级；论文报告在 ALFWorld 达到 87.31% 成功率、平均 10.35 步和 0.26 次无效动作，在 WebShop 达到 50.67% exact success。 与你的方向关系： 它连接 execution trace、code/skill-as-memory 与 self-evolving harness，核心问题是如何把经验压缩为可重用且避免失败捷径的多层控制结构。 建议： 精读。适合比较谱分解得到的技能层级与可执行函数自然生长在可解释性、迁移能力和 failure shortcut 抑制上的差异。 7. Does Your Agent\u0026rsquo;s Memory Survive a Model Upgrade? A Controlled Study of Memory Portability 类型 / 来源： 新论文｜arXiv（cs.AI / cs.CL / cs.IR） 作者 / 维护者： Ankit Goyal、Jaideep Ray 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 核心内容： 论文在相同历史上比较 raw long context、RAG chunks、模型压缩 notes 和固定 schema knowledge graph 的跨模型迁移。固定 schema 的 KG 在 writer swap 后准确率仅变化 +0.0004±0.0020，而 NOTES 随迁移方向出现 +9.91 或 −13.28 个百分点的非对称变化；50/50 混合 embedding index 只获得完整重嵌入 11.90 点收益中的 4.96 点。 与你的方向关系： 该工作揭示 Agent memory 与具体模型、embedding space 的隐藏耦合，对持久 memory、模型升级安全和 harness 可移植性均有直接影响。 建议： 精读。重点关注固定 schema、原始证据保留和 embedding version isolation，可据此设计模型升级前后的 memory migration gate。 8. Compact-Memory LLM Agents via Online Max-Member Clustering and Atom-Aware Packing 类型 / 来源： 新论文｜arXiv（cs.AI） 作者 / 维护者： Jiahe Geng、Jinpeng Wang、Kun Yuan 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 核心内容： RSM-full 结合 cosine-gated max-member merge 写入规则与 atom-aware grouped context packer，面向约 2k–5k prompt token 的紧凑记忆区间优化质量—成本 Pareto。论文在 AMA-Bench 的 4k 预算下以 32% token 成本保留 Full-Context 83% 的质量，并通过消融把主要收益分别归因于 merge rule 与 grouped packing。 与你的方向关系： 它属于 cost-aware harness 与 Agent memory optimization：优化对象不是模型权重，而是记忆写入、聚类和上下文装配这一可执行控制面。 建议： 浏览。可将其作为 memory module 的强轻量基线，重点复核不同预算下的 Pareto 曲线以及对检索错误、语义漂移和敏感信息保留的影响。 9. TIER: Threat Implicitness Benchmark for Evaluating LLM Safety Behaviors 类型 / 来源： 新论文｜arXiv（cs.CR / cs.AI） 作者 / 维护者： Thu-Hien Trinh-Thi、Hai-Yen Vong、Thanh-Ha Ung-Dung、Tram Ho 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 核心内容： TIER 用四个风险领域、四级 threat implicitness、六类行为标签和两个独立 LLM judge，替代只看二元拒绝/成功率的安全评测。六个开放权重模型的实验显示安全行为随威胁隐含程度渐变，contextual prompt 产生最丰富的行为分布，而 jailbreak 暴露最大稳健性差距；相同 ASR 的模型也可能具有明显不同的响应模式。 与你的方向关系： 该 benchmark 适用于 jailbreak defense 与 Agent guard 的细粒度评估，可避免 Harness 优化器通过表面拒绝或不完整执行“刷高”单一安全指标。 建议： 浏览。重点检查标签定义和 judge 一致性，并考虑把行为分布而非单一 ASR 接入安全 gate 与多目标 harness 选择。 10. Trust-Aware Adaptive Disclosure for Inference Privacy Preservation in Multi-Agent Networks 类型 / 来源： 新论文｜IEEE ANTS 2026 / arXiv（cs.MA / cs.CR） 作者 / 维护者： Puspanjali Ghoshal、Tobias J. Oechtering 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 核心内容： 论文研究网络化多 Agent 共识中的 latent goal inference，并提出随 Agent 间动态信任关系调整消息披露的随机策略。实验显示该机制在维持有竞争力共识效用的同时，相较代表性基线降低了攻击者的目标推断准确率。 与你的方向关系： 它从通信级信息释放角度补充 multi-agent privacy：即使消息本身合法，共享频率和内容仍需按信任状态控制，以限制协作轨迹对内部目标的推断泄露。 建议： 收藏。当前不是专门的 LLM Agent 工作，但其 trust-conditioned disclosure policy 可作为语义信息流控制和多 Agent 消息最小化的形式化参考。 今日优先阅读 CONTINUITY：它将 Agent 安全从局部 guard 提升为跨组件的可验证 instruction-to-effect 契约，可能直接影响 capability、provenance 与最终副作用控制的系统设计。 Rethinking Indirect Prompt Injection as a Test-Time Search Problem：该工作把攻击 harness 和 compute budget 纳入 IPI 威胁模型，会改变对防御有效性和基准公平性的判断。 TROVE：其“保留有效前缀、局部插入或替换失效后缀”的执行时编辑机制，是当前 Harness Optimization 中值得与 function-level natural growth 直接对比的设计。 ","permalink":"https://lazfore.github.io/daily-paper/2026-09-08-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-09-07—2026-09-08\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期共筛选出 10 项。最明显的趋势是 Agent 安全开始从单点 guard 转向贯穿身份、来源、授权与最终 effect 的可验证契约，同时 Indirect/Visual Prompt Injection 被进一步建模为受测试时算力驱动的自适应搜索；Harness Optimization 则聚焦局部路线编辑、轨迹到技能的层级归纳及紧凑记忆。本期没有论文版本更新或项目重大更新；发现 1 个随新论文发布、包含参考实现、故障注入测试和原始结果的代码仓库，没有值得单独收录的新代码项目。\u003c/p\u003e\n\u003ch2 id=\"1-continuity-security-context-contracts-for-composable-llm-agent-controls\"\u003e1. CONTINUITY: Security-Context Contracts for Composable LLM Agent Controls\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv（cs.CR / cs.AI）· GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Chris Zheng、Geng Yang；代码由 zast-ai 维护\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2609.05269\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/zast-ai/continuity\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文将 provenance、authorization、policy、protocol adapter 与 execution control 之间丢失、放宽或重绑定安全信息的现象定义为 security-context discontinuity，并用 assume-guarantee contract、签名 root grant、transition receipt、typed release 与 effect-bound permit 串联 instruction-to-effect 路径。作者报告完整配置在 2,560 个参数化攻击实例中未提交有害外部 effect，同时完成 700 个良性任务并升级处理 200 个歧义案例；官方仓库提供参考 verifier、32 类跨层故障注入、测试、原始结果与复现实验脚本。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Agent Security、capability control 与 program semantics 的直接交叉：安全属性不再依赖单个过滤器，而被表达为跨组件、跨状态转换、直到最终副作用提交点仍可验证的契约。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点核查 consequence integrity 的形式化边界、可信计算基，以及 contract/permit 能否与 CaMeL 式信息流标签和真实工具执行器组合。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-rethinking-indirect-prompt-injection-as-a-test-time-search-problem\"\u003e2. Rethinking Indirect Prompt Injection as a Test-Time Search Problem\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv（cs.AI / cs.CL / cs.CR）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Duong M. Nguyen、Joon Sik Kim、Blazej Manczak、Vaikkunth Mugunthan\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-07（arXiv 公布；初稿提交于 2026-09-03）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2609.04495\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文把 Indirect Prompt Injection 表述为由环境、用户任务和注入目标共同决定的测试时搜索，并实现带有环境侦察、策略结构化推理和 victim feedback 自适应评估的攻击 Agent。实验显示增加攻击者测试时算力会提高漏洞发现与利用能力，而显式策略管理有助于避免重复搜索并在更高预算下保持收益。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直接改变 IPI 评测假设：attack success 不应被当作 victim 的预算无关属性，安全基准必须同时声明攻击 harness、反馈通道和 compute budget。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。适合用来重构 IPI 实验协议，并与固定攻击集、静态红队和自适应 on-policy 攻击比较，判断防御是否只是抬高搜索成本。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-repeat-after-me-black-box-adaptive-visual-prompt-injection\"\u003e3. Repeat-After-Me: Black-Box Adaptive Visual Prompt Injection\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv（cs.CR / cs.AI）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Sizhe Chen、Yu-Lin Tsai、Ivan Evtimov、Kamalika Chaudhuri、Raluca Ada Popa、David Wagner、Arman Zharmagambetov\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-07（arXiv 公布；初稿提交于 2026-09-03）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2609.04533\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e Repeat-After-Me 面向需要生成精确、可解析 tool call 或敏感信息的黑盒视觉注入，通过自适应优化提高攻击强度。作者报告在开放权重与商用前沿 VLM 上分别达到超过 80% 与 47% 的攻击成功率，并在默认 OpenClaw Discord 部署中演示由不可信图片覆写 \u003ccode\u003etools.md\u003c/code\u003e、从而持久启用后续敏感行为的路径。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作把 IPI 从文本网页和文档扩展到多模态输入，并与 persistent instruction、skill-file security 和 tool-use security 直接相连：一次视觉输入可改变未来会话的执行配置。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。优先验证其黑盒查询预算、跨 surrogate/样本迁移和 OpenClaw 持久化链路，并把结构化工具调用正确率纳入多模态 Agent 红队指标。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-forgetting-without-restarting-execution-state-unlearning-for-stateful-llm-agents\"\u003e4. Forgetting Without Restarting: Execution-State Unlearning for Stateful LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv（cs.CR / cs.AI）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Chao Yao、Yangbo Wei、Zhen Huang、Junhong Qian、Chenle Chen、Shaoqiang Lu、Chen Wu、Lei He\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2609.04875\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文指出删除明文记忆并不会清除由其派生的 summary、pending tool plan 和 KV cache，进而形式化 execution-state unlearning：遗忘后行为应与从未观察目标信息的反事实世界一致。Provenance-Guided Selective Replay 通过定位注入点、裁剪 cache checkpoint 并重放净化后的后缀达到理论重算下界；实验中它与 full reset 不可区分，同时最多减少 9 倍重算 token。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Agent memory privacy 与信息流控制的核心结果，说明“删除记录”不是语义遗忘；Harness 必须追踪派生状态的 provenance，并对受到污染的执行后缀进行撤销或重建。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。其 transition-system 定义、token-level attribution 下界和 selective replay 机制可直接用于设计可撤销的长期 Agent memory 与审计语义。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-trove-adaptive-agent-skill-orchestration-via-trace-grounded-route-validation-and-editing\"\u003e5. TROVE: Adaptive Agent Skill Orchestration via Trace-Grounded Route Validation and Editing\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv（cs.AI）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Tianxing Wang、Mingming Zhao、Shuai Huang、Huiyang Xu、Chaoyue Niu、Shengzhong Liu、Fan Wu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2609.05019\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e TROVE 离线地将带评估的 workflow-search traces 蒸馏为原子/组合技能和 outcome-conditioned transition graph；在线执行时不整体重规划，而依据新证据保留有效 continuation、插入局部响应或仅替换失效后缀。跨代码生成、问答和数学推理实验显示其质量—效率权衡优于数据集级优化、逐查询架构选择和图约束调度基线。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Harness Optimization 的直接方法：它把 runtime feedback 转化为局部 controller edit，避免预先锁死完整执行结构，也为 function-level/route-level 可编辑性提供对比基线。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较其 suffix replacement 与你的 function-level harness edit 在搜索粒度、状态复用、回归保护和成本目标上的差异。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-trace2tower-transition-aware-eigentrace-induction-of-multi-level-skills-for-llm-agents\"\u003e6. Trace2Tower: Transition-Aware EigenTrace Induction of Multi-Level Skills for LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv（cs.AI / cs.SE）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jiazheng Sun、Boyu Yang、Binhao Yuan、Mingxuan Li、Xin Peng\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2609.05261\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e Trace2Tower 将 step-level interaction 抽象为 canonical event，结合语义兼容性、转移动态和结果证据构图，再以 contrastive spectral decomposition 提取稳定且 success-aligned 的行为模式。模式被组织为 action template、procedural routine 与 task strategy 的动态技能层级；论文报告在 ALFWorld 达到 87.31% 成功率、平均 10.35 步和 0.26 次无效动作，在 WebShop 达到 50.67% exact success。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它连接 execution trace、code/skill-as-memory 与 self-evolving harness，核心问题是如何把经验压缩为可重用且避免失败捷径的多层控制结构。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。适合比较谱分解得到的技能层级与可执行函数自然生长在可解释性、迁移能力和 failure shortcut 抑制上的差异。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-does-your-agents-memory-survive-a-model-upgrade-a-controlled-study-of-memory-portability\"\u003e7. Does Your Agent\u0026rsquo;s Memory Survive a Model Upgrade? A Controlled Study of Memory Portability\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv（cs.AI / cs.CL / cs.IR）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Ankit Goyal、Jaideep Ray\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2609.05339\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文在相同历史上比较 raw long context、RAG chunks、模型压缩 notes 和固定 schema knowledge graph 的跨模型迁移。固定 schema 的 KG 在 writer swap 后准确率仅变化 +0.0004±0.0020，而 NOTES 随迁移方向出现 +9.91 或 −13.28 个百分点的非对称变化；50/50 混合 embedding index 只获得完整重嵌入 11.90 点收益中的 4.96 点。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作揭示 Agent memory 与具体模型、embedding space 的隐藏耦合，对持久 memory、模型升级安全和 harness 可移植性均有直接影响。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点关注固定 schema、原始证据保留和 embedding version isolation，可据此设计模型升级前后的 memory migration gate。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-compact-memory-llm-agents-via-online-max-member-clustering-and-atom-aware-packing\"\u003e8. Compact-Memory LLM Agents via Online Max-Member Clustering and Atom-Aware Packing\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv（cs.AI）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jiahe Geng、Jinpeng Wang、Kun Yuan\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2609.04915\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e RSM-full 结合 cosine-gated max-member merge 写入规则与 atom-aware grouped context packer，面向约 2k–5k prompt token 的紧凑记忆区间优化质量—成本 Pareto。论文在 AMA-Bench 的 4k 预算下以 32% token 成本保留 Full-Context 83% 的质量，并通过消融把主要收益分别归因于 merge rule 与 grouped packing。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它属于 cost-aware harness 与 Agent memory optimization：优化对象不是模型权重，而是记忆写入、聚类和上下文装配这一可执行控制面。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。可将其作为 memory module 的强轻量基线，重点复核不同预算下的 Pareto 曲线以及对检索错误、语义漂移和敏感信息保留的影响。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-tier-threat-implicitness-benchmark-for-evaluating-llm-safety-behaviors\"\u003e9. TIER: Threat Implicitness Benchmark for Evaluating LLM Safety Behaviors\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv（cs.CR / cs.AI）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Thu-Hien Trinh-Thi、Hai-Yen Vong、Thanh-Ha Ung-Dung、Tram Ho\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2609.05117\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e TIER 用四个风险领域、四级 threat implicitness、六类行为标签和两个独立 LLM judge，替代只看二元拒绝/成功率的安全评测。六个开放权重模型的实验显示安全行为随威胁隐含程度渐变，contextual prompt 产生最丰富的行为分布，而 jailbreak 暴露最大稳健性差距；相同 ASR 的模型也可能具有明显不同的响应模式。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该 benchmark 适用于 jailbreak defense 与 Agent guard 的细粒度评估，可避免 Harness 优化器通过表面拒绝或不完整执行“刷高”单一安全指标。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。重点检查标签定义和 judge 一致性，并考虑把行为分布而非单一 ASR 接入安全 gate 与多目标 harness 选择。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"10-trust-aware-adaptive-disclosure-for-inference-privacy-preservation-in-multi-agent-networks\"\u003e10. Trust-Aware Adaptive Disclosure for Inference Privacy Preservation in Multi-Agent Networks\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜IEEE ANTS 2026 / arXiv（cs.MA / cs.CR）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Puspanjali Ghoshal、Tobias J. Oechtering\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-07（arXiv 公布；初稿提交于 2026-09-04）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2609.05340\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文研究网络化多 Agent 共识中的 latent goal inference，并提出随 Agent 间动态信任关系调整消息披露的随机策略。实验显示该机制在维持有竞争力共识效用的同时，相较代表性基线降低了攻击者的目标推断准确率。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它从通信级信息释放角度补充 multi-agent privacy：即使消息本身合法，共享频率和内容仍需按信任状态控制，以限制协作轨迹对内部目标的推断泄露。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e收藏\u003c/strong\u003e。当前不是专门的 LLM Agent 工作，但其 trust-conditioned disclosure policy 可作为语义信息流控制和多 Agent 消息最小化的形式化参考。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003col\u003e\n\u003cli\u003e\u003cstrong\u003eCONTINUITY\u003c/strong\u003e：它将 Agent 安全从局部 guard 提升为跨组件的可验证 instruction-to-effect 契约，可能直接影响 capability、provenance 与最终副作用控制的系统设计。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003eRethinking Indirect Prompt Injection as a Test-Time Search Problem\u003c/strong\u003e：该工作把攻击 harness 和 compute budget 纳入 IPI 威胁模型，会改变对防御有效性和基准公平性的判断。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003eTROVE\u003c/strong\u003e：其“保留有效前缀、局部插入或替换失效后缀”的执行时编辑机制，是当前 Harness Optimization 中值得与 function-level natural growth 直接对比的设计。\u003c/li\u003e\n\u003c/ol\u003e","title":"2026-09-08 热点论文推送"},{"content":" 本期检索范围： 2026-09-01—2026-09-02\n本期共筛选出 10 项。最明显的趋势是 Agent 安全边界进一步下沉到 harness 层的能力约束、恢复语义与委托证明；攻击研究则开始系统利用长轨迹、代码仓库配置、长期记忆和知识工具。本期没有论文版本更新或项目重大更新，也未发现经核实后值得单独收录的新代码项目。\n1. Reachability-Based Capability Confinement for LLM Agents under Indirect Prompt Injection 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Wujie Xiong、Rabimba Karanjai、Yang Lu、Weidong Shi、Lei Xu 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-30） 链接： 论文 核心内容： 论文提出 harness 层执行机制 SkillGuard：一旦外部技能输出污染 Agent 状态，系统便利用 Skill Impact Graph、参数可操纵性签名和内联 reference monitor，限制后续可达能力，使受污染状态无法抵达部署者定义的禁止状态。其分数流限制在 AgentDojo 的 Tool Knowledge 攻击中令两个后端在四个套件中的三个实现零攻击成功，Slack 场景降至 4.8% 和 14.3%，且不增加模型调用或 token 开销。 与你的方向关系： 这是 Agent Security、indirect prompt injection、capability control 与 Harness Optimization 的直接交叉：防御目标从“识别恶意内容”转为在状态污染后动态收缩未来权限。 建议： 精读。重点核对技能摘要与策略完备性的假设，以及 fractional-flow 限制相较二元撤权如何保留良性能力。 2. Beyond the Payload: How User Invocation Shapes Coding Agent Vulnerability to Repository Poisoning 类型 / 来源： 新论文｜EMNLP 2026 Main Conference · arXiv 作者 / 维护者： Fukang Zhu、Binbin Zhao、Ruixiao Lin、Ping He、Tianyu Du、Shouling Ji 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31） 链接： 论文 核心内容： 论文提出 CIPR 基准，以 20 个真实仓库的 1,920 个实例系统改变任务类型、提示表达以及 skill/rule 条件，研究用户侧 Prompt-Level Configurations 如何改变仓库投毒风险。实验发现任务类型可造成最高 4.5 倍攻击成功率差异，测试执行任务尤其呈现“高攻击成功、低告警”的静默攻击面；欠明确和噪声提示还会通过改变执行深度或恶意内容显著性间接改变风险。 与你的方向关系： 该工作直接覆盖 coding-agent security、repository / persistent instruction poisoning 与 harness 配置安全，说明脆弱性不是固定模型属性，而是用户调用方式、规则文件和执行路径共同产生的结果。 建议： 精读。CIPR 很适合用于检验代码 Agent 的安全评测是否覆盖任务类型和规则配置变量，尤其应关注测试命令这一高风险入口。 3. ECLIPSE: Self-Evolving Stealthy Prompt Injection Attack against Long-Horizon Agentic Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Shiqian Zhao、Yangfan Zhou、Xinfeng Li、Runyi Hu、Yechao Zhang、Yi Xie、Tianwei Zhang、Luu Anh Tuan 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31） 链接： 论文 核心内容： ECLIPSE 先在沙箱中生成并反复验证攻击工具链，再把已验证轨迹渲染成自然的一次性直接提示，并通过工具描述中的静态工作流编码及偏航时的动态纠正信号，将计划迁移到目标环境。配套 LASE-Bench 含 120 个恶意任务和 198 个独特工具，96.7% 的任务至少调用五次工具；攻击在无防御时最高成功率 96.7%，在常见安全过滤器下仍达 69.2%。 与你的方向关系： 工作覆盖 Prompt Injection、tool-use security 与 self-evolving attacks，突出长轨迹 Agent 中局部看似正常、整体却实现恶意目标的组合风险。 建议： 精读。应把 LASE-Bench 作为长程防御的压力测试，并比较静态工具描述投毒和运行时纠偏分别贡献了多少攻击收益。 4. Safe to Resume? Breaking Execution Continuity of Agent Execution via Rollback 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Guanlong Wu、Dahui Li、Ke Jiang、Jianyu Niu、Cong Wang、Yinqian Zhang 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-29） 链接： 论文 核心内容： 论文首次系统研究 Agent checkpoint / rollback 的安全问题，指出正确恢复字节并不保证恢复后的内部状态、外部依赖和副作用曾共同存在于某条合法历史中。作者归纳五类失败模式，并在 Hermes、Cline 与 LangGraph 上实现恶意软件验证绕过、未授权邮件转发和双重支付；对五个代表性框架的分析显示，根因普遍是检查点覆盖范围与安全继续执行所需依赖不一致。 与你的方向关系： 这直接关联 persistent agents、Harness Optimization 与 Agent Security，把恢复机制从可靠性功能提升为需要事务语义、外部效应日志和安全再验证的攻击面。 建议： 精读。优先检查五类失败条件能否映射到你的 Agent 状态机，并据此设计恢复前置条件、幂等工具和不可回滚外部效应的补偿协议。 5. Extracting Knowledge from Tools in LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Chuanchao Zang、Jianing Wang、Wenyu Chen、Xiangtao Meng、Li Wang、Xinyu Gao、Yingkai Dong、Zheng Li、Shanqing Guo 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31） 链接： 论文 核心内容： 论文提出 query-only 攻击 ToolSiphon，通过 Tool Contrastive Analysis 提高目标工具被选择的概率，并以 Evidence Chained Feedback 缓解工具参数对细粒度查询的压缩，逐步重建工具背后的文件、数据库或索引内容。在三类知识工具和六个领域数据集上，已知非目标工具粗粒度信息时平均恢复 74.3% 的源记录；未知时仍恢复 66.3%，且攻击对代表性防御和三个真实 Agent 平台保持有效。 与你的方向关系： 该工作直击 tool-use security、LLM privacy 与语义数据外泄，说明即使单次响应合规，长期自适应查询仍可能抽取受保护知识源。 建议： 精读。值得将其与查询预算、差分隐私、响应去重和跨轮泄露记账机制对照，评估工具接口的累计隐私损失。 6. Understanding Stage-Wise Utility-Risk Trade-offs in LLM Agent Memory 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Chuanchao Zang、Zijian Cao、Xiangtao Meng、Jianing Wang、Wenyu Chen、Xinyu Gao、Li Wang、Zheng Li、Shanqing Guo 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31） 链接： 论文 核心内容： MemGauge 在匹配的干净与投毒条件下，分别控制记忆写入准入、管理策略和检索暴露，从而测量阶段级效用—风险关系。对 11 个 LLM、两个长期记忆基准及四种现有记忆系统的结果显示：写入阶段存在阈值式风险跃迁，管理阶段可出现依赖策略的局部解耦，而检索阶段的效用与风险往往同步增长。 与你的方向关系： 这直接服务 agent memory poisoning、persistent memory security 与 Harness Optimization，提供了比单一端到端分数更可操作的阶段化诊断方式。 建议： 精读。重点利用其三阶段控制变量判断安全预算应投入写入过滤、记忆重写还是检索暴露限制，而不是为整个记忆模块设置统一阈值。 7. SIR: Self-improving Red-teaming for Compute Use Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Chen Xiong、Zhiyuan He、Pin-Yu Chen、Stjepan Picek、Tsung-Yi Ho 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31） 链接： 论文 核心内容： SIR 面向操作系统级 computer-use agents，以少量可复用的自然语言原则组合隐蔽 IPI，再从受害者失败轨迹中诊断绕过方式、沉淀新策略并跨任务复用。其确定性判定器直接检查文件系统、服务和权限状态；自改进循环把 Claude Opus 4.8 的攻击成功率从 4% 提至 24%，把 Gemini 3.5 Flash 从 0% 提至 28%，且发现的原则可跨模型架构迁移。 与你的方向关系： 工作连接 indirect prompt injection、self-improving agents 与 CUA 安全评测，展示攻击 harness 如何从执行反馈中持续积累可迁移策略。 建议： 精读。建议关注确定性 oracle、策略库增长和跨模型迁移，因为它们比一次性攻击提示更接近持续红队系统。 8. Influence Is Not Authority: When Causal Guardrail Signals Make Legitimate Tool Use Look Like an Attack in Tool-Using LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Tanzim Ahad、Ismail Hossain、Md Jahangir Alam、Sai Puppala、Syed Bahauddin Alam、Sajedul Talukder 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-30） 链接： 论文 核心内容： 论文用 24 个基础案例衍生的 96 个条件审计 influence-based guardrails，在授权、动作和预期效果不变时，仅把必要值从用户输入移到合法工具结果。所有 24 个配对案例在 Llama 与 Gemma 评分器上都向攻击区域偏移；语义监控器虽将攻击成功率降为 0%，效用却只有 28%，而 shadow guardrail 又让 57.5% 未授权运行在后续安全检查前自动通过。 与你的方向关系： 这说明因果影响并不等于权限来源，直接挑战 Agent Security 中基于信息影响度的 guardrail，并支持把 authorization 与 provenance 放入外部 harness 策略。 建议： 精读。最值得比较的是 influence signal、来源认证和用户授权三者的可分离性，避免把“使用了工具数据”误当作恶意行为代理变量。 9. The Fragility of Jailbreak Robustness Across Operational States 类型 / 来源： 新论文｜Findings of EMNLP 2026 · arXiv 作者 / 维护者： Yuna Park、Hwang Youn Kim、Yujin Kim、Won Woo Ro、Suhyun Kim、Jae-In Hwang 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31） 链接： 论文 核心内容： 论文在七个对齐模型和三种代表性 jailbreak 攻击上，只改变普通、并非为影响安全而设计的 system prompt，以测试 operational state 对鲁棒性的影响。某一案例的攻击成功率仅因状态变化便从 2% 升至 58%；这种变化与拒绝相关表示轴上的隐藏状态差异系统相关，且该轴投影可强预测 jailbreak 结果。 与你的方向关系： 该工作覆盖 jailbreak defense 与 LLM Security，也说明真实 Agent harness 的 system prompt、角色配置和运行模式会改变安全结论，单一 vanilla 配置不足以代表部署风险。 建议： 浏览。适合据此扩展安全评测矩阵，将业务 system prompt、工具模式和对话状态纳入同一攻击基准。 10. Attesting Outputs and Delegation Ancestry in Multi-Agent AI Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Lifei Liu、Haoran Yu 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31） 链接： 论文 核心内容： 论文提出双层证明：可信部署运行时签名已释放输出的哈希，委托祖先证据则记录跨部署边的授权，并比较签名链表、Merkle-chain 和双方共签 DAG。子密钥泄露时，单签设计允许伪造父绑定，而共签 DAG 会拒绝；本地 30 个任务和跨三个可用区的 1,000 条有效路径均完成验证，云端平均签发与完整验证分别为 3.651 毫秒和 5.015 毫秒（不含 TLS、KMS 与模型服务延迟）。 与你的方向关系： 这直接覆盖 multi-agent security、delegation control 与可审计 harness，为动态发现的 A2A / MCP 调用链提供输出归属和授权祖先证明，但不声称阻止 prompt injection。 建议： 浏览。重点评估共签 DAG 的密钥生命周期、撤销和跨组织信任假设，以及它与运行时策略执行如何组合。 今日优先阅读 优先阅读 Reachability-Based Capability Confinement、Beyond the Payload 与 Safe to Resume?。三者分别把安全边界落到污染后的动态能力收缩、用户调用配置造成的仓库投毒差异，以及恢复后执行历史的一致性；它们共同影响 Agent harness 应如何建模权限、状态与外部副作用，而不仅是如何过滤输入文本。\n","permalink":"https://lazfore.github.io/daily-paper/2026-09-02-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-09-01—2026-09-02\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期共筛选出 10 项。最明显的趋势是 Agent 安全边界进一步下沉到 harness 层的能力约束、恢复语义与委托证明；攻击研究则开始系统利用长轨迹、代码仓库配置、长期记忆和知识工具。本期没有论文版本更新或项目重大更新，也未发现经核实后值得单独收录的新代码项目。\u003c/p\u003e\n\u003ch2 id=\"1-reachability-based-capability-confinement-for-llm-agents-under-indirect-prompt-injection\"\u003e1. Reachability-Based Capability Confinement for LLM Agents under Indirect Prompt Injection\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Wujie Xiong、Rabimba Karanjai、Yang Lu、Weidong Shi、Lei Xu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-01（arXiv 公布；初稿提交于 2026-08-30）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.30041\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文提出 harness 层执行机制 SkillGuard：一旦外部技能输出污染 Agent 状态，系统便利用 Skill Impact Graph、参数可操纵性签名和内联 reference monitor，限制后续可达能力，使受污染状态无法抵达部署者定义的禁止状态。其分数流限制在 AgentDojo 的 Tool Knowledge 攻击中令两个后端在四个套件中的三个实现零攻击成功，Slack 场景降至 4.8% 和 14.3%，且不增加模型调用或 token 开销。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Agent Security、indirect prompt injection、capability control 与 Harness Optimization 的直接交叉：防御目标从“识别恶意内容”转为在状态污染后动态收缩未来权限。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点核对技能摘要与策略完备性的假设，以及 fractional-flow 限制相较二元撤权如何保留良性能力。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-beyond-the-payload-how-user-invocation-shapes-coding-agent-vulnerability-to-repository-poisoning\"\u003e2. Beyond the Payload: How User Invocation Shapes Coding Agent Vulnerability to Repository Poisoning\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜EMNLP 2026 Main Conference · arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Fukang Zhu、Binbin Zhao、Ruixiao Lin、Ping He、Tianyu Du、Shouling Ji\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-01（arXiv 公布；初稿提交于 2026-08-31）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.30686\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文提出 CIPR 基准，以 20 个真实仓库的 1,920 个实例系统改变任务类型、提示表达以及 skill/rule 条件，研究用户侧 Prompt-Level Configurations 如何改变仓库投毒风险。实验发现任务类型可造成最高 4.5 倍攻击成功率差异，测试执行任务尤其呈现“高攻击成功、低告警”的静默攻击面；欠明确和噪声提示还会通过改变执行深度或恶意内容显著性间接改变风险。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直接覆盖 coding-agent security、repository / persistent instruction poisoning 与 harness 配置安全，说明脆弱性不是固定模型属性，而是用户调用方式、规则文件和执行路径共同产生的结果。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。CIPR 很适合用于检验代码 Agent 的安全评测是否覆盖任务类型和规则配置变量，尤其应关注测试命令这一高风险入口。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-eclipse-self-evolving-stealthy-prompt-injection-attack-against-long-horizon-agentic-systems\"\u003e3. ECLIPSE: Self-Evolving Stealthy Prompt Injection Attack against Long-Horizon Agentic Systems\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Shiqian Zhao、Yangfan Zhou、Xinfeng Li、Runyi Hu、Yechao Zhang、Yi Xie、Tianwei Zhang、Luu Anh Tuan\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-01（arXiv 公布；初稿提交于 2026-08-31）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.30441\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e ECLIPSE 先在沙箱中生成并反复验证攻击工具链，再把已验证轨迹渲染成自然的一次性直接提示，并通过工具描述中的静态工作流编码及偏航时的动态纠正信号，将计划迁移到目标环境。配套 LASE-Bench 含 120 个恶意任务和 198 个独特工具，96.7% 的任务至少调用五次工具；攻击在无防御时最高成功率 96.7%，在常见安全过滤器下仍达 69.2%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 工作覆盖 Prompt Injection、tool-use security 与 self-evolving attacks，突出长轨迹 Agent 中局部看似正常、整体却实现恶意目标的组合风险。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。应把 LASE-Bench 作为长程防御的压力测试，并比较静态工具描述投毒和运行时纠偏分别贡献了多少攻击收益。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-safe-to-resume-breaking-execution-continuity-of-agent-execution-via-rollback\"\u003e4. Safe to Resume? Breaking Execution Continuity of Agent Execution via Rollback\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Guanlong Wu、Dahui Li、Ke Jiang、Jianyu Niu、Cong Wang、Yinqian Zhang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-01（arXiv 公布；初稿提交于 2026-08-29）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.29381\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文首次系统研究 Agent checkpoint / rollback 的安全问题，指出正确恢复字节并不保证恢复后的内部状态、外部依赖和副作用曾共同存在于某条合法历史中。作者归纳五类失败模式，并在 Hermes、Cline 与 LangGraph 上实现恶意软件验证绕过、未授权邮件转发和双重支付；对五个代表性框架的分析显示，根因普遍是检查点覆盖范围与安全继续执行所需依赖不一致。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这直接关联 persistent agents、Harness Optimization 与 Agent Security，把恢复机制从可靠性功能提升为需要事务语义、外部效应日志和安全再验证的攻击面。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。优先检查五类失败条件能否映射到你的 Agent 状态机，并据此设计恢复前置条件、幂等工具和不可回滚外部效应的补偿协议。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-extracting-knowledge-from-tools-in-llm-agents\"\u003e5. Extracting Knowledge from Tools in LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Chuanchao Zang、Jianing Wang、Wenyu Chen、Xiangtao Meng、Li Wang、Xinyu Gao、Yingkai Dong、Zheng Li、Shanqing Guo\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-01（arXiv 公布；初稿提交于 2026-08-31）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.30288\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文提出 query-only 攻击 ToolSiphon，通过 Tool Contrastive Analysis 提高目标工具被选择的概率，并以 Evidence Chained Feedback 缓解工具参数对细粒度查询的压缩，逐步重建工具背后的文件、数据库或索引内容。在三类知识工具和六个领域数据集上，已知非目标工具粗粒度信息时平均恢复 74.3% 的源记录；未知时仍恢复 66.3%，且攻击对代表性防御和三个真实 Agent 平台保持有效。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直击 tool-use security、LLM privacy 与语义数据外泄，说明即使单次响应合规，长期自适应查询仍可能抽取受保护知识源。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。值得将其与查询预算、差分隐私、响应去重和跨轮泄露记账机制对照，评估工具接口的累计隐私损失。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-understanding-stage-wise-utility-risk-trade-offs-in-llm-agent-memory\"\u003e6. Understanding Stage-Wise Utility-Risk Trade-offs in LLM Agent Memory\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Chuanchao Zang、Zijian Cao、Xiangtao Meng、Jianing Wang、Wenyu Chen、Xinyu Gao、Li Wang、Zheng Li、Shanqing Guo\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-01（arXiv 公布；初稿提交于 2026-08-31）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.30177\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e MemGauge 在匹配的干净与投毒条件下，分别控制记忆写入准入、管理策略和检索暴露，从而测量阶段级效用—风险关系。对 11 个 LLM、两个长期记忆基准及四种现有记忆系统的结果显示：写入阶段存在阈值式风险跃迁，管理阶段可出现依赖策略的局部解耦，而检索阶段的效用与风险往往同步增长。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这直接服务 agent memory poisoning、persistent memory security 与 Harness Optimization，提供了比单一端到端分数更可操作的阶段化诊断方式。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点利用其三阶段控制变量判断安全预算应投入写入过滤、记忆重写还是检索暴露限制，而不是为整个记忆模块设置统一阈值。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-sir-self-improving-red-teaming-for-compute-use-agents\"\u003e7. SIR: Self-improving Red-teaming for Compute Use Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Chen Xiong、Zhiyuan He、Pin-Yu Chen、Stjepan Picek、Tsung-Yi Ho\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-01（arXiv 公布；初稿提交于 2026-08-31）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.30207\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SIR 面向操作系统级 computer-use agents，以少量可复用的自然语言原则组合隐蔽 IPI，再从受害者失败轨迹中诊断绕过方式、沉淀新策略并跨任务复用。其确定性判定器直接检查文件系统、服务和权限状态；自改进循环把 Claude Opus 4.8 的攻击成功率从 4% 提至 24%，把 Gemini 3.5 Flash 从 0% 提至 28%，且发现的原则可跨模型架构迁移。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 工作连接 indirect prompt injection、self-improving agents 与 CUA 安全评测，展示攻击 harness 如何从执行反馈中持续积累可迁移策略。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。建议关注确定性 oracle、策略库增长和跨模型迁移，因为它们比一次性攻击提示更接近持续红队系统。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-influence-is-not-authority-when-causal-guardrail-signals-make-legitimate-tool-use-look-like-an-attack-in-tool-using-llm-agents\"\u003e8. Influence Is Not Authority: When Causal Guardrail Signals Make Legitimate Tool Use Look Like an Attack in Tool-Using LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Tanzim Ahad、Ismail Hossain、Md Jahangir Alam、Sai Puppala、Syed Bahauddin Alam、Sajedul Talukder\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-01（arXiv 公布；初稿提交于 2026-08-30）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.29942\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文用 24 个基础案例衍生的 96 个条件审计 influence-based guardrails，在授权、动作和预期效果不变时，仅把必要值从用户输入移到合法工具结果。所有 24 个配对案例在 Llama 与 Gemma 评分器上都向攻击区域偏移；语义监控器虽将攻击成功率降为 0%，效用却只有 28%，而 shadow guardrail 又让 57.5% 未授权运行在后续安全检查前自动通过。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这说明因果影响并不等于权限来源，直接挑战 Agent Security 中基于信息影响度的 guardrail，并支持把 authorization 与 provenance 放入外部 harness 策略。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。最值得比较的是 influence signal、来源认证和用户授权三者的可分离性，避免把“使用了工具数据”误当作恶意行为代理变量。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-the-fragility-of-jailbreak-robustness-across-operational-states\"\u003e9. The Fragility of Jailbreak Robustness Across Operational States\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜Findings of EMNLP 2026 · arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yuna Park、Hwang Youn Kim、Yujin Kim、Won Woo Ro、Suhyun Kim、Jae-In Hwang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-01（arXiv 公布；初稿提交于 2026-08-31）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.30748\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文在七个对齐模型和三种代表性 jailbreak 攻击上，只改变普通、并非为影响安全而设计的 system prompt，以测试 operational state 对鲁棒性的影响。某一案例的攻击成功率仅因状态变化便从 2% 升至 58%；这种变化与拒绝相关表示轴上的隐藏状态差异系统相关，且该轴投影可强预测 jailbreak 结果。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作覆盖 jailbreak defense 与 LLM Security，也说明真实 Agent harness 的 system prompt、角色配置和运行模式会改变安全结论，单一 vanilla 配置不足以代表部署风险。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。适合据此扩展安全评测矩阵，将业务 system prompt、工具模式和对话状态纳入同一攻击基准。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"10-attesting-outputs-and-delegation-ancestry-in-multi-agent-ai-systems\"\u003e10. Attesting Outputs and Delegation Ancestry in Multi-Agent AI Systems\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Lifei Liu、Haoran Yu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-09-01（arXiv 公布；初稿提交于 2026-08-31）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.30387\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文提出双层证明：可信部署运行时签名已释放输出的哈希，委托祖先证据则记录跨部署边的授权，并比较签名链表、Merkle-chain 和双方共签 DAG。子密钥泄露时，单签设计允许伪造父绑定，而共签 DAG 会拒绝；本地 30 个任务和跨三个可用区的 1,000 条有效路径均完成验证，云端平均签发与完整验证分别为 3.651 毫秒和 5.015 毫秒（不含 TLS、KMS 与模型服务延迟）。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这直接覆盖 multi-agent security、delegation control 与可审计 harness，为动态发现的 A2A / MCP 调用链提供输出归属和授权祖先证明，但不声称阻止 prompt injection。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。重点评估共签 DAG 的密钥生命周期、撤销和跨组织信任假设，以及它与运行时策略执行如何组合。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 \u003cstrong\u003eReachability-Based Capability Confinement\u003c/strong\u003e、\u003cstrong\u003eBeyond the Payload\u003c/strong\u003e 与 \u003cstrong\u003eSafe to Resume?\u003c/strong\u003e。三者分别把安全边界落到污染后的动态能力收缩、用户调用配置造成的仓库投毒差异，以及恢复后执行历史的一致性；它们共同影响 Agent harness 应如何建模权限、状态与外部副作用，而不仅是如何过滤输入文本。\u003c/p\u003e","title":"2026-09-02 热点论文推送"},{"content":" 本期检索范围： 2026-08-31—2026-09-01\n本期共筛选出 9 项。最明显的趋势是研究重心从“让模型识别恶意指令”转向可验证的外部策略执行、来源追踪和能力门控，同时长上下文注入、恶意工具泄露与自适应防御成为新的评测重点。本期没有论文版本更新或项目重大更新；发现 ROPE、CAITLYN 与 CamoDocs 三个值得单独跟进的新代码仓库，均已与对应论文合并收录。\n1. Recognition Without Enforcement: Configuration-Dependent Failures in LLM Agent Instruction Arbitration and External Control 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jun Wen Leong 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 核心内容： 论文区分了对伪造权威的“识别”与在工具执行阶段真正“强制拒绝”之间的缺口：模型可以解码来源特征并指出冲突，却仍会在部分配置中发起工具调用。作者在多供应商实验中定位到可复现的失败单元，并实现由认证来源路由、能力门控工具与外部 reference monitor 组成的控制面；该控制面拒绝了实验中的伪造、篡改、重放与未签名请求，且自适应红队发现的一处时钟偏差缺陷随后得到修补。 与你的方向关系： 这直接连接 Agent Security、Prompt Injection 与 capability / permission control，说明仅靠模型内 instruction hierarchy 不能构成可靠安全边界；对 harness 设计而言，关键比较对象应是外部强制机制，而不只是模型是否“看懂”攻击。 建议： 精读。优先核对识别—执行错位的测量方法、配置敏感性，以及 reference monitor 的信任假设和重放防护。 2. ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection 类型 / 来源： 新论文 + 新代码仓库｜arXiv · GitHub 作者 / 维护者： Xinhang Ma、Chaowei Xiao、William Yeoh、Ning Zhang、Yevgeniy Vorobeychik 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-27） 链接： 论文 · 代码 核心内容： ROPE 把敏感工具参数的准入绑定到不可伪造的来源：值必须可追溯到用户、用户明确指定的来源或用户的权威记录；执行时由确定性的来源检查器判定，LLM 只处理不受攻击者控制的可信用户请求。论文给出来源安全与改写不变性的保证，并在四种 Agent 模型上将攻击成功率控制在 1.6%–2.6%，同时保留未防御系统 82%–100% 的干净任务效用；官方仓库提供实现与实验日志。 与你的方向关系： 这是 indirect prompt injection、information-flow control 与 tool-use security 的直接交叉点，也为 Agent harness 中“参数级 provenance + 外部执行策略”提供了可实现基线。 建议： 精读。重点比较其来源标签传播、敏感参数审计范围与长轨迹下的完整性假设，并尝试复现实用性—安全性的权衡。 3. ContextLeak: Exfiltrating LLM Agent Context via Malicious Tools 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yuqi Jia、Ruiqi Wang、Patrick Li、Yuepeng Hu、Peinian Li、Neil Zhenqiang Gong 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 核心内容： ContextLeak 研究恶意工具如何同时诱导 Agent 选择该工具，并把用户提示、执行轨迹和工具列表等运行时上下文作为参数交给它。方法用攻击 LLM 生成工具名称与描述，再基于多样化影子用户上下文进行强化学习微调和专用泄露奖励优化；论文报告该攻击在影子用户与受害者分布明显不同时仍有效，并优于为该场景改造的既有恶意工具攻击。 与你的方向关系： 工作直击 tool-use security、Agent privacy 与上下文外泄，补足了恶意工具研究中常被忽略的“敏感上下文如何进入工具参数”这一环。 建议： 精读。建议把其威胁模型与工具 schema、参数最小化、污点追踪及出站网络控制逐项对照，评估现有 harness 的真实泄露面。 4. CAITLYN: Can LLM Agents Autonomously Synthesize Defenses against Emerging Injection Attacks? 类型 / 来源： 新论文 + 新代码仓库｜arXiv · GitHub 作者 / 维护者： Zi Liang、Xiaoyu Xu、Yanyun Wang、Minxin Du、Qingqing Ye、Haibo Hu 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 · 代码 核心内容： CAITLYN 采用双系统防御：System I 以低成本规则脚本和按需 LLM 检查分层处理常见攻击，System II 监测异常并自动合成、验证和保留新的防御技能。论文报告其在标准基准上以较低 token 开销达到有竞争力的效果，并在新建 Emerging 基准上显著降低三种 Agent 的攻击成功率；官方仓库含可运行中间件、防御技能库、攻击实现、Agent 集成与评测代码。 与你的方向关系： 它同时覆盖 Prompt Injection、self-improving agents 与 cost-aware harness optimization，把防御从静态过滤器提升为可持续更新的执行组件。 建议： 精读。最值得验证的是自动生成防御的准入测试、失败回滚与技能污染风险，以及两层检查的成本—覆盖率曲线。 5. LongPIBench: A Long-Context Benchmark for Prompt Injection 类型 / 来源： 新论文｜Findings of EMNLP 2026 · arXiv 作者 / 维护者： Yupei Liu、Yuqi Jia、Neil Zhenqiang Gong、Jinyuan Jia 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 核心内容： LongPIBench 覆盖论文评审、简历筛选、代码审查和邮件摘要四类真实应用，每类同时构造合成数据与真实数据，输入长度从数千到数万 token。评测显示，短上下文基准会高估现有防御效果；即使简单的启发式注入，在长上下文中也能频繁绕过先进防御。 与你的方向关系： 该基准直接服务 Prompt Injection 与 Agent Security，也揭示 harness 在上下文裁剪、文档分段和跨段策略一致性上的评测盲区。 建议： 精读。适合作为新防御的主要对照集，尤其应检查攻击位置、上下文长度与任务类型是否共同改变防御排序。 6. Layered LLM Defenses as an Ensemble: Access Tiers, Inference Cost, and Measured Failure Correlation 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Abrar Alotaibi、Muhammad Shahid Jabbar、Sadam Al-Azani、Moataz Ahmed 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 核心内容： 论文用访问层级 A0–A4 与推理开销类别统一描述七层 LLM 防御栈，并实测不同层的失败相关性。十五个可测防御对全部呈正相关，φ 系数为 0.30–0.75；因此独立失败假设会系统性低估组合残余风险，而完整防御栈还拒绝了五个良性提示中的四个，效果与最强单层在统计上无法区分。 与你的方向关系： 这为 LLM Security 与 cost-aware harness optimization 提供了重要反例：增加层数不等于增加独立安全收益，控制器应依据相关失败模式和边际效用调度防御。 建议： 精读。重点看相关性估计、良性样本规模及层间顺序效应；这些因素会直接影响多层安全架构的成本论证。 7. CamoDocs: A Poisoning Attack Against Retrieval-Augmented Language Models Using Camouflaged Documents 类型 / 来源： 新论文 + 新代码仓库｜EMNLP 2026 · arXiv · GitHub 作者 / 维护者： Jaewon Jung、Haizhong Zheng、Hongsun Jang、Jaeyong Song、Beidi Chen、Jinho Lee 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 · 代码 核心内容： CamoDocs 不要求在投毒文档中直接包含目标查询，而是先合成良性与对抗性草稿，再分块替换选定 token 以分散检索表示，并通过连贯性过滤保留自然文本。论文在七种防御、三种开源模型和三个基准上评估，并报告在专有模型上仍有较高攻击成功率；官方仓库包含生成、评测、配置、示例数据和结果工件，而非仅有 README。 与你的方向关系： 该工作连接 RAG poisoning、indirect prompt injection 与语义检索安全，提醒 Agent memory / knowledge base 的入口控制不能只依赖关键词或查询重合。 建议： 浏览。优先研究其“语义伪装”机制与 TrustRAG 类防御的效用损失，作为记忆投毒或检索净化工作的攻击基线。 8. Offline-Verifiable Accountability for Cross-Organization Agent Messaging 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Adil Alshammari、Hayretdin Bahsi 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 核心内容： 论文为跨组织 Agent 消息设计可离线验证的证据包，组合发送者认证、认证日志承诺、见证检查点、追加连续性、委托感知授权与接收方签名回执。原型评测覆盖 300 个工作流、1,200 个有效证据包；论文报告所有被破坏或策略证据不足的包均被拒绝，未出现误接受。 与你的方向关系： 这直接对应 multi-agent security、delegation 与跨域权限控制，为无法共享在线控制面的 Agent 协作提供审计和追责机制。 建议： 浏览。重点确认离线验证覆盖的攻击边界、密钥撤销与日志分叉处理，并评估其能否嵌入现有 Agent message bus。 9. Not to Break, but to Attest: Adversarial Probes for Privacy-Preserving LLM Verification 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Cameron Wilding、Mina Shaker、Fatemeh Ganji 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 核心内容： 论文提出结合对抗性 probe 与 zk-SNARK 的部署完整性审计框架，在不公开专有模型权重的前提下放大获批模型与被修改部署之间的 logit 漂移。作者比较 token、embedding 与 stress probe，并用 Groth16 展示从 1 到 50 个 probe 时证明生成约由 1.02 秒增至 1.78 秒、验证约维持 0.84 秒且证明大小恒定。 与你的方向关系： 工作连接 LLM Security \u0026amp; Privacy、供应链完整性与可验证执行，可作为远程 Agent 后端是否被替换或篡改的隐私友好型证明层。 建议： 收藏。适合跟踪其对量化、微调和随机推理的误报敏感性，以及如何与 Agent harness 的版本证明和策略证明结合。 今日优先阅读 优先阅读 Recognition Without Enforcement、ROPE 与 ContextLeak。前两项共同影响一个关键系统设计判断：模型内的指令识别不能替代来源可验证、能力受限的外部执行控制；ContextLeak 则补上恶意工具如何把完整运行时上下文转化为参数并外泄的攻击链，可直接指导工具 schema、数据流追踪和出站权限设计。\n","permalink":"https://lazfore.github.io/daily-paper/2026-09-01-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-31—2026-09-01\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期共筛选出 9 项。最明显的趋势是研究重心从“让模型识别恶意指令”转向可验证的外部策略执行、来源追踪和能力门控，同时长上下文注入、恶意工具泄露与自适应防御成为新的评测重点。本期没有论文版本更新或项目重大更新；发现 ROPE、CAITLYN 与 CamoDocs 三个值得单独跟进的新代码仓库，均已与对应论文合并收录。\u003c/p\u003e\n\u003ch2 id=\"1-recognition-without-enforcement-configuration-dependent-failures-in-llm-agent-instruction-arbitration-and-external-control\"\u003e1. Recognition Without Enforcement: Configuration-Dependent Failures in LLM Agent Instruction Arbitration and External Control\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jun Wen Leong\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.28502\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文区分了对伪造权威的“识别”与在工具执行阶段真正“强制拒绝”之间的缺口：模型可以解码来源特征并指出冲突，却仍会在部分配置中发起工具调用。作者在多供应商实验中定位到可复现的失败单元，并实现由认证来源路由、能力门控工具与外部 reference monitor 组成的控制面；该控制面拒绝了实验中的伪造、篡改、重放与未签名请求，且自适应红队发现的一处时钟偏差缺陷随后得到修补。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这直接连接 Agent Security、Prompt Injection 与 capability / permission control，说明仅靠模型内 instruction hierarchy 不能构成可靠安全边界；对 harness 设计而言，关键比较对象应是外部强制机制，而不只是模型是否“看懂”攻击。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。优先核对识别—执行错位的测量方法、配置敏感性，以及 reference monitor 的信任假设和重放防护。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-rope-routed-origin-policy-enforcement-against-indirect-prompt-injection\"\u003e2. ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv · GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Xinhang Ma、Chaowei Xiao、William Yeoh、Ning Zhang、Yevgeniy Vorobeychik\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-31（arXiv 公布；初稿提交于 2026-08-27）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.27496\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/xhOwenMa/ROPE\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e ROPE 把敏感工具参数的准入绑定到不可伪造的来源：值必须可追溯到用户、用户明确指定的来源或用户的权威记录；执行时由确定性的来源检查器判定，LLM 只处理不受攻击者控制的可信用户请求。论文给出来源安全与改写不变性的保证，并在四种 Agent 模型上将攻击成功率控制在 1.6%–2.6%，同时保留未防御系统 82%–100% 的干净任务效用；官方仓库提供实现与实验日志。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 indirect prompt injection、information-flow control 与 tool-use security 的直接交叉点，也为 Agent harness 中“参数级 provenance + 外部执行策略”提供了可实现基线。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较其来源标签传播、敏感参数审计范围与长轨迹下的完整性假设，并尝试复现实用性—安全性的权衡。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-contextleak-exfiltrating-llm-agent-context-via-malicious-tools\"\u003e3. ContextLeak: Exfiltrating LLM Agent Context via Malicious Tools\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yuqi Jia、Ruiqi Wang、Patrick Li、Yuepeng Hu、Peinian Li、Neil Zhenqiang Gong\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.27800\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e ContextLeak 研究恶意工具如何同时诱导 Agent 选择该工具，并把用户提示、执行轨迹和工具列表等运行时上下文作为参数交给它。方法用攻击 LLM 生成工具名称与描述，再基于多样化影子用户上下文进行强化学习微调和专用泄露奖励优化；论文报告该攻击在影子用户与受害者分布明显不同时仍有效，并优于为该场景改造的既有恶意工具攻击。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 工作直击 tool-use security、Agent privacy 与上下文外泄，补足了恶意工具研究中常被忽略的“敏感上下文如何进入工具参数”这一环。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。建议把其威胁模型与工具 schema、参数最小化、污点追踪及出站网络控制逐项对照，评估现有 harness 的真实泄露面。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-caitlyn-can-llm-agents-autonomously-synthesize-defenses-against-emerging-injection-attacks\"\u003e4. CAITLYN: Can LLM Agents Autonomously Synthesize Defenses against Emerging Injection Attacks?\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv · GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Zi Liang、Xiaoyu Xu、Yanyun Wang、Minxin Du、Qingqing Ye、Haibo Hu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.27990\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/liangzid/caitlyn\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e CAITLYN 采用双系统防御：System I 以低成本规则脚本和按需 LLM 检查分层处理常见攻击，System II 监测异常并自动合成、验证和保留新的防御技能。论文报告其在标准基准上以较低 token 开销达到有竞争力的效果，并在新建 Emerging 基准上显著降低三种 Agent 的攻击成功率；官方仓库含可运行中间件、防御技能库、攻击实现、Agent 集成与评测代码。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它同时覆盖 Prompt Injection、self-improving agents 与 cost-aware harness optimization，把防御从静态过滤器提升为可持续更新的执行组件。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。最值得验证的是自动生成防御的准入测试、失败回滚与技能污染风险，以及两层检查的成本—覆盖率曲线。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-longpibench-a-long-context-benchmark-for-prompt-injection\"\u003e5. LongPIBench: A Long-Context Benchmark for Prompt Injection\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜Findings of EMNLP 2026 · arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yupei Liu、Yuqi Jia、Neil Zhenqiang Gong、Jinyuan Jia\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.28411\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e LongPIBench 覆盖论文评审、简历筛选、代码审查和邮件摘要四类真实应用，每类同时构造合成数据与真实数据，输入长度从数千到数万 token。评测显示，短上下文基准会高估现有防御效果；即使简单的启发式注入，在长上下文中也能频繁绕过先进防御。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该基准直接服务 Prompt Injection 与 Agent Security，也揭示 harness 在上下文裁剪、文档分段和跨段策略一致性上的评测盲区。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。适合作为新防御的主要对照集，尤其应检查攻击位置、上下文长度与任务类型是否共同改变防御排序。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-layered-llm-defenses-as-an-ensemble-access-tiers-inference-cost-and-measured-failure-correlation\"\u003e6. Layered LLM Defenses as an Ensemble: Access Tiers, Inference Cost, and Measured Failure Correlation\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Abrar Alotaibi、Muhammad Shahid Jabbar、Sadam Al-Azani、Moataz Ahmed\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.28327\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文用访问层级 A0–A4 与推理开销类别统一描述七层 LLM 防御栈，并实测不同层的失败相关性。十五个可测防御对全部呈正相关，φ 系数为 0.30–0.75；因此独立失败假设会系统性低估组合残余风险，而完整防御栈还拒绝了五个良性提示中的四个，效果与最强单层在统计上无法区分。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这为 LLM Security 与 cost-aware harness optimization 提供了重要反例：增加层数不等于增加独立安全收益，控制器应依据相关失败模式和边际效用调度防御。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点看相关性估计、良性样本规模及层间顺序效应；这些因素会直接影响多层安全架构的成本论证。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-camodocs-a-poisoning-attack-against-retrieval-augmented-language-models-using-camouflaged-documents\"\u003e7. CamoDocs: A Poisoning Attack Against Retrieval-Augmented Language Models Using Camouflaged Documents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜EMNLP 2026 · arXiv · GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jaewon Jung、Haizhong Zheng、Hongsun Jang、Jaeyong Song、Beidi Chen、Jinho Lee\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.28389\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/jaewonalive/CamoDocs\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e CamoDocs 不要求在投毒文档中直接包含目标查询，而是先合成良性与对抗性草稿，再分块替换选定 token 以分散检索表示，并通过连贯性过滤保留自然文本。论文在七种防御、三种开源模型和三个基准上评估，并报告在专有模型上仍有较高攻击成功率；官方仓库包含生成、评测、配置、示例数据和结果工件，而非仅有 README。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作连接 RAG poisoning、indirect prompt injection 与语义检索安全，提醒 Agent memory / knowledge base 的入口控制不能只依赖关键词或查询重合。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。优先研究其“语义伪装”机制与 TrustRAG 类防御的效用损失，作为记忆投毒或检索净化工作的攻击基线。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-offline-verifiable-accountability-for-cross-organization-agent-messaging\"\u003e8. Offline-Verifiable Accountability for Cross-Organization Agent Messaging\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Adil Alshammari、Hayretdin Bahsi\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.28542\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文为跨组织 Agent 消息设计可离线验证的证据包，组合发送者认证、认证日志承诺、见证检查点、追加连续性、委托感知授权与接收方签名回执。原型评测覆盖 300 个工作流、1,200 个有效证据包；论文报告所有被破坏或策略证据不足的包均被拒绝，未出现误接受。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这直接对应 multi-agent security、delegation 与跨域权限控制，为无法共享在线控制面的 Agent 协作提供审计和追责机制。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。重点确认离线验证覆盖的攻击边界、密钥撤销与日志分叉处理，并评估其能否嵌入现有 Agent message bus。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-not-to-break-but-to-attest-adversarial-probes-for-privacy-preserving-llm-verification\"\u003e9. Not to Break, but to Attest: Adversarial Probes for Privacy-Preserving LLM Verification\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Cameron Wilding、Mina Shaker、Fatemeh Ganji\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.27954\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文提出结合对抗性 probe 与 zk-SNARK 的部署完整性审计框架，在不公开专有模型权重的前提下放大获批模型与被修改部署之间的 logit 漂移。作者比较 token、embedding 与 stress probe，并用 Groth16 展示从 1 到 50 个 probe 时证明生成约由 1.02 秒增至 1.78 秒、验证约维持 0.84 秒且证明大小恒定。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 工作连接 LLM Security \u0026amp; Privacy、供应链完整性与可验证执行，可作为远程 Agent 后端是否被替换或篡改的隐私友好型证明层。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e收藏\u003c/strong\u003e。适合跟踪其对量化、微调和随机推理的误报敏感性，以及如何与 Agent harness 的版本证明和策略证明结合。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 \u003cstrong\u003eRecognition Without Enforcement\u003c/strong\u003e、\u003cstrong\u003eROPE\u003c/strong\u003e 与 \u003cstrong\u003eContextLeak\u003c/strong\u003e。前两项共同影响一个关键系统设计判断：模型内的指令识别不能替代来源可验证、能力受限的外部执行控制；ContextLeak 则补上恶意工具如何把完整运行时上下文转化为参数并外泄的攻击链，可直接指导工具 schema、数据流追踪和出站权限设计。\u003c/p\u003e","title":"2026-09-01 热点论文推送"},{"content":" 本期检索范围： 2026-08-27—2026-08-28\n本期共筛选出 10 项。最明显的趋势是 self-evolving agent 的持久技能库同时成为性能增长机制与自传播攻击面，Harness Optimization 也进一步转向从成功/失败轨迹中提炼原子经验并通过门控持续更新；安全侧则集中于工具参数最小化、策略与执行分离以及跨轮风险重组。本期没有论文版本更新或项目重大更新，也未发现达到单独收录标准且可由官方来源确认的新代码项目。\n1. EVOMAL: Self-Poisoning in Self-Evolving Coding Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xiaodong Wu、Yu Shi、Qi Li、Zhimin Zhao、Xiangman Li、Bram Adams、Ahmed E. Hassan、Jianbing Ni 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： EVOMAL 揭示 self-evolving coding agent 在模仿共享技能编写新工具时，会把恶意模板中的 payload 一并复制、存储和执行；新副本还能重新进入技能库，形成删除初始恶意技能后仍持续传播的 worm。六个模型、153 个 SWE-bench Verified 相关任务上的 agent self-poisoning rate 为 20.3%–41.8%，定向描述可将其推至 86.7%；counter-prompt 将该指标压至最高 6.7%。 与你的方向关系： 这是 persistent skill-file security、agent memory poisoning 与 self-evolving harness 的直接交叉，说明“从历史技能自然生长”本身会放大供应链污染并产生持久二次来源。 建议： 精读。优先分析恶意技能的 provenance 在复制后为何丢失，以及 acceptance gate、污点传播、撤销和整库清理应如何覆盖 agent-authored descendants。 2. From General Agents to RCA Experts: A Self-Evolving Harness for Root Cause Analysis 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Haiyu Huang、Jiewei Lyu、Zhihan Jiang、Jinyang Liu、Xiao He、Tieying Zhang、Wu Xiang、Michael R. Lyu 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： OpsHarness 复用通用 agent 的基础能力，把 RCA 适配集中到外部 harness：数据平面维护分层运维知识与 idea-card 工具库，控制平面协调设置、诊断、演化和验证。系统对比成功/失败轨迹，将证据转成原子 proposal，并通过 dual-gate 防止过拟合与回归；两个公开 benchmark 与工业部署上的 top-1 accuracy 为 59.0%，相对裸通用 agent 提升 63.4%。 与你的方向关系： 这是 Harness Optimization 的高度直接工作，其“轨迹对比—原子经验—双门验证”与从最小 scaffold 自然生长、失败窗口和 held-out gate 的设计具有明确对比价值。 建议： 精读。重点核查初始 harness 的人工结构、idea-card 的可执行粒度、双门数据划分以及成本目标是否进入更新准则，这些会决定其与当前论文的定位边界。 3. ToolMinimize: Auditing and Rewriting LLM Agent Tool Calls to Minimize Privacy Exposure 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Wenbiao Li、Yuqiao Xu 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： ToolMinimize 不只 allow/block 工具调用，而是在中间件中依据 schema 必要性对参数执行删除、泛化、替换和截断。作者测得三个生产模型的默认工具调用中有 81%–88% 携带非必要隐私数据；307 次 live call 上，系统在保持 100% argument-level task validity 的同时将 privacy cost 降低 81.2%–92.0%，中位延迟为 1.77 ms。 与你的方向关系： 它把 semantic privacy 与 least disclosure 落到工具调用参数级，补足传统 capability control 和 information-flow policy 只能决定“能否调用”、不能最小化“传什么”的缺口。 建议： 精读。最值得验证的是隐式敏感信息的 necessity 判定，以及恶意 tool schema、自由文本参数和跨调用组合推断下的剩余泄露。 4. LMSM: LLM Security Framework Inspired by Linux Security Modules 类型 / 来源： 新论文｜arXiv 作者 / 维护者： XiuYu Zhang、Bonan Ruan、Junfeng Fang、An Zhang、Tat-Seng Chua、Zhenkai Liang 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： LMSM 借鉴 Linux Security Modules，将模型内部安全 backend 提供的校准证据、版本化 policy 和负责 buffered output release 的 gate 解耦，使 SAE、transcoder 与 dense probe 等信号共享统一 enforcement substrate。Qwen3-4B 上，LMSM-Checkpoint 将 HarmBench ASR 从 39.20% 降至 3.32%，XSTest false refusal 从 2.40% 升至 4.40%，32 个活跃序列下保留 98.14% 对照吞吐。 与你的方向关系： 该工作把 interpretability signal 转成可组合的运行时 security hook，直接关联 jailbreak defense、policy enforcement 与 harness middleware 设计。 建议： 精读。应重点区分 mediation correctness 与 backend effectiveness，并检查 continuous batching、流式输出和多规则冲突时 gate 是否仍满足 fail-closed 语义。 5. SkillShield: Prompt-Space Security Skills for LLM Coding Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xiaodong Wu、Zhimin Zhao、Qi Li、Xiangman Li、Yu Shi、Bram Adams、Jianbing Ni 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： SkillShield 从已知攻击或历史 agent failure 离线合成安全技能，并在会话开始时注入 system prompt，整个 tool-use loop 无需额外分类器或运行时路由。RedCode 上默认 all-classes skill 将恶意代码严重度从 3.37 降至 0.58、执行 ASR 为 43.6%；更细粒度的 per-bundle 与 per-class 配置分别降至 36.2% 和 14.5%，731 个良性任务的平均安全拒绝率为 0.14%。 与你的方向关系： 它将安全经验编码为 persistent prompt-space skill，是 code-as-memory 与 agent security 的轻量交叉，也为“性能技能”和“安全技能”共享有限上下文时的资源竞争提出问题。 建议： 精读。重点关注仅评估非自适应 jailbreak 的限制，以及技能数量增长、冲突、覆盖遗忘和恶意安全技能注入时的稳健性。 6. Reassembling Distributed Risk: Trajectory-Conditioned Action Generation for Multi-Turn Agent Safety 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yanbo Dai、Zhenlan Ji、Zongjie Li、Shuai Wang 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： ReDiR 针对将恶意目标拆散到多个看似正常请求和工具动作的 multi-turn decomposition attack，在每次行动前把完整轨迹压缩为 latent safety representation，并注入冻结模型以直接约束 action generation。三个模型家族、八个未见工具域上的 ASR 降至 8% 以下，同时保持良性 fidelity 和较低计算开销。 与你的方向关系： 它直接覆盖 multi-turn Agent Security，并避免额外在线 judge，把跨轮风险状态变成生成阶段的隐式控制信号，可与显式 taint/state machine harness 比较。 建议： 精读。需要验证 latent state 是否可审计、能否抵御长轨迹稀释与白盒操纵，以及跨会话持久攻击是否超出其 trajectory boundary。 7. Auto-Policy, not Auto-Skill: Compiled Agent Skills for the Physical World 类型 / 来源： 新论文｜arXiv（Agent Skills 2026 Workshop） 作者 / 维护者： Zhonghao Zhan、Hamed Haddadi 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： 论文区分描述“如何行动”的 Skill 与决定“哪些行动获准执行”的 Policy，并提出 Borrowed Authority：恶意或误用技能可附带未经类型化验证的权限声明来驱动物理执行。Edge Skillguard 将 world state 与 sensor evidence 上的 typed guard 打包进技能；实时边缘控制测试床中拒绝了五类攻击的 60/60 个请求且未阻断良性请求。 与你的方向关系： 它直接连接 persistent skill security、capability control 与 executable policy，说明自动生成更多技能并不自动带来可验证的授权边界。 建议： 精读。其“procedure + typed policy”共同编译的方向可与 program semantics 延伸结合；应进一步检查 guard 自身的来源、更新权限和传感器欺骗问题。 8. Separating Disclosure from Authorization: Field-Tier Minimization for Agent Action Mediation 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jiten Oswal、John Cadeddu 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： 该设计将 agent action 的字段分为可原样跨域、只能以投影跨域、以及永不离开 workload 的三层，同时在最小化前对完整参数生成 canonical digest 写入审计承诺。tier table、policy schema 与 wire schema 从同一声明生成，使重新分类字段不会破坏既有审计记录；论文还报告了一个初版投影意外保留标识符的真实设计失误。 与你的方向关系： 这是 action mediation、semantic privacy 与可审计 authorization 的交叉，解决“安全决策所需披露”与“不可删除日志最小化”之间的结构性冲突。 建议： 浏览。最值得借鉴的是承诺与披露解耦，但应审视字段投影的组合泄露、声明生成链的可信根和 private pilot 之外的泛化证据。 9. A Self-Evolving Multi-Agent Framework Defense against LLM Jailbreak Attacks 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Tongyan Hu、Bryan Hooi 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： 该框架在 jailbreak 成功后，将失败抽象为描述攻击 wrapper 而非有害主题的 method-level rule，并写入跨交互持久记忆；随着新 wrapper 出现，规则标签空间持续扩展。方法仅依赖外部记忆和 prompting，适用于 API 黑盒模型；作者报告在四类黑盒 jailbreak 及 adaptive composite-wrapper attack 下显著降低 ASR，同时保持良性效用且未随记忆增长增加 over-refusal。 与你的方向关系： 这是 self-evolving defense、persistent instruction memory 与 jailbreak 的直接组合，也暴露了防御记忆被投毒、规则冲突和长期膨胀的潜在攻击面。 建议： 浏览。优先检查具体绝对结果、攻击预算与记忆更新门槛，并测试攻击者能否故意制造“成功样本”来向规则库注入过度拒绝策略。 10. Here is a GIFT: Enforcing User Data Isolation in LLM Serving via GPU Information Flow Tracking 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jiacheng Shi、Xunjie Wang、Cheng Tan、Jinyu Gu 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： GIFT 用每用户加密隔离 CPU 侧共享 serving 逻辑，并对 GPU kernel 预计算静态信息流规则，以解耦追踪避免 kernel instrumentation 与 GPU stall；GIFT-CC 再加入 confidential computing 以覆盖不可信操作系统和 hypervisor。vLLM 与 DistServe 实现的吞吐开销为 4%–10.7%，延迟水平保持不变。 与你的方向关系： 虽非 agent 专用，它为共享 LLM/agent serving 中的跨用户隐私隔离提供底层 information-flow enforcement，可作为上层语义隐私与工具权限机制的可信执行基础。 建议： 收藏。适合作为系统层隐私参考；进一步阅读时应关注动态 kernel、KV cache、跨请求 batching 与 side channel 是否完整纳入威胁模型。 今日优先阅读 优先阅读 EVOMAL、OpsHarness 与 ToolMinimize。EVOMAL 揭示技能自然生长会形成可自传播的持久污染，OpsHarness 与当前 Harness Optimization 工作在轨迹驱动更新和双门接受上高度可比，而 ToolMinimize 则提供了比 allow/block 更细的工具参数级隐私控制原语。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-28-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-27—2026-08-28\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期共筛选出 10 项。最明显的趋势是 self-evolving agent 的持久技能库同时成为性能增长机制与自传播攻击面，Harness Optimization 也进一步转向从成功/失败轨迹中提炼原子经验并通过门控持续更新；安全侧则集中于工具参数最小化、策略与执行分离以及跨轮风险重组。本期没有论文版本更新或项目重大更新，也未发现达到单独收录标准且可由官方来源确认的新代码项目。\u003c/p\u003e\n\u003ch2 id=\"1-evomal-self-poisoning-in-self-evolving-coding-agents\"\u003e1. EVOMAL: Self-Poisoning in Self-Evolving Coding Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Xiaodong Wu、Yu Shi、Qi Li、Zhimin Zhao、Xiangman Li、Bram Adams、Ahmed E. Hassan、Jianbing Ni\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.25776\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e EVOMAL 揭示 self-evolving coding agent 在模仿共享技能编写新工具时，会把恶意模板中的 payload 一并复制、存储和执行；新副本还能重新进入技能库，形成删除初始恶意技能后仍持续传播的 worm。六个模型、153 个 SWE-bench Verified 相关任务上的 agent self-poisoning rate 为 20.3%–41.8%，定向描述可将其推至 86.7%；counter-prompt 将该指标压至最高 6.7%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 persistent skill-file security、agent memory poisoning 与 self-evolving harness 的直接交叉，说明“从历史技能自然生长”本身会放大供应链污染并产生持久二次来源。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。优先分析恶意技能的 provenance 在复制后为何丢失，以及 acceptance gate、污点传播、撤销和整库清理应如何覆盖 agent-authored descendants。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-from-general-agents-to-rca-experts-a-self-evolving-harness-for-root-cause-analysis\"\u003e2. From General Agents to RCA Experts: A Self-Evolving Harness for Root Cause Analysis\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Haiyu Huang、Jiewei Lyu、Zhihan Jiang、Jinyang Liu、Xiao He、Tieying Zhang、Wu Xiang、Michael R. Lyu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.25661\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e OpsHarness 复用通用 agent 的基础能力，把 RCA 适配集中到外部 harness：数据平面维护分层运维知识与 idea-card 工具库，控制平面协调设置、诊断、演化和验证。系统对比成功/失败轨迹，将证据转成原子 proposal，并通过 dual-gate 防止过拟合与回归；两个公开 benchmark 与工业部署上的 top-1 accuracy 为 59.0%，相对裸通用 agent 提升 63.4%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Harness Optimization 的高度直接工作，其“轨迹对比—原子经验—双门验证”与从最小 scaffold 自然生长、失败窗口和 held-out gate 的设计具有明确对比价值。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点核查初始 harness 的人工结构、idea-card 的可执行粒度、双门数据划分以及成本目标是否进入更新准则，这些会决定其与当前论文的定位边界。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-toolminimize-auditing-and-rewriting-llm-agent-tool-calls-to-minimize-privacy-exposure\"\u003e3. ToolMinimize: Auditing and Rewriting LLM Agent Tool Calls to Minimize Privacy Exposure\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Wenbiao Li、Yuqiao Xu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-27（arXiv 公布；初稿提交于 2026-08-25）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.24957\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e ToolMinimize 不只 allow/block 工具调用，而是在中间件中依据 schema 必要性对参数执行删除、泛化、替换和截断。作者测得三个生产模型的默认工具调用中有 81%–88% 携带非必要隐私数据；307 次 live call 上，系统在保持 100% argument-level task validity 的同时将 privacy cost 降低 81.2%–92.0%，中位延迟为 1.77 ms。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它把 semantic privacy 与 least disclosure 落到工具调用参数级，补足传统 capability control 和 information-flow policy 只能决定“能否调用”、不能最小化“传什么”的缺口。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。最值得验证的是隐式敏感信息的 necessity 判定，以及恶意 tool schema、自由文本参数和跨调用组合推断下的剩余泄露。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-lmsm-llm-security-framework-inspired-by-linux-security-modules\"\u003e4. LMSM: LLM Security Framework Inspired by Linux Security Modules\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e XiuYu Zhang、Bonan Ruan、Junfeng Fang、An Zhang、Tat-Seng Chua、Zhenkai Liang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.25697\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e LMSM 借鉴 Linux Security Modules，将模型内部安全 backend 提供的校准证据、版本化 policy 和负责 buffered output release 的 gate 解耦，使 SAE、transcoder 与 dense probe 等信号共享统一 enforcement substrate。Qwen3-4B 上，LMSM-Checkpoint 将 HarmBench ASR 从 39.20% 降至 3.32%，XSTest false refusal 从 2.40% 升至 4.40%，32 个活跃序列下保留 98.14% 对照吞吐。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作把 interpretability signal 转成可组合的运行时 security hook，直接关联 jailbreak defense、policy enforcement 与 harness middleware 设计。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。应重点区分 mediation correctness 与 backend effectiveness，并检查 continuous batching、流式输出和多规则冲突时 gate 是否仍满足 fail-closed 语义。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-skillshield-prompt-space-security-skills-for-llm-coding-agents\"\u003e5. SkillShield: Prompt-Space Security Skills for LLM Coding Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Xiaodong Wu、Zhimin Zhao、Qi Li、Xiangman Li、Yu Shi、Bram Adams、Jianbing Ni\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.25817\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SkillShield 从已知攻击或历史 agent failure 离线合成安全技能，并在会话开始时注入 system prompt，整个 tool-use loop 无需额外分类器或运行时路由。RedCode 上默认 all-classes skill 将恶意代码严重度从 3.37 降至 0.58、执行 ASR 为 43.6%；更细粒度的 per-bundle 与 per-class 配置分别降至 36.2% 和 14.5%，731 个良性任务的平均安全拒绝率为 0.14%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它将安全经验编码为 persistent prompt-space skill，是 code-as-memory 与 agent security 的轻量交叉，也为“性能技能”和“安全技能”共享有限上下文时的资源竞争提出问题。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点关注仅评估非自适应 jailbreak 的限制，以及技能数量增长、冲突、覆盖遗忘和恶意安全技能注入时的稳健性。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-reassembling-distributed-risk-trajectory-conditioned-action-generation-for-multi-turn-agent-safety\"\u003e6. Reassembling Distributed Risk: Trajectory-Conditioned Action Generation for Multi-Turn Agent Safety\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yanbo Dai、Zhenlan Ji、Zongjie Li、Shuai Wang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.25711\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e ReDiR 针对将恶意目标拆散到多个看似正常请求和工具动作的 multi-turn decomposition attack，在每次行动前把完整轨迹压缩为 latent safety representation，并注入冻结模型以直接约束 action generation。三个模型家族、八个未见工具域上的 ASR 降至 8% 以下，同时保持良性 fidelity 和较低计算开销。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它直接覆盖 multi-turn Agent Security，并避免额外在线 judge，把跨轮风险状态变成生成阶段的隐式控制信号，可与显式 taint/state machine harness 比较。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。需要验证 latent state 是否可审计、能否抵御长轨迹稀释与白盒操纵，以及跨会话持久攻击是否超出其 trajectory boundary。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-auto-policy-not-auto-skill-compiled-agent-skills-for-the-physical-world\"\u003e7. Auto-Policy, not Auto-Skill: Compiled Agent Skills for the Physical World\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv（Agent Skills 2026 Workshop）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Zhonghao Zhan、Hamed Haddadi\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-27（arXiv 公布；初稿提交于 2026-08-25）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.25091\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文区分描述“如何行动”的 Skill 与决定“哪些行动获准执行”的 Policy，并提出 Borrowed Authority：恶意或误用技能可附带未经类型化验证的权限声明来驱动物理执行。Edge Skillguard 将 world state 与 sensor evidence 上的 typed guard 打包进技能；实时边缘控制测试床中拒绝了五类攻击的 60/60 个请求且未阻断良性请求。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它直接连接 persistent skill security、capability control 与 executable policy，说明自动生成更多技能并不自动带来可验证的授权边界。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。其“procedure + typed policy”共同编译的方向可与 program semantics 延伸结合；应进一步检查 guard 自身的来源、更新权限和传感器欺骗问题。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-separating-disclosure-from-authorization-field-tier-minimization-for-agent-action-mediation\"\u003e8. Separating Disclosure from Authorization: Field-Tier Minimization for Agent Action Mediation\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jiten Oswal、John Cadeddu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.25474\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 该设计将 agent action 的字段分为可原样跨域、只能以投影跨域、以及永不离开 workload 的三层，同时在最小化前对完整参数生成 canonical digest 写入审计承诺。tier table、policy schema 与 wire schema 从同一声明生成，使重新分类字段不会破坏既有审计记录；论文还报告了一个初版投影意外保留标识符的真实设计失误。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 action mediation、semantic privacy 与可审计 authorization 的交叉，解决“安全决策所需披露”与“不可删除日志最小化”之间的结构性冲突。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。最值得借鉴的是承诺与披露解耦，但应审视字段投影的组合泄露、声明生成链的可信根和 private pilot 之外的泛化证据。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-a-self-evolving-multi-agent-framework-defense-against-llm-jailbreak-attacks\"\u003e9. A Self-Evolving Multi-Agent Framework Defense against LLM Jailbreak Attacks\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Tongyan Hu、Bryan Hooi\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.26008\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 该框架在 jailbreak 成功后，将失败抽象为描述攻击 wrapper 而非有害主题的 method-level rule，并写入跨交互持久记忆；随着新 wrapper 出现，规则标签空间持续扩展。方法仅依赖外部记忆和 prompting，适用于 API 黑盒模型；作者报告在四类黑盒 jailbreak 及 adaptive composite-wrapper attack 下显著降低 ASR，同时保持良性效用且未随记忆增长增加 over-refusal。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 self-evolving defense、persistent instruction memory 与 jailbreak 的直接组合，也暴露了防御记忆被投毒、规则冲突和长期膨胀的潜在攻击面。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。优先检查具体绝对结果、攻击预算与记忆更新门槛，并测试攻击者能否故意制造“成功样本”来向规则库注入过度拒绝策略。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"10-here-is-a-gift-enforcing-user-data-isolation-in-llm-serving-via-gpu-information-flow-tracking\"\u003e10. Here is a GIFT: Enforcing User Data Isolation in LLM Serving via GPU Information Flow Tracking\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jiacheng Shi、Xunjie Wang、Cheng Tan、Jinyu Gu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-27（arXiv 公布；初稿提交于 2026-08-26）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.25431\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e GIFT 用每用户加密隔离 CPU 侧共享 serving 逻辑，并对 GPU kernel 预计算静态信息流规则，以解耦追踪避免 kernel instrumentation 与 GPU stall；GIFT-CC 再加入 confidential computing 以覆盖不可信操作系统和 hypervisor。vLLM 与 DistServe 实现的吞吐开销为 4%–10.7%，延迟水平保持不变。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 虽非 agent 专用，它为共享 LLM/agent serving 中的跨用户隐私隔离提供底层 information-flow enforcement，可作为上层语义隐私与工具权限机制的可信执行基础。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e收藏\u003c/strong\u003e。适合作为系统层隐私参考；进一步阅读时应关注动态 kernel、KV cache、跨请求 batching 与 side channel 是否完整纳入威胁模型。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 \u003cstrong\u003eEVOMAL\u003c/strong\u003e、\u003cstrong\u003eOpsHarness\u003c/strong\u003e 与 \u003cstrong\u003eToolMinimize\u003c/strong\u003e。EVOMAL 揭示技能自然生长会形成可自传播的持久污染，OpsHarness 与当前 Harness Optimization 工作在轨迹驱动更新和双门接受上高度可比，而 ToolMinimize 则提供了比 allow/block 更细的工具参数级隐私控制原语。\u003c/p\u003e","title":"2026-08-28 热点论文推送"},{"content":" 本期检索范围： 2026-08-26—2026-08-27\n本期共筛选出 10 项，最明显的趋势是 Agent Security 正从整段轨迹审计前移到工具执行前的动作级决策，并进一步覆盖浏览器 WebMCP、时序性恶意 MCP server 与多阶段交接中的约束弱化；Harness Optimization 则出现了递归搜索可执行上下文构造器及资源感知工具调度的新工作。没有需要重复收录的论文版本或既有项目重大更新；StepGuard 与 Semantic Overlays 的官方仓库均包含实质代码，其中 StepGuard 尚未发布训练语料与 StepGen 引擎。\n1. StepGuard: Learning Step-Level Guardrails with Scalable Supervision and Safety-Utility Balancing 类型 / 来源： 新论文 + 新代码仓库｜arXiv（EMNLP 2026）/ GitHub 作者 / 维护者： Zhijie Zheng、Yu Li、Chen Qian、Yuqian Fu、Yanwei Fu、Lu Sheng、Jing Shao、Dongrui Liu；zheng977 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 · 代码 核心内容： StepGuard 是一个 4B guard model，可在工具调用执行前检查单步动作，也可审计完整轨迹。其 StepGen 构造共享上下文、仅在风险步骤动作不同的安全/不安全轨迹，Balance-GRPO 则依据两类动作的准确率差动态平衡训练；在 AgentDojo 与 AgentDyn 上，平均 ASR 相对无 guard 降低 77.3%，效用下降 2.8 个百分点。 与你的方向关系： 它直接连接 Agent Security、indirect prompt injection 与 pre-action reference monitor，并提供了安全—效用权衡下的动作级训练范式，可与静态内容过滤和轨迹后验 judge 比较。 建议： 精读。重点检查 StepGen 的 paired construction 是否覆盖自适应攻击，以及未发布训练语料与生成引擎对完整复现的影响；官方仓库已包含模型、训练配方、动态/静态评测代码和测试。 2. What Guides the Agent? Adjudicating Unauthorized Behavior via Localizing Behavior-Guiding Instructions 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yichao Gao、Yumo Zhang、Yunhao Yao、Haohua Du、Puhan Luo、Ruiqi Li、Zhiqiang Wang 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： AttnLocate 将真正影响工具决策的 behavior-guiding span 定位建模为注意力矩阵上的一维目标检测：多头多层聚合形成 token 特征，再由 1-D U-Net 与 anchor-free head 预测边界，最后依据内容提供者的 authority policy 裁决调用。十种 agent 配置上的平均 mIoU 为 0.743、AUROC 为 0.956，并覆盖 indirect prompt injection 与 tool poisoning。 与你的方向关系： 该工作不只判断文本是否“像攻击”，而是定位推理时实际改变工具决策的外部指令，再结合来源权限裁决，直接关联 Prompt Injection、tool-use security 和 capability control。 建议： 精读。应重点验证 attention-based signal 在不同推理后端、量化模型与白盒自适应攻击下是否稳定，以及 authority mapping 是否能落到真实 MCP/tool provenance。 3. WebMCP-Phalanx: Enforcing and Characterizing Trust Boundaries for Browser-Integrated LLM Agents 类型 / 来源： 新论文｜arXiv（AAAI 2027 投稿） 作者 / 维护者： Lin-Fa Lee、Yi-Yu Chang、Kuo-Hui Yeh 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： WebMCP-Phalanx 为浏览器页面暴露的工具增加两层防线：浏览器原生 trust anchor 用加密 capability credential 绑定注册主体并传播 provenance，隔离的 Quarantine Agent 则先审查工具元数据、返回值与页面内容，再交给具有调用权限的 Privileged Agent。实验中所有 80 个工具描述注入均被阻断，工具返回注入仅 2/80 成功；白盒攻击仍可利用检查前的恶意工具名，暴露出 call-timing gate 的必要性。 与你的方向关系： 这是 WebMCP、Same-Origin Policy 与 agent capability lifecycle 的直接交叉，将 IPI 防御从纯文本检测扩展到主体归属、工具撤销和调用时序。 建议： 精读。最值得关注的是其显式承认的 TOCTOU 式调用时序缺口，以及 capability credential 与浏览器现有 origin/process isolation 的组合边界。 4. Semantic Overlays: Mitigating Prompt Injection with Annotations Beyond Tokens and Steering Vectors 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Joshua Penman；JoshuaSP 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 · 代码 核心内容： Semantic Overlays 在冻结模型的 prefill 位置向 residual stream 注入小型可训练 adapter，为 span 提供 token 无法伪造的带外语义标注；将不可信区段标为“non-executable”即可抑制其中的指令。论文报告 TensorTrust ASR 从 34.8% 降至 6.6%，PIArena 四类攻击的 compliance 均降至 0%，同时标注区段保持 92.5% exact-copy 可读性。 与你的方向关系： 它把 instruction/data separation 从提示格式或外部控制流推进到模型输入表示层，是 Prompt Injection 与 semantic information-flow control 的新接口，也可与 CaMeL 类架构隔离方案形成互补。 建议： 精读。重点检查需要修改 serving stack 与开放权重模型的部署约束、overlay adapter 本身的供应链风险及白盒攻击对带外通道的可适应性；官方仓库含训练、服务和三套评测实现及已发布 adapter。 5. TrustShiftProbe: Characterizing, Benchmarking, and Defending Staged Trust Attacks on MCP Servers 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Mehrdad Rostamzadeh、Sidhant Narula、Mohammad Ghasemigol、Daniel Takabi 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： TrustShift 将恶意 MCP server 建模为先在 conditioning phase 中表现正常、建立依赖后再于 trust horizon 切换到结构破坏、语义篡改或 scope expansion。其九类攻击在多种闭源与开源模型上取得 69.5% 平均 ASR；零 oracle 的传输层防御 SHIELD 基于清洁窗口学习行为基线，将其降至 42.7%，但无法完全阻断拒绝服务型 defection。 与你的方向关系： 该威胁不来自用户 prompt 或中间人，而来自已被信任的有状态工具端点，直接扩展 MCP security、persistent trust 与运行时 provenance 的研究边界。 建议： 精读。它适合用于检验“安装时扫描一次即可”的假设；尤其应研究渐进漂移、协同多 server 和攻击者针对 SHIELD 基线窗口自适应时的表现。 6. When \u0026ldquo;Must\u0026rdquo; Becomes \u0026ldquo;Maybe\u0026rdquo;: Constraint Weakening in LLM Agent Workflows 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yiheng Sun、Huifei Wang、Yancheng Zhu、Zhenyu Li、Zebin Zhao、Yifan Yuan 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： 论文区分“语义上仍提到约束”和“约束仍对后续动作具有 binding effect”，研究摘要、计划、handoff note 等中间语言制品如何把硬性安全 blocker 弱化为参考信息。1,296 个受控 episode 中，普通 handoff compression 导致 100% blocker deactivation 与 54.2% forbidden action；保留 prerequisite、authority、fallback 和 consequence 四个字段可恢复到 100% preservation、0% forbidden action。 与你的方向关系： 这是 multi-agent security 与 harness state semantics 的高度相关问题：风险并非注入新指令，而是合法约束在多阶段转换中丢失操作语义。 建议： 精读。其 operational state preservation 概念可直接启发带类型/效果的 handoff IR、程序语义约束与验证门；同时需观察合成任务结论能否迁移到开放环境。 7. RePolicy: Reinforcement Learning for Safety-Policy Invocation in Agent Safeguards 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Houcheng Jiang、Boxuan Zhang、Qiyong Zhong、Junfeng Fang、Xiang Wang、Xiangnan He 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： RePolicy 面向动态 policy library，让 safeguard 针对完整 agent trajectory 调用适用策略，再生成 policy-grounded rationale 与安全判定。作者构造 PolicyTraj-20K 做监督初始化，并使用带可验证奖励和 policy-context perturbation 的 GRPO；六个 agent safety benchmark 上表现出对策略上下文变化的稳健调用能力。 与你的方向关系： 它把安全判定拆成“检索/调用正确 policy”与“依据 policy 裁决轨迹”，直接对应 persistent instruction、policy routing 与可演化 agent safeguard。 建议： 浏览。重点比较其 policy invocation failure 与 judgment failure 的归因方式，并验证策略库被投毒、版本漂移或存在冲突规则时是否仍可靠。 8. Beyond the Mandate: A Systematic Security Analysis of the Agent Payments Protocol (AP2) 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Avital Aviv、Parth A. Gandh、Ron Bitton、Asaf Shabtai 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： 论文分析 AP2 v0.2 的五阶段交易生命周期、五类部署架构与签名 mandate 之前未被保护的 A2A/MCP 上下文。基于 MAESTRO 建模得到 48 个威胁、其中 8 个在至少一种架构达到 High，并用覆盖五类架构的测试床实现对应 proof of concept 与 mitigation；结论是 mandate 签名有效并不保证交易仍符合被操纵前的用户意图。 与你的方向关系： 它展示了权限签名只保护已形成的交易字段，无法自动保护塑造这些字段的 agent context 与工具链，是 Agent Security、prompt injection 后果与 authorization semantics 的具体案例。 建议： 精读。建议将其 pre-authorization context manipulation 与 intent binding、provenance chain 及最小权限执行作对照，尤其关注协议层保证与 LLM 决策层保证之间的断点。 9. VideoHarness-RSI: Recursive Harness Self-Improvement for Long-Video Understanding with Frozen Vision-Language Models 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Guoyang Xu、Hao Chen 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： VideoHarness-RSI 固定 VLM 与接口，只递归搜索负责长视频 context construction 的可执行程序。外层 proposer 根据历史程序、评测结果和 execution trace 生成候选，端到端执行后保留成功变体；从 uniform sampling 或较强手工基线出发均能继续提升，选出的 harness 还能迁移到其他长视频 benchmark。 与你的方向关系： 这是 Harness Optimization 的直接新实例，把搜索对象明确限制为 executable program structure，可用于比较“从弱 scaffold 生长”和“从强手工 controller 局部改进”的初始化偏置。 建议： 精读。最值得核对的是候选保留准则、搜索预算、程序编辑粒度和迁移实验，以判断提升来自真正的 harness discovery 还是特定视频采样启发式。 10. PeakBench: Benchmarking Resource-Aware Tool Invocation in LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zhi-Kai Chen、Xu-Xiang Zhong、Song-Yan Li、De-Chuan Zhan、Han-Jia Ye 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： PeakBench 为可执行多工具 workflow 增加依赖标注与实测资源 profile，将逻辑依赖规划和物理资源调度分开评价。结果显示，逻辑规划强并不代表在资源约束下安全高效；显式提供资源信息可以减少可避免的 overflow 并改善利用率。 与你的方向关系： 它把 cost-aware agent optimization 从 token/调用数扩展到并行工具执行的峰值资源与调度约束，为 harness controller 的性能目标和安全失败归因提供新基准维度。 建议： 浏览。优先关注其依赖图、资源 profile 的测量假设与 overflow 指标；论文所列代码链接在本期核查时返回 404，因此暂不把它计为新代码仓库。 今日优先阅读 优先阅读 StepGuard、What Guides the Agent? 与 VideoHarness-RSI。前两项分别把防护前移到动作执行点、把注入检测细化为行为引导 span 与来源权限的联合裁决；VideoHarness-RSI 则为当前 Harness Optimization 论文提供了一个非常直接的“固定模型、仅搜索可执行控制程序”新对比点。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-27-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-26—2026-08-27\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期共筛选出 10 项，最明显的趋势是 Agent Security 正从整段轨迹审计前移到工具执行前的动作级决策，并进一步覆盖浏览器 WebMCP、时序性恶意 MCP server 与多阶段交接中的约束弱化；Harness Optimization 则出现了递归搜索可执行上下文构造器及资源感知工具调度的新工作。没有需要重复收录的论文版本或既有项目重大更新；StepGuard 与 Semantic Overlays 的官方仓库均包含实质代码，其中 StepGuard 尚未发布训练语料与 StepGen 引擎。\u003c/p\u003e\n\u003ch2 id=\"1-stepguard-learning-step-level-guardrails-with-scalable-supervision-and-safety-utility-balancing\"\u003e1. StepGuard: Learning Step-Level Guardrails with Scalable Supervision and Safety-Utility Balancing\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv（EMNLP 2026）/ GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Zhijie Zheng、Yu Li、Chen Qian、Yuqian Fu、Yanwei Fu、Lu Sheng、Jing Shao、Dongrui Liu；zheng977\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-26（arXiv 公布；初稿提交于 2026-08-25）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.24777\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/zheng977/StepGuard\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e StepGuard 是一个 4B guard model，可在工具调用执行前检查单步动作，也可审计完整轨迹。其 StepGen 构造共享上下文、仅在风险步骤动作不同的安全/不安全轨迹，Balance-GRPO 则依据两类动作的准确率差动态平衡训练；在 AgentDojo 与 AgentDyn 上，平均 ASR 相对无 guard 降低 77.3%，效用下降 2.8 个百分点。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它直接连接 Agent Security、indirect prompt injection 与 pre-action reference monitor，并提供了安全—效用权衡下的动作级训练范式，可与静态内容过滤和轨迹后验 judge 比较。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点检查 StepGen 的 paired construction 是否覆盖自适应攻击，以及未发布训练语料与生成引擎对完整复现的影响；官方仓库已包含模型、训练配方、动态/静态评测代码和测试。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-what-guides-the-agent-adjudicating-unauthorized-behavior-via-localizing-behavior-guiding-instructions\"\u003e2. What Guides the Agent? Adjudicating Unauthorized Behavior via Localizing Behavior-Guiding Instructions\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yichao Gao、Yumo Zhang、Yunhao Yao、Haohua Du、Puhan Luo、Ruiqi Li、Zhiqiang Wang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-26（arXiv 公布；初稿提交于 2026-08-25）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.24022\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e AttnLocate 将真正影响工具决策的 behavior-guiding span 定位建模为注意力矩阵上的一维目标检测：多头多层聚合形成 token 特征，再由 1-D U-Net 与 anchor-free head 预测边界，最后依据内容提供者的 authority policy 裁决调用。十种 agent 配置上的平均 mIoU 为 0.743、AUROC 为 0.956，并覆盖 indirect prompt injection 与 tool poisoning。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作不只判断文本是否“像攻击”，而是定位推理时实际改变工具决策的外部指令，再结合来源权限裁决，直接关联 Prompt Injection、tool-use security 和 capability control。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。应重点验证 attention-based signal 在不同推理后端、量化模型与白盒自适应攻击下是否稳定，以及 authority mapping 是否能落到真实 MCP/tool provenance。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-webmcp-phalanx-enforcing-and-characterizing-trust-boundaries-for-browser-integrated-llm-agents\"\u003e3. WebMCP-Phalanx: Enforcing and Characterizing Trust Boundaries for Browser-Integrated LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv（AAAI 2027 投稿）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Lin-Fa Lee、Yi-Yu Chang、Kuo-Hui Yeh\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-26（arXiv 公布；初稿提交于 2026-08-25）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.24017\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e WebMCP-Phalanx 为浏览器页面暴露的工具增加两层防线：浏览器原生 trust anchor 用加密 capability credential 绑定注册主体并传播 provenance，隔离的 Quarantine Agent 则先审查工具元数据、返回值与页面内容，再交给具有调用权限的 Privileged Agent。实验中所有 80 个工具描述注入均被阻断，工具返回注入仅 2/80 成功；白盒攻击仍可利用检查前的恶意工具名，暴露出 call-timing gate 的必要性。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 WebMCP、Same-Origin Policy 与 agent capability lifecycle 的直接交叉，将 IPI 防御从纯文本检测扩展到主体归属、工具撤销和调用时序。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。最值得关注的是其显式承认的 TOCTOU 式调用时序缺口，以及 capability credential 与浏览器现有 origin/process isolation 的组合边界。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-semantic-overlays-mitigating-prompt-injection-with-annotations-beyond-tokens-and-steering-vectors\"\u003e4. Semantic Overlays: Mitigating Prompt Injection with Annotations Beyond Tokens and Steering Vectors\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Joshua Penman；JoshuaSP\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-26（arXiv 公布；初稿提交于 2026-08-24）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.23873\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/JoshuaSP/semantic-overlays\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e Semantic Overlays 在冻结模型的 prefill 位置向 residual stream 注入小型可训练 adapter，为 span 提供 token 无法伪造的带外语义标注；将不可信区段标为“non-executable”即可抑制其中的指令。论文报告 TensorTrust ASR 从 34.8% 降至 6.6%，PIArena 四类攻击的 compliance 均降至 0%，同时标注区段保持 92.5% exact-copy 可读性。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它把 instruction/data separation 从提示格式或外部控制流推进到模型输入表示层，是 Prompt Injection 与 semantic information-flow control 的新接口，也可与 CaMeL 类架构隔离方案形成互补。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点检查需要修改 serving stack 与开放权重模型的部署约束、overlay adapter 本身的供应链风险及白盒攻击对带外通道的可适应性；官方仓库含训练、服务和三套评测实现及已发布 adapter。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-trustshiftprobe-characterizing-benchmarking-and-defending-staged-trust-attacks-on-mcp-servers\"\u003e5. TrustShiftProbe: Characterizing, Benchmarking, and Defending Staged Trust Attacks on MCP Servers\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Mehrdad Rostamzadeh、Sidhant Narula、Mohammad Ghasemigol、Daniel Takabi\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-26（arXiv 公布；初稿提交于 2026-08-24）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.23763\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e TrustShift 将恶意 MCP server 建模为先在 conditioning phase 中表现正常、建立依赖后再于 trust horizon 切换到结构破坏、语义篡改或 scope expansion。其九类攻击在多种闭源与开源模型上取得 69.5% 平均 ASR；零 oracle 的传输层防御 SHIELD 基于清洁窗口学习行为基线，将其降至 42.7%，但无法完全阻断拒绝服务型 defection。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该威胁不来自用户 prompt 或中间人，而来自已被信任的有状态工具端点，直接扩展 MCP security、persistent trust 与运行时 provenance 的研究边界。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。它适合用于检验“安装时扫描一次即可”的假设；尤其应研究渐进漂移、协同多 server 和攻击者针对 SHIELD 基线窗口自适应时的表现。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-when-must-becomes-maybe-constraint-weakening-in-llm-agent-workflows\"\u003e6. When \u0026ldquo;Must\u0026rdquo; Becomes \u0026ldquo;Maybe\u0026rdquo;: Constraint Weakening in LLM Agent Workflows\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yiheng Sun、Huifei Wang、Yancheng Zhu、Zhenyu Li、Zebin Zhao、Yifan Yuan\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-26（arXiv 公布；初稿提交于 2026-08-25）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.24569\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文区分“语义上仍提到约束”和“约束仍对后续动作具有 binding effect”，研究摘要、计划、handoff note 等中间语言制品如何把硬性安全 blocker 弱化为参考信息。1,296 个受控 episode 中，普通 handoff compression 导致 100% blocker deactivation 与 54.2% forbidden action；保留 prerequisite、authority、fallback 和 consequence 四个字段可恢复到 100% preservation、0% forbidden action。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 multi-agent security 与 harness state semantics 的高度相关问题：风险并非注入新指令，而是合法约束在多阶段转换中丢失操作语义。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。其 operational state preservation 概念可直接启发带类型/效果的 handoff IR、程序语义约束与验证门；同时需观察合成任务结论能否迁移到开放环境。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-repolicy-reinforcement-learning-for-safety-policy-invocation-in-agent-safeguards\"\u003e7. RePolicy: Reinforcement Learning for Safety-Policy Invocation in Agent Safeguards\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Houcheng Jiang、Boxuan Zhang、Qiyong Zhong、Junfeng Fang、Xiang Wang、Xiangnan He\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-26（arXiv 公布；初稿提交于 2026-08-25）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.24275\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e RePolicy 面向动态 policy library，让 safeguard 针对完整 agent trajectory 调用适用策略，再生成 policy-grounded rationale 与安全判定。作者构造 PolicyTraj-20K 做监督初始化，并使用带可验证奖励和 policy-context perturbation 的 GRPO；六个 agent safety benchmark 上表现出对策略上下文变化的稳健调用能力。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它把安全判定拆成“检索/调用正确 policy”与“依据 policy 裁决轨迹”，直接对应 persistent instruction、policy routing 与可演化 agent safeguard。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。重点比较其 policy invocation failure 与 judgment failure 的归因方式，并验证策略库被投毒、版本漂移或存在冲突规则时是否仍可靠。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-beyond-the-mandate-a-systematic-security-analysis-of-the-agent-payments-protocol-ap2\"\u003e8. Beyond the Mandate: A Systematic Security Analysis of the Agent Payments Protocol (AP2)\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Avital Aviv、Parth A. Gandh、Ron Bitton、Asaf Shabtai\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-26（arXiv 公布；初稿提交于 2026-08-24）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.23858\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文分析 AP2 v0.2 的五阶段交易生命周期、五类部署架构与签名 mandate 之前未被保护的 A2A/MCP 上下文。基于 MAESTRO 建模得到 48 个威胁、其中 8 个在至少一种架构达到 High，并用覆盖五类架构的测试床实现对应 proof of concept 与 mitigation；结论是 mandate 签名有效并不保证交易仍符合被操纵前的用户意图。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它展示了权限签名只保护已形成的交易字段，无法自动保护塑造这些字段的 agent context 与工具链，是 Agent Security、prompt injection 后果与 authorization semantics 的具体案例。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。建议将其 pre-authorization context manipulation 与 intent binding、provenance chain 及最小权限执行作对照，尤其关注协议层保证与 LLM 决策层保证之间的断点。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-videoharness-rsi-recursive-harness-self-improvement-for-long-video-understanding-with-frozen-vision-language-models\"\u003e9. VideoHarness-RSI: Recursive Harness Self-Improvement for Long-Video Understanding with Frozen Vision-Language Models\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Guoyang Xu、Hao Chen\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-26（arXiv 公布；初稿提交于 2026-08-25）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.24302\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e VideoHarness-RSI 固定 VLM 与接口，只递归搜索负责长视频 context construction 的可执行程序。外层 proposer 根据历史程序、评测结果和 execution trace 生成候选，端到端执行后保留成功变体；从 uniform sampling 或较强手工基线出发均能继续提升，选出的 harness 还能迁移到其他长视频 benchmark。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Harness Optimization 的直接新实例，把搜索对象明确限制为 executable program structure，可用于比较“从弱 scaffold 生长”和“从强手工 controller 局部改进”的初始化偏置。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。最值得核对的是候选保留准则、搜索预算、程序编辑粒度和迁移实验，以判断提升来自真正的 harness discovery 还是特定视频采样启发式。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"10-peakbench-benchmarking-resource-aware-tool-invocation-in-llm-agents\"\u003e10. PeakBench: Benchmarking Resource-Aware Tool Invocation in LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Zhi-Kai Chen、Xu-Xiang Zhong、Song-Yan Li、De-Chuan Zhan、Han-Jia Ye\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-26（arXiv 公布；初稿提交于 2026-08-25）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.24509\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e PeakBench 为可执行多工具 workflow 增加依赖标注与实测资源 profile，将逻辑依赖规划和物理资源调度分开评价。结果显示，逻辑规划强并不代表在资源约束下安全高效；显式提供资源信息可以减少可避免的 overflow 并改善利用率。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它把 cost-aware agent optimization 从 token/调用数扩展到并行工具执行的峰值资源与调度约束，为 harness controller 的性能目标和安全失败归因提供新基准维度。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。优先关注其依赖图、资源 profile 的测量假设与 overflow 指标；论文所列代码链接在本期核查时返回 404，因此暂不把它计为新代码仓库。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 \u003cstrong\u003eStepGuard\u003c/strong\u003e、\u003cstrong\u003eWhat Guides the Agent?\u003c/strong\u003e 与 \u003cstrong\u003eVideoHarness-RSI\u003c/strong\u003e。前两项分别把防护前移到动作执行点、把注入检测细化为行为引导 span 与来源权限的联合裁决；VideoHarness-RSI 则为当前 Harness Optimization 论文提供了一个非常直接的“固定模型、仅搜索可执行控制程序”新对比点。\u003c/p\u003e","title":"2026-08-27 热点论文推送"},{"content":" 本期检索范围： 2026-08-25—2026-08-26\n本期共筛选出 10 项，主要来自 8 月 25 日公布的 arXiv 批次。最明显的趋势是 Harness Optimization 正从提示词搜索转向基于执行轨迹的持久代码更新，而代理安全则同时扩展到记忆注入、技能资源放大和状态化信息流控制；没有需要重复收录的论文版本或既有项目重大更新。Prime Agent 与 SecOPD 提供了包含实质实现、测试或训练评测代码的新仓库；AEGIS 的官方链接仓库当前为空，因此仅按论文收录，AutoSaddler 和 AgentWeave 也未附上无法从官方页面核实的代码地址。\n1. AutoSaddler: Automatic Harness Optimization with Durable Updates from Agent Execution Traces 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Sungho Park、Wonjoong Kim、Rongyuan Tan、Jue Zhang、Wook-Shin Han、Pengfei Gao、Chanyoung Park 等 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： AutoSaddler 将 harness 优化建模为离线学习：从 mini-batch 执行失败中进行深度诊断，把 harness 视为代码生成结构化 patch，再通过验证集选择可持久保留的更新。论文在 GAIA2、SWE-Bench Pro 和 Terminal-Bench 2.0 上相对基础 harness 分别提升 9.0、9.6 和 10.0 个百分点，并表明深度调试、定向修改与泛化感知选择均是关键组件。 与你的方向关系： 这是 Harness Optimization 的高度直接工作，搜索空间覆盖 prompt、tool 与 middleware，且其“轨迹诊断—代码 patch—验证选择”流程可与 Meta-Harness、GEPA 以及从空 scaffold 自然生长的路线进行正面对比。 建议： 精读。重点核对初始化 harness、patch 粒度、验证集使用方式与总执行预算；这些细节决定其增益来自真正的控制器结构学习，还是对现有 harness 的局部修补。 2. InjecMEM: Memory Injection Attack on LLM Agent Memory Systems 类型 / 来源： 新论文｜arXiv（COLM 2026） 作者 / 维护者： Hanling Tian、Gengyu Zhang、Zeyang Sha、Jingying Wang、Yuhang Liu、Zhehao Huang、Kun Yang、Xiaolin Huang 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： InjecMEM 只需一次正常交互、无需直接读取或编辑记忆库，即可让后续相关查询被引导到预设输出。攻击把高召回主题线索构造成 retriever-agnostic anchor，并用跨模板、位置与 backbone 优化的 adversarial command 抵抗融合上下文、长提示和记忆漂移；实验覆盖多个记忆系统与基础模型，并保持非目标查询基本不受影响。 与你的方向关系： 它直接刻画 agent memory poisoning 的现实写入入口，并将攻击拆成“保证被检索”与“检索后控制生成”两个可独立优化的阶段，适合与昨日的事实性记忆投毒及 provenance 防御边界进行对照。 建议： 精读。应重点复现跨 retriever、跨 backbone 的迁移，以及记忆压缩、去重和摘要机制是否会破坏 anchor-command 耦合。 3. AgentFlow: A Flow-Centric Policy Language and Framework for Securing LLM Agent Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Basavesh Ammanaghatta Shivakumar、Swarn Priya、Peng Gao 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： AgentFlow 用带标签的运行时边表达敏感数据、工具、sink 与委派关系，支持 flow/path rule、任务级 capability、controlled release 和有状态 taint semantics；reference monitor 执行动作中介，受限策略片段由 SMT verifier 检查。原型的七项安全性质均在 0.5 秒内完成验证；在 949 个 AgentDojo 注入样例中 confirmed compromise 从 33.0% 降至 0%，效用由 46.7% 升至 63.3%，AgentDyn Dailylife 上也将 compromise 从 73.5% 降至 0%。 与你的方向关系： 这项工作把 Prompt Injection 的后果建模为跨步骤 information flow，而非单次恶意文本检测，直接关联 capability / permission control、multi-agent delegation 和 semantic privacy。 建议： 精读。重点检查哪些行为必须显式暴露为 policy-visible edge，以及自然语言任务如何可靠映射到标签与 release 条件；这决定了零 compromise 是否能迁移到开放式代理。 4. SecOPD: Mitigating Adaptive Prompt Injections by On-Policy Distillation 类型 / 来源： 新论文 + 新代码仓库｜arXiv（EMNLP 2026）/ GitHub 作者 / 维护者： Yibo Peng、Long Lian、David Wagner、Sizhe Chen；pppyb 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-21） 链接： 论文 · 代码 核心内容： SecOPD 针对 DPO/GRPO 的序列级反馈无法定位不安全 token 的问题，让学生模型在受攻击上下文中 rollout，再由同初始化的 clean-context teacher 对学生实际采样 token 提供逐 token 蒸馏信号。防御后的 Qwen3.6-27B 在 PISmith 自适应注入上的 ASR 为 9.0%，对比 Meta-SecAlign 的 94.0%；未见训练域的 agentic tool calling 上 ASR 为 4.7%。官方仓库包含训练、评测、配置、测试与模型链接等实质内容。 与你的方向关系： 这是 adaptive prompt injection 防御与安全微调的直接交叉，尤其适合作为“模型内生防御”与 runtime monitor、taint tracking 或 contract enforcement 的组合基线。 建议： 精读。优先验证 clean teacher 的假设、全响应 reverse-KL 对 reasoning token 的作用，以及针对该训练目标重新自适应后的攻击强度。 5. Prime Agent: A Self-Improving RLM Harness 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Seth Karten、Alex L. Zhang、Kevin Thomas、Sebastian Müller、Elie Bakouch、Daniel Auras、Mika Senghaas 等；PrimeIntellect-ai 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 · 代码 核心内容： Prime Agent 用持久 IPython REPL 提供程序化上下文处理与 test-time compute，Continual Harness 跨轨迹保留历史、记忆、skills、prompts 和 subagent 规格，并统一执行、恢复、验证与资源核算。论文报告 ARC-AGI-3 RHAE Best@1 从 30% 提升到 95.5%，并在长上下文编码、GPU kernel、模拟器构建等任务中与多种原生或流行 harness 对比；官方仓库包含 runtime、多包代码、测试、文档与持续开发历史。 与你的方向关系： 它同时覆盖 RLM、code-as-memory、持久 harness 与自改进代理，并把“策略由模型构造、执行语义由 harness 保证”作为清晰的系统边界。 建议： 精读。应区分 persistent state、recursive subagent 与恢复机制各自贡献，并审视跨轨迹保留 prompts/skills 时的投毒、撤销和审计风险。 6. SkillBloat: Token Amplification Attacks via Skill Injection in LLM Coding Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yuanjin Zheng、Jingbang Chen 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-22） 链接： 论文 核心内容： SkillBloat 把 malicious skill 的威胁从数据窃取或越权扩展到经济型资源滥用：第一阶段在多类放大机制中筛选攻击条件，第二阶段用 LLM 引导的全技能文档重写继续优化。真实 skill benchmark 上，不同 coding-agent 配置的平均最佳 token amplification 达 5.4184×–10.1455×，消融显示第二阶段持续优于只做攻击类型筛选。 与你的方向关系： 直接命中 persistent skill-file security 与 cost-aware agent optimization，说明即使最终动作不越权，可信指令通道仍可通过循环、冗余规划或上下文膨胀造成显著成本攻击。 建议： 精读。重点检查放大倍率是否包含失败重试与模型差异，并考虑将 token、wall-clock、工具费用和上下文增长统一为资源预算策略。 7. Beyond Over-Refusal: Defending Indirect Prompt Injection via Latent Instruction Manifolds 类型 / 来源： 新论文｜arXiv（EMNLP 2026 Findings 扩展版） 作者 / 维护者： Jiahao Chen、Rui Yin、Xinfeng Li、Qianli Ma、Tianyu Du、Zhihui Fu、Jun Wang、Zhaoxiang Wang、Shouling Ji 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-23） 链接： 论文 核心内容： 论文从理论与实验两方面主张 LLM 的潜表示能内生地区分 instruction 与 data，并据此提出 AEGIS：提取 instruction-sensitive projectors，再以跨网络深度的多层共识聚合拓扑不同的检测信号。作者报告其在启发式与优化型 IPI 上相对基线兼顾检测与低 over-refusal；官方论文所链 GitHub 仓库当前为空，因此本期不把它计为新代码仓库。 与你的方向关系： 这是一条针对 indirect prompt injection 的 representation-level defense 路线，可与输入分类器、双模型审查和 information-flow enforcement 形成互补比较。 建议： 浏览。最值得验证的是 projector 跨模型、跨层和跨攻击域的稳定性，以及白盒攻击能否直接优化绕过其共识信号。 8. TRACE: A Self-Evolving Skill Bank for Consistent, Limit-Aware LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Wenhao Wu、Menghao Zhang、Xin Wang、Zhi Wang、Kun Shao、Jian Luan 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： TRACE 将工具规则与行为约束组织为可检索 Skill Bank，并在每轮评测后按实际调用的 skill 聚合轨迹，通过成功/失败行为对比持续改写技能；部署时 Actor 每一轮根据状态编排 skill。CAR-bench 上，GPT-5.5 的 Pass³ 从 59.9% 提升到 94.5%，潜在能力与稳定表现的差距缩至 4.0 个百分点；官方隐藏集使用 GPT-5.6-Sol 获得 70% Pass³。 与你的方向关系： 直接关联 self-evolving agents、persistent instruction 与 executable harness learning，也把 pass@k 与一致性 Pass^k 的差别引入 skill 优化目标。 建议： 精读。应检查 skill 更新的接受门槛、回滚与遗忘控制，尤其关注成功/失败对比是否会把偶然轨迹或安全违规固化进持久技能库。 9. SkillAlchemy: Open-World Agent Skill Creation 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Hengjun Wang、Shuyue Wei、Boyi Liu、Jun Yang、Yongxin Tong 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： SkillAlchemy 面向只有模糊 skill brief、缺少人工轨迹的开放世界创建场景，从允许访问的外部材料中通过对比证据发现隐含要求，按证据支持的范围 admission 候选过程，再编译为 grammar-guided skill package。87 个 SkillsBench v1.1 任务上，较无 skill 提升 19.9 个百分点，较最强自动基线提升 8.6 个百分点，并达到接近人工技能的表现。 与你的方向关系： 它把 skill synthesis 的关键问题从生成能力转向 source grounding、scope admission 与结构化编译，既是 Harness Optimization 路线，也为防止来源材料中的间接注入和过度授权提供了新的控制点。 建议： 精读。关注 evidence-supported scope 的形式化程度，以及恶意或相互冲突来源下 admission 是否仍可靠；这可能形成 skill 供应链安全的直接扩展。 10. AgentWeave: Routing Before Reasoning for Efficient Function Calling in Tool-Rich Language Models 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Saurav Singla、Aarav Singla、Advik Gupta、Parnika Gupta 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： AgentWeave 在模型推理前用 eligibility、requirement、capability 与 routing 信号构造有界的可见动作空间，而不改动下游模型。其 BFCL-derived routing-pressure 实验在 48 个新多函数任务上取得 6/48 成功，all-tools、随机 top-8 与语义 top-8 均为 0/48；相较全工具暴露，工具数、输入 token 与本地模型平均延迟分别下降 70.18%、61.70% 和 50.95%，但作者明确承认绝对成功率仍低且并非官方完整 BFCL 得分。 与你的方向关系： 这是 cost-aware harness 与 least-privilege tool exposure 的交叉：预路由同时减少 token/延迟和无关工具攻击面，可作为大型 MCP/tool registry 的前置 controller。 建议： 浏览。保留其窄实验结论，重点比较 routing recall、错误拒绝与动态 escalation；在扩大任务和模型之前不宜把 12.5% 绝对成功率解释为通用提升。 今日优先阅读 优先阅读 AutoSaddler、InjecMEM 与 AgentFlow。它们分别代表可执行 harness 的轨迹驱动持久更新、无需记忆库权限的一次性交互投毒，以及跨工具与委派边界的状态化信息流控制，会直接影响当前 harness 论文的定位、Agent Security 威胁模型和实验对比组设计。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-26-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-25—2026-08-26\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期共筛选出 10 项，主要来自 8 月 25 日公布的 arXiv 批次。最明显的趋势是 Harness Optimization 正从提示词搜索转向基于执行轨迹的持久代码更新，而代理安全则同时扩展到记忆注入、技能资源放大和状态化信息流控制；没有需要重复收录的论文版本或既有项目重大更新。Prime Agent 与 SecOPD 提供了包含实质实现、测试或训练评测代码的新仓库；AEGIS 的官方链接仓库当前为空，因此仅按论文收录，AutoSaddler 和 AgentWeave 也未附上无法从官方页面核实的代码地址。\u003c/p\u003e\n\u003ch2 id=\"1-autosaddler-automatic-harness-optimization-with-durable-updates-from-agent-execution-traces\"\u003e1. AutoSaddler: Automatic Harness Optimization with Durable Updates from Agent Execution Traces\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Sungho Park、Wonjoong Kim、Rongyuan Tan、Jue Zhang、Wook-Shin Han、Pengfei Gao、Chanyoung Park 等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-25（arXiv 公布；初稿提交于 2026-08-24）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.23041\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e AutoSaddler 将 harness 优化建模为离线学习：从 mini-batch 执行失败中进行深度诊断，把 harness 视为代码生成结构化 patch，再通过验证集选择可持久保留的更新。论文在 GAIA2、SWE-Bench Pro 和 Terminal-Bench 2.0 上相对基础 harness 分别提升 9.0、9.6 和 10.0 个百分点，并表明深度调试、定向修改与泛化感知选择均是关键组件。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Harness Optimization 的高度直接工作，搜索空间覆盖 prompt、tool 与 middleware，且其“轨迹诊断—代码 patch—验证选择”流程可与 Meta-Harness、GEPA 以及从空 scaffold 自然生长的路线进行正面对比。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点核对初始化 harness、patch 粒度、验证集使用方式与总执行预算；这些细节决定其增益来自真正的控制器结构学习，还是对现有 harness 的局部修补。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-injecmem-memory-injection-attack-on-llm-agent-memory-systems\"\u003e2. InjecMEM: Memory Injection Attack on LLM Agent Memory Systems\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv（COLM 2026）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Hanling Tian、Gengyu Zhang、Zeyang Sha、Jingying Wang、Yuhang Liu、Zhehao Huang、Kun Yang、Xiaolin Huang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-25（arXiv 公布；初稿提交于 2026-08-24）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.23471\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e InjecMEM 只需一次正常交互、无需直接读取或编辑记忆库，即可让后续相关查询被引导到预设输出。攻击把高召回主题线索构造成 retriever-agnostic anchor，并用跨模板、位置与 backbone 优化的 adversarial command 抵抗融合上下文、长提示和记忆漂移；实验覆盖多个记忆系统与基础模型，并保持非目标查询基本不受影响。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它直接刻画 agent memory poisoning 的现实写入入口，并将攻击拆成“保证被检索”与“检索后控制生成”两个可独立优化的阶段，适合与昨日的事实性记忆投毒及 provenance 防御边界进行对照。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。应重点复现跨 retriever、跨 backbone 的迁移，以及记忆压缩、去重和摘要机制是否会破坏 anchor-command 耦合。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-agentflow-a-flow-centric-policy-language-and-framework-for-securing-llm-agent-systems\"\u003e3. AgentFlow: A Flow-Centric Policy Language and Framework for Securing LLM Agent Systems\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Basavesh Ammanaghatta Shivakumar、Swarn Priya、Peng Gao\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-25（arXiv 公布；初稿提交于 2026-08-24）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.22868\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e AgentFlow 用带标签的运行时边表达敏感数据、工具、sink 与委派关系，支持 flow/path rule、任务级 capability、controlled release 和有状态 taint semantics；reference monitor 执行动作中介，受限策略片段由 SMT verifier 检查。原型的七项安全性质均在 0.5 秒内完成验证；在 949 个 AgentDojo 注入样例中 confirmed compromise 从 33.0% 降至 0%，效用由 46.7% 升至 63.3%，AgentDyn Dailylife 上也将 compromise 从 73.5% 降至 0%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这项工作把 Prompt Injection 的后果建模为跨步骤 information flow，而非单次恶意文本检测，直接关联 capability / permission control、multi-agent delegation 和 semantic privacy。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点检查哪些行为必须显式暴露为 policy-visible edge，以及自然语言任务如何可靠映射到标签与 release 条件；这决定了零 compromise 是否能迁移到开放式代理。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-secopd-mitigating-adaptive-prompt-injections-by-on-policy-distillation\"\u003e4. SecOPD: Mitigating Adaptive Prompt Injections by On-Policy Distillation\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv（EMNLP 2026）/ GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yibo Peng、Long Lian、David Wagner、Sizhe Chen；pppyb\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-25（arXiv 公布；初稿提交于 2026-08-21）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.21500\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/pppyb/SecOPD\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SecOPD 针对 DPO/GRPO 的序列级反馈无法定位不安全 token 的问题，让学生模型在受攻击上下文中 rollout，再由同初始化的 clean-context teacher 对学生实际采样 token 提供逐 token 蒸馏信号。防御后的 Qwen3.6-27B 在 PISmith 自适应注入上的 ASR 为 9.0%，对比 Meta-SecAlign 的 94.0%；未见训练域的 agentic tool calling 上 ASR 为 4.7%。官方仓库包含训练、评测、配置、测试与模型链接等实质内容。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 adaptive prompt injection 防御与安全微调的直接交叉，尤其适合作为“模型内生防御”与 runtime monitor、taint tracking 或 contract enforcement 的组合基线。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。优先验证 clean teacher 的假设、全响应 reverse-KL 对 reasoning token 的作用，以及针对该训练目标重新自适应后的攻击强度。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-prime-agent-a-self-improving-rlm-harness\"\u003e5. Prime Agent: A Self-Improving RLM Harness\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Seth Karten、Alex L. Zhang、Kevin Thomas、Sebastian Müller、Elie Bakouch、Daniel Auras、Mika Senghaas 等；PrimeIntellect-ai\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-25（arXiv 公布；初稿提交于 2026-08-24）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.23552\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/PrimeIntellect-ai/prime-agent\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e Prime Agent 用持久 IPython REPL 提供程序化上下文处理与 test-time compute，Continual Harness 跨轨迹保留历史、记忆、skills、prompts 和 subagent 规格，并统一执行、恢复、验证与资源核算。论文报告 ARC-AGI-3 RHAE Best@1 从 30% 提升到 95.5%，并在长上下文编码、GPU kernel、模拟器构建等任务中与多种原生或流行 harness 对比；官方仓库包含 runtime、多包代码、测试、文档与持续开发历史。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它同时覆盖 RLM、code-as-memory、持久 harness 与自改进代理，并把“策略由模型构造、执行语义由 harness 保证”作为清晰的系统边界。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。应区分 persistent state、recursive subagent 与恢复机制各自贡献，并审视跨轨迹保留 prompts/skills 时的投毒、撤销和审计风险。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-skillbloat-token-amplification-attacks-via-skill-injection-in-llm-coding-agents\"\u003e6. SkillBloat: Token Amplification Attacks via Skill Injection in LLM Coding Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yuanjin Zheng、Jingbang Chen\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-25（arXiv 公布；初稿提交于 2026-08-22）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.21929\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SkillBloat 把 malicious skill 的威胁从数据窃取或越权扩展到经济型资源滥用：第一阶段在多类放大机制中筛选攻击条件，第二阶段用 LLM 引导的全技能文档重写继续优化。真实 skill benchmark 上，不同 coding-agent 配置的平均最佳 token amplification 达 5.4184×–10.1455×，消融显示第二阶段持续优于只做攻击类型筛选。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 直接命中 persistent skill-file security 与 cost-aware agent optimization，说明即使最终动作不越权，可信指令通道仍可通过循环、冗余规划或上下文膨胀造成显著成本攻击。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点检查放大倍率是否包含失败重试与模型差异，并考虑将 token、wall-clock、工具费用和上下文增长统一为资源预算策略。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-beyond-over-refusal-defending-indirect-prompt-injection-via-latent-instruction-manifolds\"\u003e7. Beyond Over-Refusal: Defending Indirect Prompt Injection via Latent Instruction Manifolds\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv（EMNLP 2026 Findings 扩展版）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jiahao Chen、Rui Yin、Xinfeng Li、Qianli Ma、Tianyu Du、Zhihui Fu、Jun Wang、Zhaoxiang Wang、Shouling Ji\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-25（arXiv 公布；初稿提交于 2026-08-23）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.22248\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文从理论与实验两方面主张 LLM 的潜表示能内生地区分 instruction 与 data，并据此提出 AEGIS：提取 instruction-sensitive projectors，再以跨网络深度的多层共识聚合拓扑不同的检测信号。作者报告其在启发式与优化型 IPI 上相对基线兼顾检测与低 over-refusal；官方论文所链 GitHub 仓库当前为空，因此本期不把它计为新代码仓库。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是一条针对 indirect prompt injection 的 representation-level defense 路线，可与输入分类器、双模型审查和 information-flow enforcement 形成互补比较。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。最值得验证的是 projector 跨模型、跨层和跨攻击域的稳定性，以及白盒攻击能否直接优化绕过其共识信号。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-trace-a-self-evolving-skill-bank-for-consistent-limit-aware-llm-agents\"\u003e8. TRACE: A Self-Evolving Skill Bank for Consistent, Limit-Aware LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Wenhao Wu、Menghao Zhang、Xin Wang、Zhi Wang、Kun Shao、Jian Luan\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-25（arXiv 公布；初稿提交于 2026-08-24）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.22793\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e TRACE 将工具规则与行为约束组织为可检索 Skill Bank，并在每轮评测后按实际调用的 skill 聚合轨迹，通过成功/失败行为对比持续改写技能；部署时 Actor 每一轮根据状态编排 skill。CAR-bench 上，GPT-5.5 的 Pass³ 从 59.9% 提升到 94.5%，潜在能力与稳定表现的差距缩至 4.0 个百分点；官方隐藏集使用 GPT-5.6-Sol 获得 70% Pass³。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 直接关联 self-evolving agents、persistent instruction 与 executable harness learning，也把 pass@k 与一致性 Pass^k 的差别引入 skill 优化目标。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。应检查 skill 更新的接受门槛、回滚与遗忘控制，尤其关注成功/失败对比是否会把偶然轨迹或安全违规固化进持久技能库。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-skillalchemy-open-world-agent-skill-creation\"\u003e9. SkillAlchemy: Open-World Agent Skill Creation\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Hengjun Wang、Shuyue Wei、Boyi Liu、Jun Yang、Yongxin Tong\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-25（arXiv 公布；初稿提交于 2026-08-24）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.23417\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SkillAlchemy 面向只有模糊 skill brief、缺少人工轨迹的开放世界创建场景，从允许访问的外部材料中通过对比证据发现隐含要求，按证据支持的范围 admission 候选过程，再编译为 grammar-guided skill package。87 个 SkillsBench v1.1 任务上，较无 skill 提升 19.9 个百分点，较最强自动基线提升 8.6 个百分点，并达到接近人工技能的表现。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它把 skill synthesis 的关键问题从生成能力转向 source grounding、scope admission 与结构化编译，既是 Harness Optimization 路线，也为防止来源材料中的间接注入和过度授权提供了新的控制点。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。关注 evidence-supported scope 的形式化程度，以及恶意或相互冲突来源下 admission 是否仍可靠；这可能形成 skill 供应链安全的直接扩展。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"10-agentweave-routing-before-reasoning-for-efficient-function-calling-in-tool-rich-language-models\"\u003e10. AgentWeave: Routing Before Reasoning for Efficient Function Calling in Tool-Rich Language Models\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Saurav Singla、Aarav Singla、Advik Gupta、Parnika Gupta\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-25（arXiv 公布；初稿提交于 2026-08-24）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.23078\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e AgentWeave 在模型推理前用 eligibility、requirement、capability 与 routing 信号构造有界的可见动作空间，而不改动下游模型。其 BFCL-derived routing-pressure 实验在 48 个新多函数任务上取得 6/48 成功，all-tools、随机 top-8 与语义 top-8 均为 0/48；相较全工具暴露，工具数、输入 token 与本地模型平均延迟分别下降 70.18%、61.70% 和 50.95%，但作者明确承认绝对成功率仍低且并非官方完整 BFCL 得分。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 cost-aware harness 与 least-privilege tool exposure 的交叉：预路由同时减少 token/延迟和无关工具攻击面，可作为大型 MCP/tool registry 的前置 controller。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。保留其窄实验结论，重点比较 routing recall、错误拒绝与动态 escalation；在扩大任务和模型之前不宜把 12.5% 绝对成功率解释为通用提升。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 \u003cstrong\u003eAutoSaddler\u003c/strong\u003e、\u003cstrong\u003eInjecMEM\u003c/strong\u003e 与 \u003cstrong\u003eAgentFlow\u003c/strong\u003e。它们分别代表可执行 harness 的轨迹驱动持久更新、无需记忆库权限的一次性交互投毒，以及跨工具与委派边界的状态化信息流控制，会直接影响当前 harness 论文的定位、Agent Security 威胁模型和实验对比组设计。\u003c/p\u003e","title":"2026-08-26 热点论文推送"},{"content":" 本期检索范围： 2026-08-18—2026-08-19\n本期筛选出 10 项。最明显的趋势是 Agent Security 正从单次内容检测转向会话级授权、跨技能组合分析和可信执行证据，同时 skill 自演化已同时被用于红队攻击与持久化隐私侧信道。本期均为新论文，没有论文版本更新或项目重大更新；5 项论文附有实质代码或评测仓库，没有发现值得脱离论文单独收录的新项目，IACR ePrint 亦未发现达到中高相关标准的新增内容。\n1. Bounded Agents: Delegation Security for Multi-Agent AI Systems 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Xabier Muruaga 日期： 2026-08-16 链接： 论文 · 代码 核心内容： 论文提出 Agentic Principal Chain（APC），把委托权限、历史动作、范围与预算带入每次授权判定，并用六项检查在模型外执行 composition closure。对 3,154 个实例的评测中，APC 将 AgentDojo 四个域的外泄率从 75%–100% 降至 0%，阻断全部 544 个 InjecAgent 数据窃取案例；仓库包含实现、评测、215 项测试和论文数字复核脚本。 与你的方向关系： 这是 capability / permission control 与 multi-agent security 的直接系统化方案，核心观点是 prompt injection 只有在权限允许危险动作时才形成实际风险，因此安全边界必须覆盖委托链和会话历史，而非只检查单次 tool call。 建议： 精读。重点核查其 restriction set 完备性和 serialized admission 假设，并将 Blast Radius Monotonicity、Composition Soundness 与现有 action gate 做形式化对照。 2. CompoSkill: Compositional Skill Chain Attacks from Individually Scanner-Passing LLM Agent Skills 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Mingxiao Liu、Zhoumian Jiang、Jianan Ma、Jian Zhang、Jialuo Chen、Xinhao Deng、Zhen Wang 日期： 2026-08-17 链接： 论文 核心内容： CompoSkill 证明逐个通过扫描的技能仍可在输出、能力和副作用连接后形成危险路径，并分别构造知道已安装技能池的白盒攻击与只知道角色画像的黑盒攻击。其 1,140 条记录 benchmark 覆盖 OpenClaw、Nanobot、五类威胁与六种场景，白盒和黑盒最高 Chain Formation Rate 分别为 83.3% 与 80.6%。 与你的方向关系： 该工作直接挑战 persistent skill-file security 的“逐包认证”假设，把风险从节点属性提升为路径属性；这也说明 harness 的安装器和 planner 需要对组合后的 capability graph 进行审计。 建议： 精读。优先分析 Skill Composition Graph、implicit lure 和三跳后的 hop decay，并与 SkillGate 等单技能检测器做端到端比较。 3. JailbreakSkill: Scaling Automated Red-Teaming with Reusable and Ever-Evolving Skills 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Xiaoyu Wen、Jiajia Li、Zhida He、Peng Yu、Chenxu Wang、Han Qi、Ziyuan Zhou、Cheng Jin、Ying Wen、Xingcheng Xu、Shuyue Hu、Tianhang Zheng、Chaochao Lu、Qiaosheng Zhang；BattleWen 日期： 2026-08-17 链接： 论文 · 代码 核心内容： JailbreakSkill 将既有越狱策略封装为可复用技能，用共享 UCB memory 选择攻击，再从失败轨迹中诊断、细化、组合和发现新技能。演化使 AdvBench 与 HarmBench 的宏平均 ASR 分别增加 17.5 和 13.4 个百分点；仓库已有两阶段运行时、内置与演化技能、三个 benchmark 数据、配置和外部证据技能抽取工具。 与你的方向关系： 它把 jailbreak attack 与 executable harness learning 合并为闭环，展示 skill library 如何从攻击反馈持续增长；同一机制也构成持久化红队资产的治理、审计和滥用风险。 建议： 精读并受控试跑。重点比较 UCB 搜索和 meta-skill 演化与一般 harness optimization 的探索策略、迁移性及污染控制，只在获授权目标上运行。 4. Proof-of-Execution Memory: Defending LLM Agents Against Forged-Reasoning Attacks by Verifying What Actually Happened 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Md Habibur Rahman、Jaeho Kim；bithabib 日期： 2026-08-17 链接： 论文 · 代码 核心内容： 论文展示 FARMA 可向 reasoning memory 写入“安全步骤已执行”的伪造记录，而简单改写即可令措辞检测型 SENTINEL 在全部测试模型上失效。PoEM 不审查记忆文本，而由可信 action layer 写入 HMAC 链式、可防篡改的执行账本；三模型三场景中攻击成功率降至 0%，代码仓库含复现实验、自动攻击器、LangChain 端口和分析脚本。 与你的方向关系： 这是 agent memory poisoning 与 tool-use security 的关键架构分离：不可信语义记忆不能作为已执行副作用的证据，安全决策应依赖独立的 provenance ledger。 建议： 精读。重点评估可信 action layer 的攻击面、账本与真实外部副作用的一致性，以及 PoEM 对未纳入 gate 的行为是否留下旁路。 5. SkillWatermark: An Embedded Skill Watermark of Progressive Privacy Inference via Benign Prompts 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yu Li、Liqi Zhuang、Dong Wei、Jiwen Luo、Hang Zhang、Meng Zhang、Xiaona Li、Weiqing Huang 日期： 2026-08-17 链接： 论文 核心内容： SkillWatermark 在看似无害的 skill description 中嵌入约束，使 Agent 在多轮执行时产生可区分的网络流量模式，从而让被动网络观察者逐步解码用户提示中的私密信息。该方式不直接外传数据或执行显式恶意指令，实验中的变换技能仍能通过现有 LLM 安全审计工具。 与你的方向关系： 它揭示 persistent skill-file security 与 semantic privacy 的新交叉面：技能可通过执行形态而非文本内容或工具参数建立 covert channel，传统 prompt injection 扫描难以覆盖。 建议： 精读。重点检查流量观察者能力、编码容量与误码率，并考虑在 skill 审计中加入跨轮动态信息流、流量整形和最小可观测性测试。 6. What to Remember, What to Reveal: Privacy-Aware Memory for Conversational Agents 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Wenjie Wang、Wenhe Si、Xinyue Xu、Yue Xu；Jensassss 日期： 2026-08-17 链接： 论文 · 代码 核心内容： SP-Mem 将可用于个性化的净化记忆与精确私密值分离存储，并依据任务需求和用户同意选择性恢复私密值，覆盖写入、存储、检索和使用的完整生命周期。论文同时提出联合衡量回复质量、隐私行为和推理成本的 benchmark；仓库含 memory/agent 实现、合成数据和规则式及 LLM judge 评测脚本。 与你的方向关系： 该工作直接面向 agent memory privacy，把“是否记住”和“何时揭示”拆成可执行 controller policy；适合与单纯 PII 删除、语义摘要和 memory capability revocation 做对照。 建议： 精读。重点验证 consent path、私密值 hydration 与 graph/vector retrieval 的隔离是否能抵抗 prompt injection、推断攻击和跨会话权限变化。 7. Governance at the Boundary: How Agent Decomposition Degrades Policy Compliance 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Bowen Li、Guojun Wang 日期： 2026-08-17 链接： 论文 核心内容： Fiducia-bench 不只检查任务完成，还测量金融 Agent 是否按政策升级、拒绝并留下可审计轨迹。626 个 episode 显示，32B 模型在单循环中不丢失已发现的政策事实，但固定 pipeline 和 orchestrator–subagent 架构在约束距离为 2 时分别衰减 56% 与 85%；遗漏既会导致升级不足，也会导致过度升级。 与你的方向关系： 它揭示 multi-agent decomposition 的安全成本来自 handoff 中的 policy-fact attenuation，直接关联 semantic information-flow control、controller 分解和跨 Agent 权限决策。 建议： 精读。可将“约束事实的发现—传递—执行”拆成独立指标，并比较显式 taint、typed handoff 与共享状态是否能减少衰减。 8. A Policy Algebra for Trust-Preserving Agentic AI Execution 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Bhaskar Tripathi、Anurag Kumar、Ramendra Kumar、Bhavesh Gadhe 日期： 2026-08-17 链接： 论文 核心内容： 论文把可靠能力定义为路径属性：身份、工具、数据、记忆、预算、产物、审批和审计约束在整个行动序列中都必须可接受。其 policy algebra 通过 join、intersection、预算收窄、审批继承与证据累积组合运行时义务；实验中干预 94.8% 的违规事件，同时保持 86.9% 的任务完成率，并将审计完整度提升至 98.6%。 与你的方向关系： 这是 Harness Optimization 与 permission control 的形式化相邻工作，尤其适用于让可自修改 controller 在能力增长时仍保持单调收窄的权限和可恢复的预算边界。 建议： 精读。重点审查 algebra 的 least-restrictive 性质、跨 Agent 调用传播和 cost-aware artifact materialization，并确认评测中的政策覆盖是否足以支持强结论。 9. Security Assessment of DeepSeek Harness with A.I.G: Evaluating Resistance to Indirect Prompt Injection 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Zonghao Ying、Xiangfan Wu、Huiyu Wu、Xing Zheng、Huangsheng Cheng、Xiaorong Shi、Jing Guo；Tencent Zhuque Lab 日期： 2026-08-17 链接： 论文 · 代码 核心内容： 研究在保留 DeepSeek Harness agent loop、tool registry、model adapter 和 session-event path 的条件下，用本地 source/sink fixture 完成 14,560 次受控执行，覆盖 16 个间接内容通道、35 种 payload objective 和 12 类攻击。最高观测 ASR 为文本 fake-completion 的 17.0%（LLMJudge）、文件 hidden-Unicode 的 25.5%（RuleJudge）和文件 skills channel 的 16.0%（RuleJudge）；配套 A.I.G 仓库拥有 Agent、Skill、MCP 与基础设施扫描实现。 与你的方向关系： 这是 indirect prompt injection 与 harness-level security 的直接实证，能够定位哪些额外上下文、工具结果和 policy hook 把不可信内容传播到敏感动作。 建议： 精读并复现实验协议。重点比较 deterministic 与 semantic judge 的分歧、不同 carrier/channel 的覆盖，以及 source-to-sink fixture 能否迁移到其他 agent harness。 10. What Does Context Compression Cost an Agent? Interaction Costs Unrevealed by Task-Completion Metrics 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Shuyu Liu 日期： 2026-08-17 链接： 论文 核心内容： 论文在固定 24 轮工具环境中比较丢弃式与事实保留式压缩，并将新增 tool call 拆成重新检索和执行。六组模型—任务对比的 retrieval call 全部增加，而 5× 压缩下完成率均无显著变化；GPT-5.5 的完成率由 80% 变为 85%，但检索调用从 21.0 增至 63.9，说明终态指标会掩盖重获状态的交互成本。 与你的方向关系： 该工作直接影响 cost-aware harness optimization、context compaction 和 code-as-memory：压缩策略若只以成功率为 reward，可能把上下文成本转移为大量工具调用和延迟。 建议： 精读。建议将 reacquisition cost、retrieval/execution 分解和环境依赖性纳入 harness evaluator，而不是只比较 token 数和最终 pass rate。 今日优先阅读 优先阅读 Bounded Agents、CompoSkill 和 JailbreakSkill。前两项分别给出会话级委托权限的外部强制机制和技能组合风险的路径级威胁模型；JailbreakSkill 则展示攻击技能如何形成可执行、自演化的红队闭环，会直接影响 skill/harness optimization 的安全边界与论文定位。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-19-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-18—2026-08-19\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期筛选出 10 项。最明显的趋势是 Agent Security 正从单次内容检测转向会话级授权、跨技能组合分析和可信执行证据，同时 skill 自演化已同时被用于红队攻击与持久化隐私侧信道。本期均为新论文，没有论文版本更新或项目重大更新；5 项论文附有实质代码或评测仓库，没有发现值得脱离论文单独收录的新项目，IACR ePrint 亦未发现达到中高相关标准的新增内容。\u003c/p\u003e\n\u003ch2 id=\"1-bounded-agents-delegation-security-for-multi-agent-ai-systems\"\u003e1. Bounded Agents: Delegation Security for Multi-Agent AI Systems\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Xabier Muruaga\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-16\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.15888\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/xmuruaga/bounded-agents\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文提出 Agentic Principal Chain（APC），把委托权限、历史动作、范围与预算带入每次授权判定，并用六项检查在模型外执行 composition closure。对 3,154 个实例的评测中，APC 将 AgentDojo 四个域的外泄率从 75%–100% 降至 0%，阻断全部 544 个 InjecAgent 数据窃取案例；仓库包含实现、评测、215 项测试和论文数字复核脚本。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 capability / permission control 与 multi-agent security 的直接系统化方案，核心观点是 prompt injection 只有在权限允许危险动作时才形成实际风险，因此安全边界必须覆盖委托链和会话历史，而非只检查单次 tool call。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点核查其 restriction set 完备性和 serialized admission 假设，并将 Blast Radius Monotonicity、Composition Soundness 与现有 action gate 做形式化对照。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-composkill-compositional-skill-chain-attacks-from-individually-scanner-passing-llm-agent-skills\"\u003e2. CompoSkill: Compositional Skill Chain Attacks from Individually Scanner-Passing LLM Agent Skills\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Mingxiao Liu、Zhoumian Jiang、Jianan Ma、Jian Zhang、Jialuo Chen、Xinhao Deng、Zhen Wang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-17\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.16246\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e CompoSkill 证明逐个通过扫描的技能仍可在输出、能力和副作用连接后形成危险路径，并分别构造知道已安装技能池的白盒攻击与只知道角色画像的黑盒攻击。其 1,140 条记录 benchmark 覆盖 OpenClaw、Nanobot、五类威胁与六种场景，白盒和黑盒最高 Chain Formation Rate 分别为 83.3% 与 80.6%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直接挑战 persistent skill-file security 的“逐包认证”假设，把风险从节点属性提升为路径属性；这也说明 harness 的安装器和 planner 需要对组合后的 capability graph 进行审计。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。优先分析 Skill Composition Graph、implicit lure 和三跳后的 hop decay，并与 SkillGate 等单技能检测器做端到端比较。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-jailbreakskill-scaling-automated-red-teaming-with-reusable-and-ever-evolving-skills\"\u003e3. JailbreakSkill: Scaling Automated Red-Teaming with Reusable and Ever-Evolving Skills\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Xiaoyu Wen、Jiajia Li、Zhida He、Peng Yu、Chenxu Wang、Han Qi、Ziyuan Zhou、Cheng Jin、Ying Wen、Xingcheng Xu、Shuyue Hu、Tianhang Zheng、Chaochao Lu、Qiaosheng Zhang；BattleWen\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-17\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.16465\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/BattleWen/JailbreakSkill\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e JailbreakSkill 将既有越狱策略封装为可复用技能，用共享 UCB memory 选择攻击，再从失败轨迹中诊断、细化、组合和发现新技能。演化使 AdvBench 与 HarmBench 的宏平均 ASR 分别增加 17.5 和 13.4 个百分点；仓库已有两阶段运行时、内置与演化技能、三个 benchmark 数据、配置和外部证据技能抽取工具。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它把 jailbreak attack 与 executable harness learning 合并为闭环，展示 skill library 如何从攻击反馈持续增长；同一机制也构成持久化红队资产的治理、审计和滥用风险。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读并受控试跑\u003c/strong\u003e。重点比较 UCB 搜索和 meta-skill 演化与一般 harness optimization 的探索策略、迁移性及污染控制，只在获授权目标上运行。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-proof-of-execution-memory-defending-llm-agents-against-forged-reasoning-attacks-by-verifying-what-actually-happened\"\u003e4. Proof-of-Execution Memory: Defending LLM Agents Against Forged-Reasoning Attacks by Verifying What Actually Happened\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Md Habibur Rahman、Jaeho Kim；bithabib\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-17\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.16032\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/bithabib/ai_security\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文展示 FARMA 可向 reasoning memory 写入“安全步骤已执行”的伪造记录，而简单改写即可令措辞检测型 SENTINEL 在全部测试模型上失效。PoEM 不审查记忆文本，而由可信 action layer 写入 HMAC 链式、可防篡改的执行账本；三模型三场景中攻击成功率降至 0%，代码仓库含复现实验、自动攻击器、LangChain 端口和分析脚本。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 agent memory poisoning 与 tool-use security 的关键架构分离：不可信语义记忆不能作为已执行副作用的证据，安全决策应依赖独立的 provenance ledger。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点评估可信 action layer 的攻击面、账本与真实外部副作用的一致性，以及 PoEM 对未纳入 gate 的行为是否留下旁路。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-skillwatermark-an-embedded-skill-watermark-of-progressive-privacy-inference-via-benign-prompts\"\u003e5. SkillWatermark: An Embedded Skill Watermark of Progressive Privacy Inference via Benign Prompts\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yu Li、Liqi Zhuang、Dong Wei、Jiwen Luo、Hang Zhang、Meng Zhang、Xiaona Li、Weiqing Huang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-17\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.16026\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SkillWatermark 在看似无害的 skill description 中嵌入约束，使 Agent 在多轮执行时产生可区分的网络流量模式，从而让被动网络观察者逐步解码用户提示中的私密信息。该方式不直接外传数据或执行显式恶意指令，实验中的变换技能仍能通过现有 LLM 安全审计工具。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它揭示 persistent skill-file security 与 semantic privacy 的新交叉面：技能可通过执行形态而非文本内容或工具参数建立 covert channel，传统 prompt injection 扫描难以覆盖。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点检查流量观察者能力、编码容量与误码率，并考虑在 skill 审计中加入跨轮动态信息流、流量整形和最小可观测性测试。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-what-to-remember-what-to-reveal-privacy-aware-memory-for-conversational-agents\"\u003e6. What to Remember, What to Reveal: Privacy-Aware Memory for Conversational Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Wenjie Wang、Wenhe Si、Xinyue Xu、Yue Xu；Jensassss\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-17\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.16551\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/Jensassss/SP-Mem\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SP-Mem 将可用于个性化的净化记忆与精确私密值分离存储，并依据任务需求和用户同意选择性恢复私密值，覆盖写入、存储、检索和使用的完整生命周期。论文同时提出联合衡量回复质量、隐私行为和推理成本的 benchmark；仓库含 memory/agent 实现、合成数据和规则式及 LLM judge 评测脚本。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直接面向 agent memory privacy，把“是否记住”和“何时揭示”拆成可执行 controller policy；适合与单纯 PII 删除、语义摘要和 memory capability revocation 做对照。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点验证 consent path、私密值 hydration 与 graph/vector retrieval 的隔离是否能抵抗 prompt injection、推断攻击和跨会话权限变化。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-governance-at-the-boundary-how-agent-decomposition-degrades-policy-compliance\"\u003e7. Governance at the Boundary: How Agent Decomposition Degrades Policy Compliance\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Bowen Li、Guojun Wang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-17\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.16055\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e Fiducia-bench 不只检查任务完成，还测量金融 Agent 是否按政策升级、拒绝并留下可审计轨迹。626 个 episode 显示，32B 模型在单循环中不丢失已发现的政策事实，但固定 pipeline 和 orchestrator–subagent 架构在约束距离为 2 时分别衰减 56% 与 85%；遗漏既会导致升级不足，也会导致过度升级。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它揭示 multi-agent decomposition 的安全成本来自 handoff 中的 policy-fact attenuation，直接关联 semantic information-flow control、controller 分解和跨 Agent 权限决策。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。可将“约束事实的发现—传递—执行”拆成独立指标，并比较显式 taint、typed handoff 与共享状态是否能减少衰减。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-a-policy-algebra-for-trust-preserving-agentic-ai-execution\"\u003e8. A Policy Algebra for Trust-Preserving Agentic AI Execution\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Bhaskar Tripathi、Anurag Kumar、Ramendra Kumar、Bhavesh Gadhe\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-17\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.16402\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文把可靠能力定义为路径属性：身份、工具、数据、记忆、预算、产物、审批和审计约束在整个行动序列中都必须可接受。其 policy algebra 通过 join、intersection、预算收窄、审批继承与证据累积组合运行时义务；实验中干预 94.8% 的违规事件，同时保持 86.9% 的任务完成率，并将审计完整度提升至 98.6%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Harness Optimization 与 permission control 的形式化相邻工作，尤其适用于让可自修改 controller 在能力增长时仍保持单调收窄的权限和可恢复的预算边界。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点审查 algebra 的 least-restrictive 性质、跨 Agent 调用传播和 cost-aware artifact materialization，并确认评测中的政策覆盖是否足以支持强结论。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-security-assessment-of-deepseek-harness-with-aig-evaluating-resistance-to-indirect-prompt-injection\"\u003e9. Security Assessment of DeepSeek Harness with A.I.G: Evaluating Resistance to Indirect Prompt Injection\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Zonghao Ying、Xiangfan Wu、Huiyu Wu、Xing Zheng、Huangsheng Cheng、Xiaorong Shi、Jing Guo；Tencent Zhuque Lab\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-17\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.16393\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/Tencent/AI-Infra-Guard\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 研究在保留 DeepSeek Harness agent loop、tool registry、model adapter 和 session-event path 的条件下，用本地 source/sink fixture 完成 14,560 次受控执行，覆盖 16 个间接内容通道、35 种 payload objective 和 12 类攻击。最高观测 ASR 为文本 fake-completion 的 17.0%（LLMJudge）、文件 hidden-Unicode 的 25.5%（RuleJudge）和文件 skills channel 的 16.0%（RuleJudge）；配套 A.I.G 仓库拥有 Agent、Skill、MCP 与基础设施扫描实现。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 indirect prompt injection 与 harness-level security 的直接实证，能够定位哪些额外上下文、工具结果和 policy hook 把不可信内容传播到敏感动作。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读并复现实验协议\u003c/strong\u003e。重点比较 deterministic 与 semantic judge 的分歧、不同 carrier/channel 的覆盖，以及 source-to-sink fixture 能否迁移到其他 agent harness。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"10-what-does-context-compression-cost-an-agent-interaction-costs-unrevealed-by-task-completion-metrics\"\u003e10. What Does Context Compression Cost an Agent? Interaction Costs Unrevealed by Task-Completion Metrics\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Shuyu Liu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-17\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.16370\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文在固定 24 轮工具环境中比较丢弃式与事实保留式压缩，并将新增 tool call 拆成重新检索和执行。六组模型—任务对比的 retrieval call 全部增加，而 5× 压缩下完成率均无显著变化；GPT-5.5 的完成率由 80% 变为 85%，但检索调用从 21.0 增至 63.9，说明终态指标会掩盖重获状态的交互成本。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直接影响 cost-aware harness optimization、context compaction 和 code-as-memory：压缩策略若只以成功率为 reward，可能把上下文成本转移为大量工具调用和延迟。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。建议将 reacquisition cost、retrieval/execution 分解和环境依赖性纳入 harness evaluator，而不是只比较 token 数和最终 pass rate。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 Bounded Agents、CompoSkill 和 JailbreakSkill。前两项分别给出会话级委托权限的外部强制机制和技能组合风险的路径级威胁模型；JailbreakSkill 则展示攻击技能如何形成可执行、自演化的红队闭环，会直接影响 skill/harness optimization 的安全边界与论文定位。\u003c/p\u003e","title":"2026-08-19 热点论文推送"},{"content":" 本期检索范围： 2026-08-17—2026-08-18\n本期筛选出 9 项。最明显的趋势是 harness optimization 正从单独修改 controller 转向模型—harness—训练数据的闭环协同，同时 checkpoint recovery、skill retrieval 和隐私路由开始成为可独立评价的运行时组件。本期均为新论文，没有论文版本更新或项目重大更新；HELIX 提供了与论文配套的实质代码仓库，但没有发现值得脱离论文单独收录的新项目，IACR ePrint 也未发现达到中高相关标准的新增内容。\n1. HELIX: Model-Harness Co-evolution for Recursive Self-Improvement 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Tianyu Fan、Chao Huang；HKUDS 日期： 2026-08-14 链接： 论文 · 代码 核心内容： HELIX 将 agent system 分解为 typed ports、atoms、recipes、product shells 与 runtime policies，使 harness 干预可追踪、可组合并保留轨迹与 provenance。一次 code-repair 演化实验搜索 65 个候选，最佳固定 harness 相对 Pi 增加 4.0% task coverage；候选组合带来最多 58.0% 的额外 verified coverage，并从 200 个 sibling slots 生成 438 条可训练记录。 与你的方向关系： 这是 Harness Optimization 与 executable harness learning 的直接相关工作，尤其值得和“从极简 scaffold 自然增长”的路线比较：HELIX 的搜索空间由来自四个现有 harness 的 1,332 个 atoms 和 96 个标准接口构成，更强调可审计重组与 model–data feedback loop。 建议： 精读。重点比较其受约束的模块重组与开放式函数增长在搜索偏置、intervention identity、回归检测和训练数据构造上的差异。 2. Demystifying Agent Skills: Why They Work—Until They Don\u0026rsquo;t 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zhiyuan Jiang、Fangrui Huang、Hanwen Xing 等 日期： 2026-08-14 链接： 论文 核心内容： 论文通过跨 benchmark、agent harness 与 LLM 的受控实验，以及 8,135 条 trial record 和配对轨迹分析，将 skill 的作用归纳为三类、十二种使用模式。匹配实验中 skill 比 Workflow Memory 高 6.06 分，65.7% 的案例主要依靠 procedural anchoring；当 skill pool 从 5 增至 100 时，actual-use precision 从 29.6% 降至 3.3%，说明 retrieval 会迅速成为瓶颈。 与你的方向关系： 它为 persistent instruction、code-as-memory 与 self-evolving skills 提供了比总成功率更细的因果解释，也提示自动增长的 skill/harness 必须同时控制检索拥塞、上下文兼容性和陈旧假设。 建议： 精读。建议把十二种 skill-use mode、procedural anchoring 比例与 retrieval scaling 曲线纳入 harness memory 设计及消融实验。 3. P2Skill: Privacy Preserving Skill Distillation for Cloud-Local LLM Inference Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Myunghoon Ryu、Geunpyo Park、Sungjoon Lee、XinYu Piao、Jong-Kook Kim 日期： 2026-08-14 链接： 论文 核心内容： P2Skill 让本地小模型按照可迭代 refinement 的 skill prompts 完成任务分解、PII-aware routing、paraphrasing 与结果重构，只把去除敏感信息后的子请求交给云端模型，不依赖隐私专用微调或额外检测器。作者在四域 benchmark 上报告，其 privacy-preserved inference quality 相对两类基线分别提升 1.69× 与 3.66×。 与你的方向关系： 该工作把 semantic privacy 与 executable skill/harness optimization 连接起来：隐私边界不只是 entity masking，而是由本地 controller 决定信息如何分解、释放和重组。 建议： 精读。重点验证 PII routing 的漏检威胁模型、paraphrase 后的语义泄漏，以及由云端模型迭代 skill 是否会引入新的持久化指令风险。 4. AgentRewind: Recoverable Execution for Long-Horizon LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yu Zhuang、Kefei Chen、Yitong Duan、Shuxin Zheng、Jian Li、Xu-Yao Zhang 日期： 2026-08-14 链接： 论文 核心内容： AgentRewind 同步记录 agent context 与受控环境的 checkpoint，使长程任务在错误扩散后可以回到早期状态，并携带上一轮尝试的信息重新执行。论文同时提出 MettleBench，以一组相互关联的工程需求评价最终完成率和部分进度；跨任务、模型、执行策略与 harness 的实验均显示其优于对照方法。 与你的方向关系： 它将 recovery 作为 agent scaffold 的一等运行时能力，直接关联工具副作用控制、长程状态一致性和安全回滚；对可自修改 harness 而言，checkpoint 还可作为候选更新的 transaction boundary。 建议： 精读。重点关注 context 与 environment checkpoint 如何对齐、哪些外部副作用不可逆，以及恢复后如何避免再次走入同一失败轨迹。 5. Tripwire: Triggering Aligned Refusal via Statistically Certified Safety Neurons 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Wei Zhao、Zhe Li、Peixin Zhang、Jun Sun 日期： 2026-08-14 链接： 论文 核心内容： Tripwire 通过带 false-discovery-rate 控制的逐神经元假设检验与 utility-specificity filter 识别安全专属神经元，再以 trigger-style clamp 激活模型已经学到的拒绝行为。作者给出 detector-gated inference intervention 与 offline bias-patch 两种等价部署方式；在四个安全对齐模型和四类攻击上，平均 ASR 降至不高于 2.0%，MT-Bench utility drop 为 0.5%–5.3%。 与你的方向关系： 这是 jailbreak defense 的模型内部路线，可与 prompt/harness 层 guardrail 形成互补；其 gated intervention 也适合研究安全机制应放在模型、controller 还是 action gate 的哪一层。 建议： 精读。重点检查统计认证是否能跨分布、跨语言和自适应攻击保持有效，以及 detector 错误如何传导为拒绝缺失或过度拒绝。 6. AdsWorldEngine: A Self-Evolving Conversational Advertising Agent through Orchestrator and Tool Coevolution 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Simiao Zuo、Chenhui Xu、Yimeng Jia、Qiang Lou、Jian Jiao、Denis Charles 日期： 2026-08-13 链接： 论文 核心内容： AdsWorldEngine 由 Opportunity Gate、Orchestrator、广告工具与 Evaluator 构成，先以 SFT 和 agentic RL 训练 orchestrator，再利用高低奖励 rollout 构造 preference data 反向训练工具，形成 actor–tool 共演化闭环。作者报告相对线上既有系统，离线 diversity 与 relevance 分别提升 60% 和 80%，线上 A/B test 的 RPM 与广告覆盖率分别提升 22% 和 74%。 与你的方向关系： 虽然场景是广告系统，其“controller 产生轨迹—轨迹训练工具—新工具改变 controller 行为”的闭环是 executable harness learning 的重要相邻范式，并展示了成本敏感 judge 如何参与生产级优化。 建议： 浏览。重点抽取 actor–tool 交替更新、reward leakage 防控和线上指标 gate；领域本身与安全主题关联较弱，可不深挖广告建模细节。 7. Evaluating Agentic Learning Harness Capabilities Without Labels via the Scaling Hypothesis 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Aryan Luthra、Kshitij Jain、Siddharth Arya、Bobby Filar、Anna Bertiger 日期： 2026-08-11 链接： 论文 核心内容： 论文针对安全运营中标签稀缺、陈旧且有偏的问题，让更强 teacher 稀疏提供纠正，并以带 continual-learning harness 的 student 向 teacher 收敛的程度估计 harness uplift。跨安全任务、模型家族与 harness 设计的结果显示 teacher-relative lift 与 held-out gold improvement 相关，而能力相近模型之间的 LLM-as-a-judge 不提供可用信号。 与你的方向关系： 它直接回应 Harness Optimization 的 evaluator bottleneck：当在线反馈缺少可靠标签时，如何判断 memory/retrieval/controller 更新是真改进还是自我强化的假象。 建议： 精读。建议重点审查 teacher bias、稀疏纠正的采样机制和相关性强度，并与 held-out regression gate 的监督成本进行对照。 8. Handover of In-Context Learning State Across Session Boundaries 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Masahiro Kato、Taka Kato 日期： 2026-08-14 链接： 论文 核心内容： 论文把跨 session 交接形式化为 task-relative ICL state 的传递，并区分逐字恢复旧材料与维持目标分布；在 exogeneity 条件下，predictive equivalence 刻画最粗粒度的确定性充分 handover 及其固定比特需求。作者提出三段式记录：精确保留决策和约束，以任务相关统计压缩重复证据，并保留统计量无法替代的原始观察。 与你的方向关系： 该理论直接服务于 agent memory、context compaction 与多 Agent handoff，也为“哪些状态必须写入持久 memory、哪些可被摘要”提供了比经验式压缩更明确的语义标准。 建议： 浏览。值得收藏其 sufficient handover 定义和 memory–prediction error 边界，再判断这些假设能否扩展到有工具副作用和非平稳任务的 agent harness。 9. Repair, Not Improvement: Decomposing Constrained Decoding in Tool-Call Abstention 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Janghoon Lee（Redrob） 日期： 2026-08-14 链接： 论文 核心内容： 论文用 byte-identical prompt 的三种解码条件，把 grammar 对 stop token 和可生成 token 集合的影响拆开，测量 0.6B–4B 开源模型在英语、韩语 tool-call abstention 上的行为。相对无约束解码，六个设置中四个 abstention 指标显著下降，最差为 −29.5 分；被“修复”的 698 个 abstention 中，545 个原本没有可读答案，说明约束主要修复格式而非判断质量。 与你的方向关系： 这是 tool-use security 与 harness decoding policy 的关键负结果：schema enforcement 可能悄然删掉“不调用工具”这一安全动作，因此结构有效不等于 capability decision 正确。 建议： 精读。应把 abstention preservation 加入 tool router 和 constrained-decoding 的回归测试，尤其检查 stop-token 设计与多语言偏差。 今日优先阅读 优先阅读 HELIX、Demystifying Agent Skills 和 P2Skill。HELIX 会直接影响 executable harness optimization 的 novelty positioning；skill 机制分析给出了增长后检索退化的实证边界；P2Skill 则把本地 controller、持续 skill refinement 与语义隐私组合成一个可比较的系统设计。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-18-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-17—2026-08-18\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期筛选出 9 项。最明显的趋势是 harness optimization 正从单独修改 controller 转向模型—harness—训练数据的闭环协同，同时 checkpoint recovery、skill retrieval 和隐私路由开始成为可独立评价的运行时组件。本期均为新论文，没有论文版本更新或项目重大更新；HELIX 提供了与论文配套的实质代码仓库，但没有发现值得脱离论文单独收录的新项目，IACR ePrint 也未发现达到中高相关标准的新增内容。\u003c/p\u003e\n\u003ch2 id=\"1-helix-model-harness-co-evolution-for-recursive-self-improvement\"\u003e1. HELIX: Model-Harness Co-evolution for Recursive Self-Improvement\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Tianyu Fan、Chao Huang；HKUDS\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-14\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.13951\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/HKUDS/HELIX\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e HELIX 将 agent system 分解为 typed ports、atoms、recipes、product shells 与 runtime policies，使 harness 干预可追踪、可组合并保留轨迹与 provenance。一次 code-repair 演化实验搜索 65 个候选，最佳固定 harness 相对 Pi 增加 4.0% task coverage；候选组合带来最多 58.0% 的额外 verified coverage，并从 200 个 sibling slots 生成 438 条可训练记录。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Harness Optimization 与 executable harness learning 的直接相关工作，尤其值得和“从极简 scaffold 自然增长”的路线比较：HELIX 的搜索空间由来自四个现有 harness 的 1,332 个 atoms 和 96 个标准接口构成，更强调可审计重组与 model–data feedback loop。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较其受约束的模块重组与开放式函数增长在搜索偏置、intervention identity、回归检测和训练数据构造上的差异。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-demystifying-agent-skills-why-they-workuntil-they-dont\"\u003e2. Demystifying Agent Skills: Why They Work—Until They Don\u0026rsquo;t\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Zhiyuan Jiang、Fangrui Huang、Hanwen Xing 等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-14\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.14036\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文通过跨 benchmark、agent harness 与 LLM 的受控实验，以及 8,135 条 trial record 和配对轨迹分析，将 skill 的作用归纳为三类、十二种使用模式。匹配实验中 skill 比 Workflow Memory 高 6.06 分，65.7% 的案例主要依靠 procedural anchoring；当 skill pool 从 5 增至 100 时，actual-use precision 从 29.6% 降至 3.3%，说明 retrieval 会迅速成为瓶颈。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它为 persistent instruction、code-as-memory 与 self-evolving skills 提供了比总成功率更细的因果解释，也提示自动增长的 skill/harness 必须同时控制检索拥塞、上下文兼容性和陈旧假设。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。建议把十二种 skill-use mode、procedural anchoring 比例与 retrieval scaling 曲线纳入 harness memory 设计及消融实验。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-p2skill-privacy-preserving-skill-distillation-for-cloud-local-llm-inference-systems\"\u003e3. P2Skill: Privacy Preserving Skill Distillation for Cloud-Local LLM Inference Systems\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Myunghoon Ryu、Geunpyo Park、Sungjoon Lee、XinYu Piao、Jong-Kook Kim\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-14\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.14094\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e P2Skill 让本地小模型按照可迭代 refinement 的 skill prompts 完成任务分解、PII-aware routing、paraphrasing 与结果重构，只把去除敏感信息后的子请求交给云端模型，不依赖隐私专用微调或额外检测器。作者在四域 benchmark 上报告，其 privacy-preserved inference quality 相对两类基线分别提升 1.69× 与 3.66×。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作把 semantic privacy 与 executable skill/harness optimization 连接起来：隐私边界不只是 entity masking，而是由本地 controller 决定信息如何分解、释放和重组。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点验证 PII routing 的漏检威胁模型、paraphrase 后的语义泄漏，以及由云端模型迭代 skill 是否会引入新的持久化指令风险。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-agentrewind-recoverable-execution-for-long-horizon-llm-agents\"\u003e4. AgentRewind: Recoverable Execution for Long-Horizon LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yu Zhuang、Kefei Chen、Yitong Duan、Shuxin Zheng、Jian Li、Xu-Yao Zhang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-14\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.14380\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e AgentRewind 同步记录 agent context 与受控环境的 checkpoint，使长程任务在错误扩散后可以回到早期状态，并携带上一轮尝试的信息重新执行。论文同时提出 MettleBench，以一组相互关联的工程需求评价最终完成率和部分进度；跨任务、模型、执行策略与 harness 的实验均显示其优于对照方法。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它将 recovery 作为 agent scaffold 的一等运行时能力，直接关联工具副作用控制、长程状态一致性和安全回滚；对可自修改 harness 而言，checkpoint 还可作为候选更新的 transaction boundary。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点关注 context 与 environment checkpoint 如何对齐、哪些外部副作用不可逆，以及恢复后如何避免再次走入同一失败轨迹。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-tripwire-triggering-aligned-refusal-via-statistically-certified-safety-neurons\"\u003e5. Tripwire: Triggering Aligned Refusal via Statistically Certified Safety Neurons\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Wei Zhao、Zhe Li、Peixin Zhang、Jun Sun\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-14\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.14392\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e Tripwire 通过带 false-discovery-rate 控制的逐神经元假设检验与 utility-specificity filter 识别安全专属神经元，再以 trigger-style clamp 激活模型已经学到的拒绝行为。作者给出 detector-gated inference intervention 与 offline bias-patch 两种等价部署方式；在四个安全对齐模型和四类攻击上，平均 ASR 降至不高于 2.0%，MT-Bench utility drop 为 0.5%–5.3%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 jailbreak defense 的模型内部路线，可与 prompt/harness 层 guardrail 形成互补；其 gated intervention 也适合研究安全机制应放在模型、controller 还是 action gate 的哪一层。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点检查统计认证是否能跨分布、跨语言和自适应攻击保持有效，以及 detector 错误如何传导为拒绝缺失或过度拒绝。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-adsworldengine-a-self-evolving-conversational-advertising-agent-through-orchestrator-and-tool-coevolution\"\u003e6. AdsWorldEngine: A Self-Evolving Conversational Advertising Agent through Orchestrator and Tool Coevolution\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Simiao Zuo、Chenhui Xu、Yimeng Jia、Qiang Lou、Jian Jiao、Denis Charles\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-13\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.13833\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e AdsWorldEngine 由 Opportunity Gate、Orchestrator、广告工具与 Evaluator 构成，先以 SFT 和 agentic RL 训练 orchestrator，再利用高低奖励 rollout 构造 preference data 反向训练工具，形成 actor–tool 共演化闭环。作者报告相对线上既有系统，离线 diversity 与 relevance 分别提升 60% 和 80%，线上 A/B test 的 RPM 与广告覆盖率分别提升 22% 和 74%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 虽然场景是广告系统，其“controller 产生轨迹—轨迹训练工具—新工具改变 controller 行为”的闭环是 executable harness learning 的重要相邻范式，并展示了成本敏感 judge 如何参与生产级优化。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。重点抽取 actor–tool 交替更新、reward leakage 防控和线上指标 gate；领域本身与安全主题关联较弱，可不深挖广告建模细节。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-evaluating-agentic-learning-harness-capabilities-without-labels-via-the-scaling-hypothesis\"\u003e7. Evaluating Agentic Learning Harness Capabilities Without Labels via the Scaling Hypothesis\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Aryan Luthra、Kshitij Jain、Siddharth Arya、Bobby Filar、Anna Bertiger\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-11\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.13608\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文针对安全运营中标签稀缺、陈旧且有偏的问题，让更强 teacher 稀疏提供纠正，并以带 continual-learning harness 的 student 向 teacher 收敛的程度估计 harness uplift。跨安全任务、模型家族与 harness 设计的结果显示 teacher-relative lift 与 held-out gold improvement 相关，而能力相近模型之间的 LLM-as-a-judge 不提供可用信号。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它直接回应 Harness Optimization 的 evaluator bottleneck：当在线反馈缺少可靠标签时，如何判断 memory/retrieval/controller 更新是真改进还是自我强化的假象。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。建议重点审查 teacher bias、稀疏纠正的采样机制和相关性强度，并与 held-out regression gate 的监督成本进行对照。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-handover-of-in-context-learning-state-across-session-boundaries\"\u003e8. Handover of In-Context Learning State Across Session Boundaries\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Masahiro Kato、Taka Kato\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-14\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.14528\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文把跨 session 交接形式化为 task-relative ICL state 的传递，并区分逐字恢复旧材料与维持目标分布；在 exogeneity 条件下，predictive equivalence 刻画最粗粒度的确定性充分 handover 及其固定比特需求。作者提出三段式记录：精确保留决策和约束，以任务相关统计压缩重复证据，并保留统计量无法替代的原始观察。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该理论直接服务于 agent memory、context compaction 与多 Agent handoff，也为“哪些状态必须写入持久 memory、哪些可被摘要”提供了比经验式压缩更明确的语义标准。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。值得收藏其 sufficient handover 定义和 memory–prediction error 边界，再判断这些假设能否扩展到有工具副作用和非平稳任务的 agent harness。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-repair-not-improvement-decomposing-constrained-decoding-in-tool-call-abstention\"\u003e9. Repair, Not Improvement: Decomposing Constrained Decoding in Tool-Call Abstention\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Janghoon Lee（Redrob）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-14\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.13959\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文用 byte-identical prompt 的三种解码条件，把 grammar 对 stop token 和可生成 token 集合的影响拆开，测量 0.6B–4B 开源模型在英语、韩语 tool-call abstention 上的行为。相对无约束解码，六个设置中四个 abstention 指标显著下降，最差为 −29.5 分；被“修复”的 698 个 abstention 中，545 个原本没有可读答案，说明约束主要修复格式而非判断质量。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 tool-use security 与 harness decoding policy 的关键负结果：schema enforcement 可能悄然删掉“不调用工具”这一安全动作，因此结构有效不等于 capability decision 正确。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。应把 abstention preservation 加入 tool router 和 constrained-decoding 的回归测试，尤其检查 stop-token 设计与多语言偏差。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 HELIX、Demystifying Agent Skills 和 P2Skill。HELIX 会直接影响 executable harness optimization 的 novelty positioning；skill 机制分析给出了增长后检索退化的实证边界；P2Skill 则把本地 controller、持续 skill refinement 与语义隐私组合成一个可比较的系统设计。\u003c/p\u003e","title":"2026-08-18 热点论文推送"},{"content":" 本期检索范围： 2026-08-15—2026-08-17\n本期筛选出 1 项延迟核实补录。最明显的趋势是 agent harness 正在把秘密外发约束、插件来源确认与实例状态隔离落实为运行时边界；本期没有达到标准的新论文或论文版本更新，但确认了 1 项项目重大更新，未发现值得单独收录的新代码项目。\n1. OpenClaw 2026.8.1-beta.2 类型 / 来源： 项目重大更新｜GitHub 作者 / 维护者： OpenClaw Foundation、Peter Steinberger 及社区维护者 日期： 2026-08-15 链接： 项目 · 发布说明 核心内容： 该预发布版为共享 secret store 增加精确的 HTTPS 目标主机绑定，并在明文秘密离开进程前对未绑定替换执行 fail-closed；从任意可执行来源安装插件时，也要求显式 --force 确认并显示 provenance 警告。它还强化了 channel ingress 的 claim identity validation、macOS 多实例状态与 Keychain 隔离，以及 SQLite snapshot 的校验和“仅恢复到全新目标”约束。 与你的方向关系： 这次更新直接覆盖 Agent Security 中的 secret exfiltration、capability / permission control 和插件供应链风险，也展示了 harness 如何在工具调用、插件安装、持久状态与恢复流程中建立可执行安全边界，而不是仅依赖提示词约束。 建议： 精读。优先检查 host binding 的匹配与绕过边界、sentinel substitution 的失败语义、插件可信来源分类，以及 beta 功能进入生产环境前需要补充的回归与攻击测试。 今日优先阅读 OpenClaw 2026.8.1-beta.2 值得立即阅读，因为它把 secret egress 和插件 provenance 从政策描述推进为 harness 级强制机制；这些设计会直接影响 agent 工具权限模型、插件安装流程和多实例隔离方案。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-17-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-15—2026-08-17\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期筛选出 1 项延迟核实补录。最明显的趋势是 agent harness 正在把秘密外发约束、插件来源确认与实例状态隔离落实为运行时边界；本期没有达到标准的新论文或论文版本更新，但确认了 1 项项目重大更新，未发现值得单独收录的新代码项目。\u003c/p\u003e\n\u003ch2 id=\"1-openclaw-202681-beta2\"\u003e1. OpenClaw 2026.8.1-beta.2\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 项目重大更新｜GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e OpenClaw Foundation、Peter Steinberger 及社区维护者\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-15\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://github.com/openclaw/openclaw\"\u003e项目\u003c/a\u003e · \u003ca href=\"https://github.com/openclaw/openclaw/releases/tag/v2026.8.1-beta.2\"\u003e发布说明\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 该预发布版为共享 secret store 增加精确的 HTTPS 目标主机绑定，并在明文秘密离开进程前对未绑定替换执行 fail-closed；从任意可执行来源安装插件时，也要求显式 \u003ccode\u003e--force\u003c/code\u003e 确认并显示 provenance 警告。它还强化了 channel ingress 的 claim identity validation、macOS 多实例状态与 Keychain 隔离，以及 SQLite snapshot 的校验和“仅恢复到全新目标”约束。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这次更新直接覆盖 Agent Security 中的 secret exfiltration、capability / permission control 和插件供应链风险，也展示了 harness 如何在工具调用、插件安装、持久状态与恢复流程中建立可执行安全边界，而不是仅依赖提示词约束。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。优先检查 host binding 的匹配与绕过边界、sentinel substitution 的失败语义、插件可信来源分类，以及 beta 功能进入生产环境前需要补充的回归与攻击测试。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003eOpenClaw 2026.8.1-beta.2 值得立即阅读，因为它把 secret egress 和插件 provenance 从政策描述推进为 harness 级强制机制；这些设计会直接影响 agent 工具权限模型、插件安装流程和多实例隔离方案。\u003c/p\u003e","title":"2026-08-17 热点论文推送"},{"content":" 本期检索范围： 2026-08-13—2026-08-14\n本期共筛选出 9 项。最明显的趋势是 Agent Security 正从模型级安全转向 harness 执行期契约、上下文压缩后的行为约束存活，以及可扩展的间接提示注入环境生成；Harness Optimization 则出现了强模型向弱模型迁移控制结构、机器人 harness 与可编辑长期记忆。本期没有符合“实质内容变化”标准的论文版本更新或项目重大更新；Thea 是唯一值得将论文与新代码仓库合并收录的项目。\n1. ToolHazard: Scaling Adversarial Environments for Security Evaluation and Alignment of LLM-based Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yutao Mou、Pengfei Yang、Zhe Yin、Zhangchi Xue、Xiaotian Luan等 日期： 2026-08-12 链接： 论文 核心内容： ToolHazard 用 Environment Simulator、Attacker Agent 和 User Simulator 自动构造可执行、有状态的工具环境，发现可行注入点、生成环境特定 payload，并形成长程任务。基于该框架生成的 ToolHazard-Bench 显示攻击时机与放置位置会显著影响 IPI 效果；生成的 alignment data 同时提升 ToolHazard-Bench 与 AgentDojo 上的安全性，并保持良性任务效用。 与你的方向关系： 这是 Agent Security、tool-use security 与 indirect prompt injection 的直接工作，把安全评测从人工固定注入点推进到可扩展的 stateful environment synthesis，适合用于检验防御是否真正跨域、跨位置泛化。 建议： 精读。重点审查环境模拟器的真实性、攻击者与用户模拟器的闭环偏差，以及训练数据与两个评测集之间是否存在环境或攻击模板泄漏；论文仍标注为 Work in Progress。 2. AI4AI at Test-Time: Strong-to-Weak Capability Transfer via Harnesses 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Cheng Qian、Wenting Zhao、Liangwei Yang、Heng Wang、Jielin Qiu、Heng Ji等 日期： 2026-08-12 链接： 论文 核心内容： 论文让强 builder model 使用 5% 数据作为验证集，多轮构造和改进弱 target model 的 inference-time harness，无需更新目标模型参数。在四个 Theory-of-Mind benchmark 上，平均性能从 0.49 提高到 0.91；增益主要来自把不稳定推理编译为确定性代码、任务路由和严格输出格式，而不是增加采样或推理长度。 与你的方向关系： 该工作直接对应 Harness Optimization、executable harness learning 与“logic-to-code”能力迁移，也为从最小 scaffold 生长 harness 提供了强模型构建器基线和清晰的结构化增益来源。 建议： 精读。重点比较其 5% 验证集反复使用带来的过拟合风险、builder reasoning effort 与 harness 质量关系，以及确定性代码是否真正学习可迁移控制结构，还是编码 benchmark-specific shortcuts。 3. Agent Safety Should Be a Runtime Contract 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Albus W. Ng、Yi Han、Jusheng Zhang、Wenhao Wang 日期： 2026-08-11 链接： 论文 核心内容： 论文主张以 harness 强制的 runtime contract 作为 Agent 安全单元：预防面用 sandbox、permission gate、filter 和 trajectory monitor 阻断危险动作，证据面则要求测试、日志、diff 与引用等可核验完成证据。作者结合 52 起公开事故、31 个无争议 false-completion 案例、12 个 Agent 系统的 trajectory schema 审计及 28,560 篇顶会论文标题审计，提出 Agent Trajectory Schema、Evidence Chain 与组合式 gate 命题。 与你的方向关系： 与 capability / permission control、Agent Security 和安全 harness 设计高度一致，尤其强调“允许什么”与“如何证明正确完成”必须同时成为执行期约束，而不能只依靠 system prompt 或训练期对齐。 建议： 精读。它更接近有数据支撑的立场与研究议程，建议重点验证 incident sampling、false-completion 判定和组合监控命题，并将 preventive/evidential 双契约用于设计自己的 action gate 与 regression gate。 4. AI Guardrail Survival under Single-Cycle Agentic Self-Summarization 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Ted Kwartler、Alan Aqrawi、Arian Abbasi 日期： 2026-08-11 链接： 论文 核心内容： 论文研究长时 Agent 在一次 self-summarization 后安全规则如何失效，指出“文本仍存在”不等于“行为上仍生效”。行为重放中，退化后的规则残留相较完整 welded rule 使违规率分别增加 34 和 57 个百分点；仅与外部 constraint registry 比较可发现规则缺失，却不能确认保留下来的规则是否仍会触发。 与你的方向关系： 直接关联 persistent instruction security、context compaction 与 Agent memory 安全，说明压缩后的约束需要行为级 replay 或外部强制，而非关键词存在性检查。 建议： 精读。重点看规则焊接、压缩预算与 replay protocol，并注意结论只覆盖单次压缩；可进一步扩展到多轮压缩、跨模型摘要与 capability revocation 的生命周期测试。 5. Towards the Harness of Embodied Agents 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Qi Wang、Tianyi Wang、Chengyang Li、Shikun Ban、Yurun Chen、Yizhong Ge等 日期： 2026-08-03 链接： 论文 · 代码 核心内容： Thea 将 coding-agent harness 迁移到具身任务，用 Agent loop 编排可调用的机器人能力，并以 Scene Graph as Context 提供持久符号世界状态，以 Evaluation as Exit Codes 判断动作终止、成功与失败原因。官方仓库已包含 provider-neutral harness、simulation 接口、机器人 port template、工具/技能/记忆与安全模块、安装脚本和文档，而非只有 README。 与你的方向关系： 它扩展了 Harness Optimization 的应用边界，并把 refreshed world state、post-condition evaluator 与低层安全控制明确分离；对 tool-use security 和“可执行控制器应承担哪些职责”也有直接启发。 建议： 精读论文，浏览代码。重点比较 Scene Graph、exit-code evaluator 与软件 Agent 的 trace/state abstraction，并检查真实机器人部署中 model-level gate 与 emergency stop、碰撞避免等独立控制之间的隔离边界。 6. EvoGraph-Mem: Failure-Aware Editable Graph Memory for Long-Term Language Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yuxi Qian、Yuxiang Ren 日期： 2026-08-03 链接： 论文 核心内容： EvoGraph-Mem 用可编辑 insight graph 维护长期 Agent 记忆，每个节点记录正证据、负证据与激活状态；执行后由 graph controller 保留可靠 insight、归档失效内容、修订过时经验并加入新知识。作者的跨 backbone 实验与消融表明 append-only memory 不足，而 evidence-aware retrieval 和图级编辑能改善可靠性与任务表现。 与你的方向关系： 该工作连接 self-evolving agents、memory poisoning/污染与 evidence-guided harness update；其“负证据 + 状态切换 + 修订”机制尤其适合作为 code-as-memory 或失败窗口方法的结构化记忆对照。 建议： 精读。重点检查负证据如何归因、旧 insight 何时归档或重激活，以及 graph controller 会否通过错误反馈放大污染；摘要未给出具体增益数值，应以正文实验表为准。 7. An Empirical Study of Output-to-Input Loops for Black-Box Backdoor Detection in Fine-Tuned Open-Weight LLMs 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Md. Nahid Hasan、Mohammad Arif Hossain 日期： 2026-08-11 链接： 论文 核心内容： 作者提出 self-feeding 黑盒检测：把模型输出连续反馈为下一轮输入，使文本从普通起始 prompt 漂移到微调数据中的隐藏触发分布。对六个 3B–15B、覆盖十一类后门的模型测试时，该方法以 92.0% pooled precision 检出其中五个；单个 prompt 的 recall 仅 19.2%，但多起点累计后模型级检出明显提高，四步链可在其实验中维持 100% 模型级 precision 并减少 60% 查询。 与你的方向关系： 属于 LLM Security 与开源模型供应链安全，也与 Agent loop 风险相关：迭代上下文自身可能成为触发探索机制，可用于部署前低成本筛查下载模型。 建议： 浏览。重点关注后门类型与恶意输出识别器的覆盖边界；低单提示召回、一个完全漏检模型和两个 false positive 表明它适合作为 first-pass screening，而非安全证明。 8. Conformity Mitigations in Large Language Models Lie on a Single Resistance-Receptivity Frontier 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zafar Hussain、Kristoffer Nielbo 日期： 2026-08-03 链接： 论文 核心内容： 论文在 23 个开放模型、19 种条件和三个数据集上进行超过一百万次评分，测量错误多数意见如何覆盖模型原本正确的答案。六种缓解方法的 Resistance 提升通常以 Receptivity 下降为代价，均值落在 R² 为 0.80–0.90 的单一前沿；reflection 在 MMLU 上提高 7.9 点 Resistance，却损失 15.3 点 Receptivity。 与你的方向关系： 与 multi-agent security 和语义信息传播直接相关：防止恶意或错误 peer influence 不能简单地让 Agent 拒绝一切外部信息，否则也会破坏正确协作；这为跨 Agent trust gate 提供了双目标评价。 建议： 精读。建议把 Resistance–Receptivity 前沿加入多 Agent 防御评测，重点核查错误多数构造、agent topology 与 reasoning 例外条件，避免只报告攻击阻断率而忽略有益信息接纳能力。 9. Harnessing Agent Memory to Build Lifelong AI Partners for Materials Scientists 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Siyu Liu、Bo Hu、Beilin Ye、He Cao、David J. Srolovitz、Tongqi Wen 日期： 2026-07-25 链接： 论文 核心内容： 论文将材料科学经验保存为可检查事实与 executable skills，使失败边界、协议和验证规则可检索、修订并跨模型迁移。在 49 个真实工具使用问题的 138 个子任务上，记忆使 GPT-5.2 成功率接近翻倍；波函数初始化案例避免 92% 重复错误，13 个材料模拟工作流到第三轮时 token trace 负担减半、工具调用减少超过一半。 与你的方向关系： 这是 code-as-memory、executable skill learning 与 self-evolving agent 的具体领域验证，展示失败经验如何编译为 pre-execution guardrail，并以较低 token 与工具成本跨轮复用。 建议： 精读。重点比较 inspectable facts 与 executable skills 的写入、修订和迁移机制，并检查减少轨迹成本是否来自任务重复度、记忆命中或真正可泛化的控制逻辑。 今日优先阅读 优先阅读 ToolHazard、AI4AI at Test-Time 与 Agent Safety Should Be a Runtime Contract。ToolHazard 可能改变 IPI benchmark 的环境构造与训练数据生成方式；AI4AI 直接影响 executable harness learning 的基线和论文定位；runtime contract 则把 permission gate、证据链与完成验证统一为可执行的 Agent 安全边界。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-14-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-13—2026-08-14\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期共筛选出 9 项。最明显的趋势是 Agent Security 正从模型级安全转向 harness 执行期契约、上下文压缩后的行为约束存活，以及可扩展的间接提示注入环境生成；Harness Optimization 则出现了强模型向弱模型迁移控制结构、机器人 harness 与可编辑长期记忆。本期没有符合“实质内容变化”标准的论文版本更新或项目重大更新；Thea 是唯一值得将论文与新代码仓库合并收录的项目。\u003c/p\u003e\n\u003ch2 id=\"1-toolhazard-scaling-adversarial-environments-for-security-evaluation-and-alignment-of-llm-based-agents\"\u003e1. ToolHazard: Scaling Adversarial Environments for Security Evaluation and Alignment of LLM-based Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yutao Mou、Pengfei Yang、Zhe Yin、Zhangchi Xue、Xiaotian Luan等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-12\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.11878\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e ToolHazard 用 Environment Simulator、Attacker Agent 和 User Simulator 自动构造可执行、有状态的工具环境，发现可行注入点、生成环境特定 payload，并形成长程任务。基于该框架生成的 ToolHazard-Bench 显示攻击时机与放置位置会显著影响 IPI 效果；生成的 alignment data 同时提升 ToolHazard-Bench 与 AgentDojo 上的安全性，并保持良性任务效用。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Agent Security、tool-use security 与 indirect prompt injection 的直接工作，把安全评测从人工固定注入点推进到可扩展的 stateful environment synthesis，适合用于检验防御是否真正跨域、跨位置泛化。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点审查环境模拟器的真实性、攻击者与用户模拟器的闭环偏差，以及训练数据与两个评测集之间是否存在环境或攻击模板泄漏；论文仍标注为 Work in Progress。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-ai4ai-at-test-time-strong-to-weak-capability-transfer-via-harnesses\"\u003e2. AI4AI at Test-Time: Strong-to-Weak Capability Transfer via Harnesses\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Cheng Qian、Wenting Zhao、Liangwei Yang、Heng Wang、Jielin Qiu、Heng Ji等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-12\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.12307\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文让强 builder model 使用 5% 数据作为验证集，多轮构造和改进弱 target model 的 inference-time harness，无需更新目标模型参数。在四个 Theory-of-Mind benchmark 上，平均性能从 0.49 提高到 0.91；增益主要来自把不稳定推理编译为确定性代码、任务路由和严格输出格式，而不是增加采样或推理长度。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直接对应 Harness Optimization、executable harness learning 与“logic-to-code”能力迁移，也为从最小 scaffold 生长 harness 提供了强模型构建器基线和清晰的结构化增益来源。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较其 5% 验证集反复使用带来的过拟合风险、builder reasoning effort 与 harness 质量关系，以及确定性代码是否真正学习可迁移控制结构，还是编码 benchmark-specific shortcuts。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-agent-safety-should-be-a-runtime-contract\"\u003e3. Agent Safety Should Be a Runtime Contract\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Albus W. Ng、Yi Han、Jusheng Zhang、Wenhao Wang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-11\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.11274\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文主张以 harness 强制的 runtime contract 作为 Agent 安全单元：预防面用 sandbox、permission gate、filter 和 trajectory monitor 阻断危险动作，证据面则要求测试、日志、diff 与引用等可核验完成证据。作者结合 52 起公开事故、31 个无争议 false-completion 案例、12 个 Agent 系统的 trajectory schema 审计及 28,560 篇顶会论文标题审计，提出 Agent Trajectory Schema、Evidence Chain 与组合式 gate 命题。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 与 capability / permission control、Agent Security 和安全 harness 设计高度一致，尤其强调“允许什么”与“如何证明正确完成”必须同时成为执行期约束，而不能只依靠 system prompt 或训练期对齐。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。它更接近有数据支撑的立场与研究议程，建议重点验证 incident sampling、false-completion 判定和组合监控命题，并将 preventive/evidential 双契约用于设计自己的 action gate 与 regression gate。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-ai-guardrail-survival-under-single-cycle-agentic-self-summarization\"\u003e4. AI Guardrail Survival under Single-Cycle Agentic Self-Summarization\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Ted Kwartler、Alan Aqrawi、Arian Abbasi\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-11\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.11392\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文研究长时 Agent 在一次 self-summarization 后安全规则如何失效，指出“文本仍存在”不等于“行为上仍生效”。行为重放中，退化后的规则残留相较完整 welded rule 使违规率分别增加 34 和 57 个百分点；仅与外部 constraint registry 比较可发现规则缺失，却不能确认保留下来的规则是否仍会触发。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 直接关联 persistent instruction security、context compaction 与 Agent memory 安全，说明压缩后的约束需要行为级 replay 或外部强制，而非关键词存在性检查。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点看规则焊接、压缩预算与 replay protocol，并注意结论只覆盖单次压缩；可进一步扩展到多轮压缩、跨模型摘要与 capability revocation 的生命周期测试。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-towards-the-harness-of-embodied-agents\"\u003e5. Towards the Harness of Embodied Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Qi Wang、Tianyi Wang、Chengyang Li、Shikun Ban、Yurun Chen、Yizhong Ge等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-03\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.11246\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/EIT-HAI/Thea\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e Thea 将 coding-agent harness 迁移到具身任务，用 Agent loop 编排可调用的机器人能力，并以 Scene Graph as Context 提供持久符号世界状态，以 Evaluation as Exit Codes 判断动作终止、成功与失败原因。官方仓库已包含 provider-neutral harness、simulation 接口、机器人 port template、工具/技能/记忆与安全模块、安装脚本和文档，而非只有 README。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它扩展了 Harness Optimization 的应用边界，并把 refreshed world state、post-condition evaluator 与低层安全控制明确分离；对 tool-use security 和“可执行控制器应承担哪些职责”也有直接启发。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读论文，浏览代码\u003c/strong\u003e。重点比较 Scene Graph、exit-code evaluator 与软件 Agent 的 trace/state abstraction，并检查真实机器人部署中 model-level gate 与 emergency stop、碰撞避免等独立控制之间的隔离边界。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-evograph-mem-failure-aware-editable-graph-memory-for-long-term-language-agents\"\u003e6. EvoGraph-Mem: Failure-Aware Editable Graph Memory for Long-Term Language Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yuxi Qian、Yuxiang Ren\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-03\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.11248\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e EvoGraph-Mem 用可编辑 insight graph 维护长期 Agent 记忆，每个节点记录正证据、负证据与激活状态；执行后由 graph controller 保留可靠 insight、归档失效内容、修订过时经验并加入新知识。作者的跨 backbone 实验与消融表明 append-only memory 不足，而 evidence-aware retrieval 和图级编辑能改善可靠性与任务表现。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作连接 self-evolving agents、memory poisoning/污染与 evidence-guided harness update；其“负证据 + 状态切换 + 修订”机制尤其适合作为 code-as-memory 或失败窗口方法的结构化记忆对照。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点检查负证据如何归因、旧 insight 何时归档或重激活，以及 graph controller 会否通过错误反馈放大污染；摘要未给出具体增益数值，应以正文实验表为准。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-an-empirical-study-of-output-to-input-loops-for-black-box-backdoor-detection-in-fine-tuned-open-weight-llms\"\u003e7. An Empirical Study of Output-to-Input Loops for Black-Box Backdoor Detection in Fine-Tuned Open-Weight LLMs\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Md. Nahid Hasan、Mohammad Arif Hossain\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-11\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.11348\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 作者提出 self-feeding 黑盒检测：把模型输出连续反馈为下一轮输入，使文本从普通起始 prompt 漂移到微调数据中的隐藏触发分布。对六个 3B–15B、覆盖十一类后门的模型测试时，该方法以 92.0% pooled precision 检出其中五个；单个 prompt 的 recall 仅 19.2%，但多起点累计后模型级检出明显提高，四步链可在其实验中维持 100% 模型级 precision 并减少 60% 查询。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 属于 LLM Security 与开源模型供应链安全，也与 Agent loop 风险相关：迭代上下文自身可能成为触发探索机制，可用于部署前低成本筛查下载模型。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。重点关注后门类型与恶意输出识别器的覆盖边界；低单提示召回、一个完全漏检模型和两个 false positive 表明它适合作为 first-pass screening，而非安全证明。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-conformity-mitigations-in-large-language-models-lie-on-a-single-resistance-receptivity-frontier\"\u003e8. Conformity Mitigations in Large Language Models Lie on a Single Resistance-Receptivity Frontier\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Zafar Hussain、Kristoffer Nielbo\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-03\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.11247\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文在 23 个开放模型、19 种条件和三个数据集上进行超过一百万次评分，测量错误多数意见如何覆盖模型原本正确的答案。六种缓解方法的 Resistance 提升通常以 Receptivity 下降为代价，均值落在 R² 为 0.80–0.90 的单一前沿；reflection 在 MMLU 上提高 7.9 点 Resistance，却损失 15.3 点 Receptivity。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 与 multi-agent security 和语义信息传播直接相关：防止恶意或错误 peer influence 不能简单地让 Agent 拒绝一切外部信息，否则也会破坏正确协作；这为跨 Agent trust gate 提供了双目标评价。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。建议把 Resistance–Receptivity 前沿加入多 Agent 防御评测，重点核查错误多数构造、agent topology 与 reasoning 例外条件，避免只报告攻击阻断率而忽略有益信息接纳能力。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-harnessing-agent-memory-to-build-lifelong-ai-partners-for-materials-scientists\"\u003e9. Harnessing Agent Memory to Build Lifelong AI Partners for Materials Scientists\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Siyu Liu、Bo Hu、Beilin Ye、He Cao、David J. Srolovitz、Tongqi Wen\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-25\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.11224\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文将材料科学经验保存为可检查事实与 executable skills，使失败边界、协议和验证规则可检索、修订并跨模型迁移。在 49 个真实工具使用问题的 138 个子任务上，记忆使 GPT-5.2 成功率接近翻倍；波函数初始化案例避免 92% 重复错误，13 个材料模拟工作流到第三轮时 token trace 负担减半、工具调用减少超过一半。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 code-as-memory、executable skill learning 与 self-evolving agent 的具体领域验证，展示失败经验如何编译为 pre-execution guardrail，并以较低 token 与工具成本跨轮复用。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较 inspectable facts 与 executable skills 的写入、修订和迁移机制，并检查减少轨迹成本是否来自任务重复度、记忆命中或真正可泛化的控制逻辑。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 \u003cstrong\u003eToolHazard、AI4AI at Test-Time 与 Agent Safety Should Be a Runtime Contract\u003c/strong\u003e。ToolHazard 可能改变 IPI benchmark 的环境构造与训练数据生成方式；AI4AI 直接影响 executable harness learning 的基线和论文定位；runtime contract 则把 permission gate、证据链与完成验证统一为可执行的 Agent 安全边界。\u003c/p\u003e","title":"2026-08-14 热点论文推送"},{"content":" 本期检索范围： 2026-08-12—2026-08-13\n本期共筛选出 9 项。最明显的趋势是：Harness optimization 正从开放式自改代码扩展到 verifier-grounded、结构选择和生产级闭环优化；Agent Security 则进一步落到 MCP 身份委托、LLM 到传统 Web sink 的信任边界，以及多智能体中的指令传播。本期均为新论文，没有达到“实质方法或实验变化”标准的论文版本更新或项目重大更新；未发现值得脱离论文单独收录的新代码项目。\n1. SBCO: Self-Supervised, Verifier-Grounded Harness Optimization For Planning Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Vivek Kulkarni、Sudipta Paul、Aounon Kumar、Nicholas Tzou、Srinivas Chappidi 日期： 2026-08-10 链接： 论文 核心内容： SBCO 将 Harness 自优化改写为 verifier bank 与 harness policy 之间的近似 block coordinate ascent：固定 meta-agent，利用系统自身的分级反馈学习验证器和策略，不需要人工标签，也不依赖 Agent 递归修改自身代码。作者报告其在两个规划域中达到或超过定制的 self-modifying baseline，同时只使用后者约 1/4–1/5.5 的计算预算。 与你的方向关系： 这是 Harness Optimization 的直接工作，提供了开放式 self-modification 之外、更便宜且更易审计的 verifier-grounded 路线；尤其适合作为 executable harness learning 与有限预算自进化的强基线。 建议： 精读。重点比较 verifier decomposition、策略更新的相互依赖，以及较低计算量是否牺牲跨任务泛化或可执行控制器的表达能力。 2. MESA: Task-Adaptive Multi-Structure Evidence Selection for Long-Horizon Agent Memory 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Beidi Zhao、Yaoqi Chen、Yuru Feng、Menghao Li、Qianxi Zhang等 日期： 2026-08-10 链接： 论文 核心内容： MESA 为长轨迹构建五种互补记忆结构，并依据查询动态选择、融合其中的子集，而不是固定读取全部结构或只路由到单一结构。它以答案级反馈为弱监督，通过 prior-guided search 与 UCB 调度进行 harness optimization；在 AMA-Bench 上较最强基线提高 8.5%，同时比全结构方案少用 41% evidence tokens。 与你的方向关系： 该工作把 Harness Optimization 具体化为“结构级证据选择”，直接关联 Agent memory、cost-aware controller optimization 与长程轨迹压缩，也可作为 code-as-memory 路线的结构化记忆对照。 建议： 精读。最值得检查的是五种结构的互补性、UCB 的信用分配方式，以及选择器在任务分布变化时是否仍能避免证据遗漏。 3. From Prompt Injection to Web Exploitation: Revisiting Classic Vulnerabilities in LLM-Integrated Applications 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Spiros Tsigkopoulos、Christoforos Ntantogian 日期： 2026-08-10 链接： 论文 核心内容： 论文提出 LLM-mediated web attacks，将 LLM2SQLi、LLM2XSS、LLM2SSTI、LLM2CommandInjection、LLM2SSRF 等统一描述为攻击输入经模型变换后进入传统 Web sink 的路径。作者用 Flask 应用 TicketOracle 在五种 LLM2SSRF 场景和七个模型上做案例研究，强调根因通常是应用架构信任模型生成内容，而非模型单独创造了底层漏洞。 与你的方向关系： 这把 Prompt Injection 与 tool-use security 的威胁边界延伸到数据库、HTTP、文件和模板等真实执行组件；“LLM 作为 mediation layer / confused deputy”也直接支持 capability separation 与 sink-level validation。 建议： 精读。建议围绕 source–transformation–sink 数据流重画威胁模型，并重点评估网络层 allowlist、参数化接口和最小权限是否比 prompt-only 防护更稳定。 4. A Gateway Architecture for Enterprise MCP Authentication: Unifying Heterogeneous Auth, Identity Delegation, and the User / Non-User Persona Problem 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Suraj Kumar、Amy Wang、Srinivasan Manoharan 日期： 2026-08-11 链接： 论文 核心内容： 论文报告一个已投入生产的集中式 MCP gateway，用统一聚合层治理数十个内部 MCP server。其认证模型交叉区分交互用户/自动化非用户与多类凭据，支持三种企业 SSO grant、BYOT/GYOT、基于 RFC 8693 的委托 OAuth，以及三条端到端身份流。 与你的方向关系： 这是 capability / permission control 与 tool-use security 的直接工程案例，处理了 Agent 到工具链中的主体身份、token 委托、审计和离职回收问题；也给 MCP server 的最小权限设计提供了可落地边界。 建议： 精读。重点看 persona 与 credential 两轴是否覆盖 autonomous sub-agent、token exchange 的 audience/scope 收缩，以及 gateway 集中化后的故障与信任风险。 5. Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Vassilis Papadopoulos、McNair Shah、Sam Zimmerman、Jack Lindsey 日期： 2026-08-10 链接： 论文 核心内容： 作者用简单进化算法构造会诱导宿主 Agent 继续传播的“mind viruses”，并在协作编码团队与会话间清空上下文的 Agent 链中测试传播。传播率受宿主模型、既有指令、载荷危害性和网络拓扑影响；有害载荷总体较难传播，但并非无效，而简短警告在其实验中接近完全阻断。 与你的方向关系： 该工作将 indirect prompt injection 从外部文档扩展到 agent-to-agent message propagation，直接关联 multi-agent security、持久化指令与信任传播；其传播视角也提醒系统不能只评估单节点攻击成功率。 建议： 精读。应重点复核病毒适应度函数、跨模型迁移和网络拓扑消融，并把“系统提示警告近乎免疫”视为当前实验条件下的结果，而非通用防御结论。 6. GitSkills: A Dataset of Agent Skills on GitHub 类型 / 来源： 新论文｜arXiv / MSR 2027（待发表） 作者 / 维护者： Giuseppe Destefanis、Daniel Graziotin、Matteo Vaccargiu、Marco Ortu 日期： 2026-08-11 链接： 论文 核心内容： GitSkills 汇集 2026 年 7 月从 282,200 个公开仓库发现的 3,797,117 个 SKILL.md 文件，并按内容哈希归并为 1,877,981 个不同内容。单一 SQLite 数据文件保留仓库、路径、全文、front matter、目录内容、仓库元数据及部分文件历史，面向 Agent skill 的采用、复用、维护与安全研究。 与你的方向关系： 它为 persistent instruction / skill-file security 提供了罕见的大规模实证语料，可用于恶意技能检测、复制传播、权限声明缺失和供应链污染分析；也能检验现有 skill benchmark 是否代表真实 GitHub 分布。 建议： 收藏。优先获取数据后评估去重策略、许可证与敏感信息处理，再用它构建真实分布的安全审计基准；论文目前是 3 页数据说明，不必按方法论文深读。 7. Self-evolving Agentic Customer Support System at LinkedIn 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Chih Hui Wang、Mengdie Tu、Qianyun Zhang、Wei Wu、Lili Zhou、Mingqi Shen、Changshuai Wei 日期： 2026-08-10 链接： 论文 核心内容： LinkedIn 将 RAG、evolutionary auto-prompting 与模块化生产评测组合成有版本和 guardrail 的持续优化闭环，无需重训基础模型。两周用户随机 A/B 实验中，集成流程使 QA self-serve、cancellation self-serve 和 routing accuracy 分别提高 9.0、4.8 和 30.6 个百分点。 与你的方向关系： 这是 Harness Optimization 的生产级证据，展示 prompt、retrieval 与 evaluator 如何共同成为可演化控制面；它也为离线优化增益能否转化为线上业务指标提供了难得参照。 建议： 精读。重点核查进化搜索空间、版本回滚与 guardrail 机制，以及 A/B 指标提升中 retrieval、prompt 和 evaluator 各自的因果贡献。 8. Interpreting Language Model Hidden States at Scale 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jordan Pettyjohn、Mansi Sakarvadia、Nathaniel Hudson、Daniel McKenzie、Kyle Chard、Ian Foster 日期： 2026-08-10 链接： 论文 核心内容： OmniLens 用低秩 translator 与 Subset-KL 将 trained lens 扩展到不同宽度、不同组件的隐藏状态；作者报告前者最多减少 98.4% 可训练参数，Top-k Subset-KL 最多降低 70% 峰值训练内存。由此可在 Llama-3.3-70B 上训练 482 个 lens，并在 prompt injection detection、multi-hop memory injection 和 toxicity localization 三个案例中复现既有结果。 与你的方向关系： 它为 Prompt Injection 与 memory injection 防御提供模型内部诊断工具，可帮助区分“行为最可见的组件”和“干预最有效的组件”，补充仅在输入/输出层部署 classifier 的方案。 建议： 浏览。重点关注安全案例的检测协议与 intervention 有效性；若要用于运行时防御，还需核算 lens 推理开销和跨模型、跨攻击迁移。 9. On Understanding, Identifying, and Mitigating Vulnerabilities in Agentic Large Language Models 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Md Jafrin Hossain、Mohammad Arif Hossain、Nirwan Ansari 日期： 2026-08-11 链接： 论文 核心内容： 这项 PRISMA 2020 系统综述从六个数据库筛查 743 条记录并保留 85 篇 2023–2025 年论文，按 perception、brain、action、interaction 四层整理 13 类漏洞。其统计显示攻击研究与防御研究之比为 3.9:1，感知层占 66%，而 action-layer、code execution 和 tool-augmented agent 的研究占比分别仅 4.7%、3.5% 和 12%。 与你的方向关系： 综述为 Agent Security 选题提供宏观缺口证据：prompt injection 已高度拥挤，而工具误用、代码执行、隔离和 containment 与真实权限风险不成比例；可用于校准研究定位和 related-work taxonomy。 建议： 浏览。优先看纳入标准、分类边界和七个开放问题，再核查关键比例是否受检索式、年份窗口和论文去重方式影响。 今日优先阅读 优先阅读 SBCO、MESA 与 From Prompt Injection to Web Exploitation。前两项分别代表 verifier-grounded Harness 自优化和查询自适应的结构级记忆控制，直接影响 Harness Optimization 的基线与 novelty positioning；第三项则把 prompt injection 与传统 Web sink、confused deputy 和最小权限架构连成完整攻击链，会影响 Agent 工具接口的安全边界设计。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-13-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-12—2026-08-13\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期共筛选出 9 项。最明显的趋势是：Harness optimization 正从开放式自改代码扩展到 verifier-grounded、结构选择和生产级闭环优化；Agent Security 则进一步落到 MCP 身份委托、LLM 到传统 Web sink 的信任边界，以及多智能体中的指令传播。本期均为新论文，没有达到“实质方法或实验变化”标准的论文版本更新或项目重大更新；未发现值得脱离论文单独收录的新代码项目。\u003c/p\u003e\n\u003ch2 id=\"1-sbco-self-supervised-verifier-grounded-harness-optimization-for-planning-agents\"\u003e1. SBCO: Self-Supervised, Verifier-Grounded Harness Optimization For Planning Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Vivek Kulkarni、Sudipta Paul、Aounon Kumar、Nicholas Tzou、Srinivas Chappidi\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-10\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.10157\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SBCO 将 Harness 自优化改写为 verifier bank 与 harness policy 之间的近似 block coordinate ascent：固定 meta-agent，利用系统自身的分级反馈学习验证器和策略，不需要人工标签，也不依赖 Agent 递归修改自身代码。作者报告其在两个规划域中达到或超过定制的 self-modifying baseline，同时只使用后者约 1/4–1/5.5 的计算预算。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Harness Optimization 的直接工作，提供了开放式 self-modification 之外、更便宜且更易审计的 verifier-grounded 路线；尤其适合作为 executable harness learning 与有限预算自进化的强基线。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较 verifier decomposition、策略更新的相互依赖，以及较低计算量是否牺牲跨任务泛化或可执行控制器的表达能力。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-mesa-task-adaptive-multi-structure-evidence-selection-for-long-horizon-agent-memory\"\u003e2. MESA: Task-Adaptive Multi-Structure Evidence Selection for Long-Horizon Agent Memory\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Beidi Zhao、Yaoqi Chen、Yuru Feng、Menghao Li、Qianxi Zhang等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-10\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.10108\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e MESA 为长轨迹构建五种互补记忆结构，并依据查询动态选择、融合其中的子集，而不是固定读取全部结构或只路由到单一结构。它以答案级反馈为弱监督，通过 prior-guided search 与 UCB 调度进行 harness optimization；在 AMA-Bench 上较最强基线提高 8.5%，同时比全结构方案少用 41% evidence tokens。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作把 Harness Optimization 具体化为“结构级证据选择”，直接关联 Agent memory、cost-aware controller optimization 与长程轨迹压缩，也可作为 code-as-memory 路线的结构化记忆对照。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。最值得检查的是五种结构的互补性、UCB 的信用分配方式，以及选择器在任务分布变化时是否仍能避免证据遗漏。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-from-prompt-injection-to-web-exploitation-revisiting-classic-vulnerabilities-in-llm-integrated-applications\"\u003e3. From Prompt Injection to Web Exploitation: Revisiting Classic Vulnerabilities in LLM-Integrated Applications\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Spiros Tsigkopoulos、Christoforos Ntantogian\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-10\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.10281\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文提出 LLM-mediated web attacks，将 LLM2SQLi、LLM2XSS、LLM2SSTI、LLM2CommandInjection、LLM2SSRF 等统一描述为攻击输入经模型变换后进入传统 Web sink 的路径。作者用 Flask 应用 TicketOracle 在五种 LLM2SSRF 场景和七个模型上做案例研究，强调根因通常是应用架构信任模型生成内容，而非模型单独创造了底层漏洞。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这把 Prompt Injection 与 tool-use security 的威胁边界延伸到数据库、HTTP、文件和模板等真实执行组件；“LLM 作为 mediation layer / confused deputy”也直接支持 capability separation 与 sink-level validation。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。建议围绕 source–transformation–sink 数据流重画威胁模型，并重点评估网络层 allowlist、参数化接口和最小权限是否比 prompt-only 防护更稳定。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-a-gateway-architecture-for-enterprise-mcp-authentication-unifying-heterogeneous-auth-identity-delegation-and-the-user--non-user-persona-problem\"\u003e4. A Gateway Architecture for Enterprise MCP Authentication: Unifying Heterogeneous Auth, Identity Delegation, and the User / Non-User Persona Problem\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Suraj Kumar、Amy Wang、Srinivasan Manoharan\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-11\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.10760\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文报告一个已投入生产的集中式 MCP gateway，用统一聚合层治理数十个内部 MCP server。其认证模型交叉区分交互用户/自动化非用户与多类凭据，支持三种企业 SSO grant、BYOT/GYOT、基于 RFC 8693 的委托 OAuth，以及三条端到端身份流。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 capability / permission control 与 tool-use security 的直接工程案例，处理了 Agent 到工具链中的主体身份、token 委托、审计和离职回收问题；也给 MCP server 的最小权限设计提供了可落地边界。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点看 persona 与 credential 两轴是否覆盖 autonomous sub-agent、token exchange 的 audience/scope 收缩，以及 gateway 集中化后的故障与信任风险。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-mind-viruses-self-propagating-ideas-in-multi-agent-llm-systems\"\u003e5. Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Vassilis Papadopoulos、McNair Shah、Sam Zimmerman、Jack Lindsey\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-10\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.10218\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 作者用简单进化算法构造会诱导宿主 Agent 继续传播的“mind viruses”，并在协作编码团队与会话间清空上下文的 Agent 链中测试传播。传播率受宿主模型、既有指令、载荷危害性和网络拓扑影响；有害载荷总体较难传播，但并非无效，而简短警告在其实验中接近完全阻断。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作将 indirect prompt injection 从外部文档扩展到 agent-to-agent message propagation，直接关联 multi-agent security、持久化指令与信任传播；其传播视角也提醒系统不能只评估单节点攻击成功率。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。应重点复核病毒适应度函数、跨模型迁移和网络拓扑消融，并把“系统提示警告近乎免疫”视为当前实验条件下的结果，而非通用防御结论。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-gitskills-a-dataset-of-agent-skills-on-github\"\u003e6. GitSkills: A Dataset of Agent Skills on GitHub\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv / MSR 2027（待发表）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Giuseppe Destefanis、Daniel Graziotin、Matteo Vaccargiu、Marco Ortu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-11\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.10906\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e GitSkills 汇集 2026 年 7 月从 282,200 个公开仓库发现的 3,797,117 个 SKILL.md 文件，并按内容哈希归并为 1,877,981 个不同内容。单一 SQLite 数据文件保留仓库、路径、全文、front matter、目录内容、仓库元数据及部分文件历史，面向 Agent skill 的采用、复用、维护与安全研究。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它为 persistent instruction / skill-file security 提供了罕见的大规模实证语料，可用于恶意技能检测、复制传播、权限声明缺失和供应链污染分析；也能检验现有 skill benchmark 是否代表真实 GitHub 分布。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e收藏\u003c/strong\u003e。优先获取数据后评估去重策略、许可证与敏感信息处理，再用它构建真实分布的安全审计基准；论文目前是 3 页数据说明，不必按方法论文深读。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-self-evolving-agentic-customer-support-system-at-linkedin\"\u003e7. Self-evolving Agentic Customer Support System at LinkedIn\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Chih Hui Wang、Mengdie Tu、Qianyun Zhang、Wei Wu、Lili Zhou、Mingqi Shen、Changshuai Wei\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-10\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.10224\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e LinkedIn 将 RAG、evolutionary auto-prompting 与模块化生产评测组合成有版本和 guardrail 的持续优化闭环，无需重训基础模型。两周用户随机 A/B 实验中，集成流程使 QA self-serve、cancellation self-serve 和 routing accuracy 分别提高 9.0、4.8 和 30.6 个百分点。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Harness Optimization 的生产级证据，展示 prompt、retrieval 与 evaluator 如何共同成为可演化控制面；它也为离线优化增益能否转化为线上业务指标提供了难得参照。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点核查进化搜索空间、版本回滚与 guardrail 机制，以及 A/B 指标提升中 retrieval、prompt 和 evaluator 各自的因果贡献。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-interpreting-language-model-hidden-states-at-scale\"\u003e8. Interpreting Language Model Hidden States at Scale\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jordan Pettyjohn、Mansi Sakarvadia、Nathaniel Hudson、Daniel McKenzie、Kyle Chard、Ian Foster\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-10\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.10260\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e OmniLens 用低秩 translator 与 Subset-KL 将 trained lens 扩展到不同宽度、不同组件的隐藏状态；作者报告前者最多减少 98.4% 可训练参数，Top-k Subset-KL 最多降低 70% 峰值训练内存。由此可在 Llama-3.3-70B 上训练 482 个 lens，并在 prompt injection detection、multi-hop memory injection 和 toxicity localization 三个案例中复现既有结果。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它为 Prompt Injection 与 memory injection 防御提供模型内部诊断工具，可帮助区分“行为最可见的组件”和“干预最有效的组件”，补充仅在输入/输出层部署 classifier 的方案。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。重点关注安全案例的检测协议与 intervention 有效性；若要用于运行时防御，还需核算 lens 推理开销和跨模型、跨攻击迁移。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-on-understanding-identifying-and-mitigating-vulnerabilities-in-agentic-large-language-models\"\u003e9. On Understanding, Identifying, and Mitigating Vulnerabilities in Agentic Large Language Models\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Md Jafrin Hossain、Mohammad Arif Hossain、Nirwan Ansari\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-11\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.10530\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 这项 PRISMA 2020 系统综述从六个数据库筛查 743 条记录并保留 85 篇 2023–2025 年论文，按 perception、brain、action、interaction 四层整理 13 类漏洞。其统计显示攻击研究与防御研究之比为 3.9:1，感知层占 66%，而 action-layer、code execution 和 tool-augmented agent 的研究占比分别仅 4.7%、3.5% 和 12%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 综述为 Agent Security 选题提供宏观缺口证据：prompt injection 已高度拥挤，而工具误用、代码执行、隔离和 containment 与真实权限风险不成比例；可用于校准研究定位和 related-work taxonomy。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。优先看纳入标准、分类边界和七个开放问题，再核查关键比例是否受检索式、年份窗口和论文去重方式影响。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 \u003cstrong\u003eSBCO、MESA 与 From Prompt Injection to Web Exploitation\u003c/strong\u003e。前两项分别代表 verifier-grounded Harness 自优化和查询自适应的结构级记忆控制，直接影响 Harness Optimization 的基线与 novelty positioning；第三项则把 prompt injection 与传统 Web sink、confused deputy 和最小权限架构连成完整攻击链，会影响 Agent 工具接口的安全边界设计。\u003c/p\u003e","title":"2026-08-13 热点论文推送"},{"content":" 本期检索范围： 2026-08-11—2026-08-12\n本期共筛选出 10 项。最明显的趋势是安全机制正在从固定 guardrail 转向可演化、可归因的 harness artifact，同时评测也从最终回复扩展到执行轨迹、权限行为和环境元数据。没有论文版本更新或项目重大更新；发现 3 个随论文发布、包含实质代码与评测资源的新仓库，没有值得单独收录的新项目。本批条目的论文原始提交日期为 2026-08-07 至 2026-08-10，并于本期进入最新公开列表。\n1. SHE: Trajectory-driven Safety Harness Evolution for LLM Agents 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Wanying Qu、Qinghua Mao、Yu Li、Jiyao Liu、Xin Zhang 等；RainbowQTT 日期： 2026-08-10 链接： 论文 · 代码 核心内容： SHE 将安全 harness 拆为 System Prompt、Rule Bank、Safety Memory 和 Tool Policy 四类职责明确的 artifact，再把 rollout failure 转成结构化诊断并归因到最小责任组件，通过 safety–utility validation 选择更新。作者报告其在 Agent-SafetyBench 上相对静态 SafeHarness 将攻击成功率降低 3.1 倍，同时提升良性任务效用；仓库提供演化、评测、数据划分和 smoke tests。 与你的方向关系： 直接交叉 Agent Security 与 Harness Optimization：安全边界不再是冻结的单一提示，而是由轨迹驱动、局部修改且经验证门筛选的持久控制结构。 建议： 精读并复现实验。重点比较其四类 artifact 分工与通用函数级 harness edit 的表达能力，并核对安全—效用 gate 对未见攻击和跨模型迁移的稳定性。 2. ActBench: Self-Evolving Benchmark of Behavioral Safety in Cowork Agents 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Hongwei Yao、Yiming Liu、Meihui Chen、Jieling Chen、Zikun Chen、Yiling He、Wangze Ni、Cong Wang、Kui Ren；ZJUICSR 日期： 2026-08-10 链接： 论文 · 代码 核心内容： ActBench 用执行轨迹而非最终回复评估 cowork agent 的行为安全，包含 600 个配对案例、213 个场景、15 类风险、六种执行空间和 48 个 Web API，并以 reward-guided beam search 持续优化攻击载荷。论文评估 15 个 LLM、六个开源 Agent、共 24,000 条轨迹；官方仓库公开 300 个可运行任务、mock services、runner、backend adapters 与评分代码。 与你的方向关系： 直接覆盖 prompt injection、data exfiltration、memory poisoning、permission chaining 和 unauthorized tool/API use，且可以用于比较相同模型在不同 harness 下的安全差异。 建议： 精读并收藏基准。优先检查配对任务是否真正保持良性任务等价、dual-evidence scoring 的误差，以及公开任务与论文完整 600 案例之间的覆盖差异。 3. Hierarchical Self-Improvement: A Framework for Task-Specific Evolvable Agent Harnesses 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Tailin Zhou 日期： 2026-08-09 链接： 论文 · 代码 核心内容： HSI 让同一个冻结 LLM 分别充当任务 harness、重写 harness 的 evolver，以及重写 evolver strategy code 的 meta-evolver，并用冻结 outer anchor 限制自修改边界。使用 DeepSeek-V4-Flash-Preview 在 BALROG 上，论文报告 BabyAI、Crafter、TextWorld 和 MiniHack 分别较初始 harness 提升 39.3、33.0、25.0 和 15.0 个 Progress 百分点，同时明确展示 NLE 上受 backbone capability bound 限制而无法改善。 与你的方向关系： 与 executable harness learning、code-as-memory 和自然增长式 scaffold optimization 高度重合；其“harness—evolver—meta-evolver”分层会直接影响相关工作的 novelty positioning。 建议： 精读并运行代码。重点比较固定 task-injection seam、两类持久记忆和 meta-evolution 是否扩大有效搜索空间，以及 held-out 选择是否足以排除 benchmark-specific patch。 4. SkillsMetric: Mapping the Detection Boundary of Static Analysis for Malicious Agent Skills 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xinze Chen、Chi Zhang、Ping Ji、Yimin Liu 日期： 2026-08-09 链接： 论文 核心内容： SkillsMetric 从 pattern density、statistical anomaly、dataflow taint、import anomaly 和 capability mismatch 五个维度静态分析 Agent skill package，并构建覆盖 16 类攻击的 2,266 个对抗 skill，在 SkillMD-138K 上评估。方法取得 0.93 AUC 和 73.4%±0.5% 的五折 F1，但对常见 shell 命令实施的 host destruction 检出率为 0%，对自然语言 prompt injection 仅为 42%。 与你的方向关系： 直接针对持久化 SKILL.md/脚本供应链，量化了静态扫描的有效边界，并为“静态预筛 + 语义审查 + 运行时 capability control”的分层防御提供依据。 建议： 精读。最值得关注的是 16 类攻击的构造方式、capability mismatch 的判定依据，以及与 SkillGate 一类运行时检测的互补关系。 5. Not an A11y: How Android Accessibility Exposes Mobile AI Agents to Indirect Prompt Injection 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Rahul Deivasigamani、Sayeda Faatin Alvi、Derqui Andrea、Kaushal Punjabi、Stjepan Picek 日期： 2026-08-09 链接： 论文 核心内容： 论文指出 MobileRun 与 Mobile-Use 对 Android accessibility tree 和截图的依赖会把未经净化的界面元数据变成指令通道，攻击可导致 goal hijacking、context drift 和未授权设备操作。在汇总实验中，MobileRun 搭配 Gemma4:31B 的攻击成功率为 0.822，Mobile-Use 搭配 Qwen3.6:35B 降至 0.150，但仍未消除上下文漂移和未授权动作。 与你的方向关系： 这是典型的跨模态 indirect prompt injection，说明视觉隐藏不等于语义隔离，harness 必须区分 A11y 数据、用户指令与可执行权限。 建议： 精读。重点查看攻击在 accessibility metadata 与截图通道之间的差异，以及 zero-trust input validation 能否在不破坏无障碍功能的情况下落地。 6. BASIS: Breach-Aware Selective Prompt Injection Shielding with Prefill Attention Probes 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Laiqiao Qin、Tianqing Zhu、Longxiang Gao、Wanlei Zhou 日期： 2026-08-08 链接： 论文 核心内容： BASIS 不把“存在注入”直接等同于“必须拒绝”，而用 Attention Competition Ratio 训练 existence probe 与 breach probe，级联判断注入是否实际突破当前模型和指令。该在线防御不增加额外 LLM 推理；作者在四个任务、六个开源模型上报告近乎完美的注入检测，并显著减少模型本可抵抗攻击时的过度拒绝。 与你的方向关系： 与 Prompt Injection defense 的 utility–security trade-off 直接相关，也提示 harness 可把“污染存在”和“能力边界已被突破”设为不同的控制信号。 建议： 精读。重点验证 attention probe 的跨模型迁移、面对自适应攻击的稳健性，以及闭源 API 无内部激活时的可部署性。 7. Whose Refusal Is It? The Unmeasured Contribution of Black-Box Multimodal Guardrails 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Haoyu Zhang、Xiao Luo、Haowen Xu、Yi Feng、Shibo Zheng、Mohammad Zandsalimy、Shanu Sushmita 日期： 2026-08-09 链接： 论文 核心内容： 论文指出黑盒 guardrail 的安全得分混合了 guardrail 阻断与目标模型自身拒绝，却通常没有分开计量；真实贡献会随 payload channel 以及 harness 传给防御器的内部文本而变化。实验中，文本 guard 面对像素承载的 payload 完全不阻断，而若直接获得未编码攻击请求则会被显著高估；作者给出无需新增推理成本的拒绝归因方法。 与你的方向关系： 直接影响 jailbreak/prompt-injection defense 的评测可信度，也说明 harness 的输入转换和通道选择本身是安全实验中的隐藏变量。 建议： 精读。建议把“guardrail block、model refusal、provider-side block”拆分为独立指标，并复查现有实验是否向防御器泄露了 benchmark 才知道的原始攻击文本。 8. Capability-Routed Guard: Defending Large Reasoning Models Against Reasoning-Centric Jailbreaks 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yiyong Liu、Yixin Wu、Jun Sakuma 日期： 2026-08-08 链接： 论文 核心内容： CRG 将 reasoning-centric jailbreak 防御改写为 capability routing：旁路 controller 从授权任务、活动上下文、安全证据和 capability-transfer risk 构建可信表示，再对高风险请求阻断、模糊请求限权、低风险请求放行。随后 TraceCheck 检查执行与授权任务的一致性，并用受限 fallback 尽量保留良性效用。 与你的方向关系： 与 capability/permission control、trusted active context 和 tool-use security 高度相关；相比只做内容分类，它把安全判断落实到可执行能力的路由与降级。 建议： 浏览后定向精读。重点核查 controller 的可信输入从何而来、capability-transfer risk 如何标注，以及 TraceCheck 是否能抵抗同源语义操纵。 9. Governing the KV Cache: Preventing Timing Side-Channel Leakage in Multi-Tenant LLM Inference 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Tejasvi C. Addagada 日期： 2026-08-10 链接： 论文 核心内容： KVGov 用基于 principal identity 的 HMAC salt 将不同租户的 prefix-cache key 加密隔离，以阻断 PROMPTPEEK、EarlyBird 和 InputSnatch 三类时间侧信道。作者在 A100/vLLM 与 Apple Metal/llama.cpp 上复现缓存时延通道；防御效果主要通过校准模拟评估，并估计在提示分叉边界注入 salt 可保留 93% 的 prefix-cache 收益。 与你的方向关系： 属于 LLM Privacy 与多租户 agent infrastructure 的底层问题：即使上层 memory 和权限隔离正确，共享 KV cache 仍可能泄露私有 prompt。 建议： 浏览 / 收藏。该工作有明确工程原语，但防御主体仍以模拟为主；应重点验证真实 serving stack 中的隔离收益、缓存命中损失和 principal 生命周期管理。 10. The Anatomy of a Prompt Injection: A Component Model for Structured Analysis 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jeremy McHugh 日期： 2026-08-07 链接： 论文 核心内容： 论文把 prompt injection 从不可复用的原始字符串拆为 carrier、delivery vector、concealment、context-break、privilege escalation、payload 和 return channel 七个组件，并给出映射到 cyber threat intelligence schema 的标注规则。其核心主张是按工具目标、数据 sink 与行为效果表达攻击意图，而不是依赖表面措辞匹配。 与你的方向关系： 该结构适合用于生成可控变体、构造组合攻击 benchmark，并把 indirect prompt injection 与传统 kill-chain、权限提升和回传通道统一描述。 建议： 收藏 / 浏览。它主要是分析模型而非新防御算法，价值在于统一实验变量；可尝试将七组件映射到现有 IPI instance 与 harness policy 检查点。 今日优先阅读 优先阅读 SHE、ActBench 和 Hierarchical Self-Improvement。SHE 与 HSI 会直接影响当前 harness optimization 工作的 novelty positioning：前者把安全职责拆成可局部演化的 artifact，后者进一步让 evolver strategy 本身可修改；ActBench 则提供了检验这些 harness 是否真正降低权限违规、记忆投毒和数据泄露的轨迹级基准。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-12-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-11—2026-08-12\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期共筛选出 10 项。最明显的趋势是安全机制正在从固定 guardrail 转向可演化、可归因的 harness artifact，同时评测也从最终回复扩展到执行轨迹、权限行为和环境元数据。没有论文版本更新或项目重大更新；发现 3 个随论文发布、包含实质代码与评测资源的新仓库，没有值得单独收录的新项目。本批条目的论文原始提交日期为 2026-08-07 至 2026-08-10，并于本期进入最新公开列表。\u003c/p\u003e\n\u003ch2 id=\"1-she-trajectory-driven-safety-harness-evolution-for-llm-agents\"\u003e1. SHE: Trajectory-driven Safety Harness Evolution for LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Wanying Qu、Qinghua Mao、Yu Li、Jiyao Liu、Xin Zhang 等；RainbowQTT\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-10\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.09885\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/RainbowQTT/SHE\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SHE 将安全 harness 拆为 System Prompt、Rule Bank、Safety Memory 和 Tool Policy 四类职责明确的 artifact，再把 rollout failure 转成结构化诊断并归因到最小责任组件，通过 safety–utility validation 选择更新。作者报告其在 Agent-SafetyBench 上相对静态 SafeHarness 将攻击成功率降低 3.1 倍，同时提升良性任务效用；仓库提供演化、评测、数据划分和 smoke tests。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 直接交叉 Agent Security 与 Harness Optimization：安全边界不再是冻结的单一提示，而是由轨迹驱动、局部修改且经验证门筛选的持久控制结构。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读并复现实验\u003c/strong\u003e。重点比较其四类 artifact 分工与通用函数级 harness edit 的表达能力，并核对安全—效用 gate 对未见攻击和跨模型迁移的稳定性。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-actbench-self-evolving-benchmark-of-behavioral-safety-in-cowork-agents\"\u003e2. ActBench: Self-Evolving Benchmark of Behavioral Safety in Cowork Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Hongwei Yao、Yiming Liu、Meihui Chen、Jieling Chen、Zikun Chen、Yiling He、Wangze Ni、Cong Wang、Kui Ren；ZJUICSR\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-10\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.09476\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/zjuicsr/ActBench\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e ActBench 用执行轨迹而非最终回复评估 cowork agent 的行为安全，包含 600 个配对案例、213 个场景、15 类风险、六种执行空间和 48 个 Web API，并以 reward-guided beam search 持续优化攻击载荷。论文评估 15 个 LLM、六个开源 Agent、共 24,000 条轨迹；官方仓库公开 300 个可运行任务、mock services、runner、backend adapters 与评分代码。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 直接覆盖 prompt injection、data exfiltration、memory poisoning、permission chaining 和 unauthorized tool/API use，且可以用于比较相同模型在不同 harness 下的安全差异。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读并收藏基准\u003c/strong\u003e。优先检查配对任务是否真正保持良性任务等价、dual-evidence scoring 的误差，以及公开任务与论文完整 600 案例之间的覆盖差异。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-hierarchical-self-improvement-a-framework-for-task-specific-evolvable-agent-harnesses\"\u003e3. Hierarchical Self-Improvement: A Framework for Task-Specific Evolvable Agent Harnesses\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Tailin Zhou\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-09\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.08466\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/TailinZhou/hsi\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e HSI 让同一个冻结 LLM 分别充当任务 harness、重写 harness 的 evolver，以及重写 evolver strategy code 的 meta-evolver，并用冻结 outer anchor 限制自修改边界。使用 DeepSeek-V4-Flash-Preview 在 BALROG 上，论文报告 BabyAI、Crafter、TextWorld 和 MiniHack 分别较初始 harness 提升 39.3、33.0、25.0 和 15.0 个 Progress 百分点，同时明确展示 NLE 上受 backbone capability bound 限制而无法改善。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 与 executable harness learning、code-as-memory 和自然增长式 scaffold optimization 高度重合；其“harness—evolver—meta-evolver”分层会直接影响相关工作的 novelty positioning。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读并运行代码\u003c/strong\u003e。重点比较固定 task-injection seam、两类持久记忆和 meta-evolution 是否扩大有效搜索空间，以及 held-out 选择是否足以排除 benchmark-specific patch。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-skillsmetric-mapping-the-detection-boundary-of-static-analysis-for-malicious-agent-skills\"\u003e4. SkillsMetric: Mapping the Detection Boundary of Static Analysis for Malicious Agent Skills\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Xinze Chen、Chi Zhang、Ping Ji、Yimin Liu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-09\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.08468\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SkillsMetric 从 pattern density、statistical anomaly、dataflow taint、import anomaly 和 capability mismatch 五个维度静态分析 Agent skill package，并构建覆盖 16 类攻击的 2,266 个对抗 skill，在 SkillMD-138K 上评估。方法取得 0.93 AUC 和 73.4%±0.5% 的五折 F1，但对常见 shell 命令实施的 host destruction 检出率为 0%，对自然语言 prompt injection 仅为 42%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 直接针对持久化 SKILL.md/脚本供应链，量化了静态扫描的有效边界，并为“静态预筛 + 语义审查 + 运行时 capability control”的分层防御提供依据。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。最值得关注的是 16 类攻击的构造方式、capability mismatch 的判定依据，以及与 SkillGate 一类运行时检测的互补关系。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-not-an-a11y-how-android-accessibility-exposes-mobile-ai-agents-to-indirect-prompt-injection\"\u003e5. Not an A11y: How Android Accessibility Exposes Mobile AI Agents to Indirect Prompt Injection\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Rahul Deivasigamani、Sayeda Faatin Alvi、Derqui Andrea、Kaushal Punjabi、Stjepan Picek\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-09\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.08939\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文指出 MobileRun 与 Mobile-Use 对 Android accessibility tree 和截图的依赖会把未经净化的界面元数据变成指令通道，攻击可导致 goal hijacking、context drift 和未授权设备操作。在汇总实验中，MobileRun 搭配 Gemma4:31B 的攻击成功率为 0.822，Mobile-Use 搭配 Qwen3.6:35B 降至 0.150，但仍未消除上下文漂移和未授权动作。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是典型的跨模态 indirect prompt injection，说明视觉隐藏不等于语义隔离，harness 必须区分 A11y 数据、用户指令与可执行权限。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点查看攻击在 accessibility metadata 与截图通道之间的差异，以及 zero-trust input validation 能否在不破坏无障碍功能的情况下落地。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-basis-breach-aware-selective-prompt-injection-shielding-with-prefill-attention-probes\"\u003e6. BASIS: Breach-Aware Selective Prompt Injection Shielding with Prefill Attention Probes\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Laiqiao Qin、Tianqing Zhu、Longxiang Gao、Wanlei Zhou\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-08\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.08027\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e BASIS 不把“存在注入”直接等同于“必须拒绝”，而用 Attention Competition Ratio 训练 existence probe 与 breach probe，级联判断注入是否实际突破当前模型和指令。该在线防御不增加额外 LLM 推理；作者在四个任务、六个开源模型上报告近乎完美的注入检测，并显著减少模型本可抵抗攻击时的过度拒绝。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 与 Prompt Injection defense 的 utility–security trade-off 直接相关，也提示 harness 可把“污染存在”和“能力边界已被突破”设为不同的控制信号。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点验证 attention probe 的跨模型迁移、面对自适应攻击的稳健性，以及闭源 API 无内部激活时的可部署性。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-whose-refusal-is-it-the-unmeasured-contribution-of-black-box-multimodal-guardrails\"\u003e7. Whose Refusal Is It? The Unmeasured Contribution of Black-Box Multimodal Guardrails\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Haoyu Zhang、Xiao Luo、Haowen Xu、Yi Feng、Shibo Zheng、Mohammad Zandsalimy、Shanu Sushmita\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-09\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.08641\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文指出黑盒 guardrail 的安全得分混合了 guardrail 阻断与目标模型自身拒绝，却通常没有分开计量；真实贡献会随 payload channel 以及 harness 传给防御器的内部文本而变化。实验中，文本 guard 面对像素承载的 payload 完全不阻断，而若直接获得未编码攻击请求则会被显著高估；作者给出无需新增推理成本的拒绝归因方法。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 直接影响 jailbreak/prompt-injection defense 的评测可信度，也说明 harness 的输入转换和通道选择本身是安全实验中的隐藏变量。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。建议把“guardrail block、model refusal、provider-side block”拆分为独立指标，并复查现有实验是否向防御器泄露了 benchmark 才知道的原始攻击文本。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-capability-routed-guard-defending-large-reasoning-models-against-reasoning-centric-jailbreaks\"\u003e8. Capability-Routed Guard: Defending Large Reasoning Models Against Reasoning-Centric Jailbreaks\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yiyong Liu、Yixin Wu、Jun Sakuma\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-08\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.07892\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e CRG 将 reasoning-centric jailbreak 防御改写为 capability routing：旁路 controller 从授权任务、活动上下文、安全证据和 capability-transfer risk 构建可信表示，再对高风险请求阻断、模糊请求限权、低风险请求放行。随后 TraceCheck 检查执行与授权任务的一致性，并用受限 fallback 尽量保留良性效用。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 与 capability/permission control、trusted active context 和 tool-use security 高度相关；相比只做内容分类，它把安全判断落实到可执行能力的路由与降级。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览后定向精读\u003c/strong\u003e。重点核查 controller 的可信输入从何而来、capability-transfer risk 如何标注，以及 TraceCheck 是否能抵抗同源语义操纵。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-governing-the-kv-cache-preventing-timing-side-channel-leakage-in-multi-tenant-llm-inference\"\u003e9. Governing the KV Cache: Preventing Timing Side-Channel Leakage in Multi-Tenant LLM Inference\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Tejasvi C. Addagada\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-10\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.09225\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e KVGov 用基于 principal identity 的 HMAC salt 将不同租户的 prefix-cache key 加密隔离，以阻断 PROMPTPEEK、EarlyBird 和 InputSnatch 三类时间侧信道。作者在 A100/vLLM 与 Apple Metal/llama.cpp 上复现缓存时延通道；防御效果主要通过校准模拟评估，并估计在提示分叉边界注入 salt 可保留 93% 的 prefix-cache 收益。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 属于 LLM Privacy 与多租户 agent infrastructure 的底层问题：即使上层 memory 和权限隔离正确，共享 KV cache 仍可能泄露私有 prompt。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览 / 收藏\u003c/strong\u003e。该工作有明确工程原语，但防御主体仍以模拟为主；应重点验证真实 serving stack 中的隔离收益、缓存命中损失和 principal 生命周期管理。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"10-the-anatomy-of-a-prompt-injection-a-component-model-for-structured-analysis\"\u003e10. The Anatomy of a Prompt Injection: A Component Model for Structured Analysis\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jeremy McHugh\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-07\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.07808\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文把 prompt injection 从不可复用的原始字符串拆为 carrier、delivery vector、concealment、context-break、privilege escalation、payload 和 return channel 七个组件，并给出映射到 cyber threat intelligence schema 的标注规则。其核心主张是按工具目标、数据 sink 与行为效果表达攻击意图，而不是依赖表面措辞匹配。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该结构适合用于生成可控变体、构造组合攻击 benchmark，并把 indirect prompt injection 与传统 kill-chain、权限提升和回传通道统一描述。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e收藏 / 浏览\u003c/strong\u003e。它主要是分析模型而非新防御算法，价值在于统一实验变量；可尝试将七组件映射到现有 IPI instance 与 harness policy 检查点。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 \u003cstrong\u003eSHE、ActBench 和 Hierarchical Self-Improvement\u003c/strong\u003e。SHE 与 HSI 会直接影响当前 harness optimization 工作的 novelty positioning：前者把安全职责拆成可局部演化的 artifact，后者进一步让 evolver strategy 本身可修改；ActBench 则提供了检验这些 harness 是否真正降低权限违规、记忆投毒和数据泄露的轨迹级基准。\u003c/p\u003e","title":"2026-08-12 热点论文推送"},{"content":" 本期检索范围： 2026-08-10—2026-08-11\n本期共筛选出 10 项。最新公开批次的主线是：攻击开始从单轮提示扩展到跨页面、跨载体和跨 Agent 的持久化链路；Harness Optimization 则更强调验证门、可撤销记忆与“可演化性”而非单次得分。没有论文版本更新或项目重大更新；发现 3 个随论文发布且包含实质代码的新仓库，没有值得单独收录的新项目。由于 arXiv 周末后的集中发布机制，本期条目的原始提交日期为 2026-08-06 或 2026-08-07。\n1. HarnessSafe: Evaluating Safety Across Persistent Carriers in Agent Harnesses 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xiao Zhang、Yusheng Wang、Yuhao Fei、Dongyuan Li、Zian Liang、Liuyu Xiang、Hongxun Gu、Zhaofeng He 日期： 2026-08-07 链接： 论文 核心内容： HarnessSafe 提出 Persistent-Risk Lifecycle，用 328 个可执行案例覆盖七类持久载体，并沿“攻击进入—跨载体或系统边界持久化—后续良性任务触发—可观察违规”追踪风险。实验显示，端到端攻击成功率会掩盖生命周期中的传播位置，而且防护效果高度依赖具体载体及 harness–model 组合。 与你的方向关系： 直接连接 Agent Security、持久化 prompt injection、memory/skill-file security 与 harness-dependent evaluation；其分阶段 trace 指标适合检验安全控制究竟在哪一层失效。 建议： 精读。优先核对七类 carrier 的威胁覆盖、阶段判定规则，以及是否能迁移为 harness 回归测试门。 2. StepJack: Benchmarking Computer-Use Agent Safety Against Multi-Step Indirect Prompt Injection 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Zhuoxin Zhan、Akbar Rafiey、Avery Ma、Leila Pishdad、Layla El Asri；BorealisAI 日期： 2026-08-06 链接： 论文 · 代码 核心内容： StepJack 将一个恶意目标拆成分布于相互链接页面的多个表面无害子步骤，构造 480 个样例并评估六种 computer-use agents。在固定分解深度下，三种 Agent 的攻击成功率最高增加 31.2 个百分点；仓库提供数据、自动分解、桌面环境、Agent 适配与实验脚本，而非仅有 README。 与你的方向关系： 这是 indirect prompt injection 从“单页恶意文本”升级为“跨页面组合攻击”的直接证据，要求 harness 对跨导航历史做意图聚合与信息流追踪。 建议： 精读并复现实验。重点比较分解深度、页面链接结构与 action gate 的关系，并测试现有注入检测器能否识别组合后才显现的恶意目标。 3. SynChain: Inducing Computer-Use Agent Systems to Construct Their Own Attack Chains 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Fuyao Zhang、Jiaming Zhang、Che Wang、Boyang Chen、Yurong Hao、Xiongtao Sun、Guowei Guan、Blaise Delattre、Yang Cao、Wei Yang Bryan Lim 日期： 2026-08-07 链接： 论文 核心内容： SynChain 把恶意影响嵌入 Agent 自主生成的 skill、memory 与 artifact 的结构冗余中，使系统在后续任务里自行拼接出攻击链。作者构建含 30 条良性任务链和三类攻击目标的 CUAChain，并在 OpenClaw、Codex、Claude Code 及四种防御下评估；休眠载荷可在没有新恶意外部输入时再次激活。 与你的方向关系： 工作直接覆盖持久指令、code/skill-as-memory 与 self-evolving agent 的供应链风险，说明“由 Agent 自己写入”不能作为可信来源判据。 建议： 精读。重点检查 payload 在合成、存储和复用阶段的可见性，以及可否通过 provenance、capability manifest 和写入前审计切断链路。 4. An End-to-End Agent Auditing Engine 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Haoning Wang、Mingxun Zhang、Chenyue Yu、Yingjun Shang、Xia Hu、Guanchu Wang、Na Zou；DataMLLab 日期： 2026-08-07 链接： 论文 · 代码 核心内容： A²E 通过 Agent Task Protocol 连接不同 benchmark 与 harness，自动采集标准化 LLM/tool execution traces，并从正确性、效率、工具使用、规划和错误恢复等维度审计。官方仓库包含任务适配、监控、评估、服务端和可视化 UI，支持多类 agent framework 与 benchmark；论文观察到不存在跨任务始终占优的单一 model–harness 组合。 与你的方向关系： 它为 Harness Optimization 提供统一的过程级观测与对比基础，也可承载安全属性、权限违规和提示注入传播的自定义 evaluator。 建议： 精读论文，试跑代码。最值得验证的是 ATP 的适配成本、trace 完整性，以及加入安全回归门后能否稳定比较 harness 变体。 5. EMAS: Stabilizing Multi-Agent System Evolution through Evidence-Guided Revision 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Chao Fei、Qingyi Si、Kaihua Liang、Yanghua Xiao、Panos Kalnis、Hongcheng Guo 日期： 2026-08-07 链接： 论文 核心内容： EMAS 在不更新模型权重的情况下修改多 Agent 拓扑和提示：先把失败轨迹转成带操作与目标的结构化诊断，只在同类诊断跨样本重复出现时生成候选，再通过与当前系统成对验证决定是否接受。论文在四个 benchmark、两个 LLM 上报告最高任务加权准确率，并展示准确率提升与 token 成本下降可以同时出现。 与你的方向关系： 这是 scaffold/controller optimization 的强相关方法，尤其贴近证据聚合、有限编辑和 held-out regression gate；它也让多 Agent 架构演化更可审计。 建议： 精读。重点比较“重复诊断触发”与历史经验蒸馏的差异，并检查成对验证是否足以防止局部过拟合和安全回退。 6. SkillProx: Self-Evolving Agent Skills via Proximal Textual Gradient Descent 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Mingxuan Zheng、Yujin Zhou、Chuxue Cao、Boqin Yin、Yuyao Zhang、Jiapeng Sun、Shuaishuai Gong、Sirui Han、Yike Guo 日期： 2026-08-07 链接： 论文 核心内容： SkillProx 用前向—后向框架稳定 skill 演化：前向阶段在同一批次重执行诊断驱动的编辑并回滚退化，后向阶段把 skill 拆为可审计知识单元，用冻结的 leave-one-out utility audit 决定合并、降级或移除。作者报告其在 ID/OOD、多种 backbone 设置下较最强 textual-gradient 基线平均提升 3.0 个百分点。 与你的方向关系： 与 executable harness learning、持久 skill 优化和 self-evolving agents 直接相关；知识单元审计与回滚机制也为“增长但不累积无效规则”提供了实现参考。 建议： 精读。关注 proximal 约束如何落实、同批重执行是否引入选择偏差，以及 leave-one-out 审计在大规模 skill 库中的成本。 7. When Context Bites: Detecting RAG Poisoning via Document-Level Attention Collapse 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub（SIGIR 2026） 作者 / 维护者： Yingtao Ren、Ziyi Zhao、Yiwei Fu、Xiao Luo、Yu-Cheng Chang、Chin-Teng Lin 日期： 2026-08-07 链接： 论文 · 代码 核心内容： 论文发现 RAG 中毒输出可能具有更低困惑度，导致基于输出不确定性的检测产生“虚假自信”；相反，攻击会让注意力集中到中毒文档并形成 document-level attention collapse。D-SCAN 监控该内部信号，即使攻击未成功改变最终答案也能检测到异常；仓库提供数据、内部状态收集、特征计算和分析流程。 与你的方向关系： 该方法针对检索内容驱动的间接提示注入与知识库污染，把检测点从输出搬到上下文信息流内部，可作为 tool/RAG ingress guard 的互补信号。 建议： 精读并浏览代码。需重点验证跨模型、长上下文和注意力不可见 API 场景的可迁移性，并与文档 provenance 检查组合评估。 8. TEPA: Revoking Stale Memories for Conflict-Robust Language Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yan Zhou、Yue Ouyang、Kaiyang Zheng、Suncheng Xiang 日期： 2026-08-07 链接： 论文 核心内容： TEPA 将 observation 表示为 keyed precedent，新证据在同一 key 下发生冲突时撤销旧 precedent，使检索只使用当前有效证据，同时保留撤销历史供审计。在 50 个随机种子的完全反转实验中，TEPA 得分为 0.950，而 append-only、last-write-wins 和无记忆分别为 0.210、0.210、0.309；文件执行环境复现了相同趋势。 与你的方向关系： 与 agent memory lifecycle、语义冲突和持久化状态治理直接相关；显式 revocation 也为记忆投毒后的隔离、恢复与 capability revocation 提供了基础原语。 建议： 精读。重点区分“过期事实撤销”与“恶意记忆识别”，并评估 key 冲突判定、多跳依赖和被撤销内容再激活的安全边界。 9. BONSAI: Evolvability-Guided Tree Search over Skills 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yash Priya Shastri、Anand Eswaran、Adnan Qidwai、Pankaj Thorat、Sachin Joshi 日期： 2026-08-07 链接： 论文 核心内容： BONSAI 不只按当前 skill 得分搜索，而把其变异邻域的平均表现作为“可演化性”估计，并在 Monte Carlo tree search 的 UCB 中同时使用个体 fitness 与 neighborhood fitness。使用冻结的 30B Agent 在三个 benchmark 上，作者报告 held-out 表现较无 skill 提升 23.13 个百分点，并分别领先 GEPA 和 SkillOpt 3.87、3.97 个百分点。 与你的方向关系： 这是 Harness Optimization 中搜索目标设计的重要相邻工作：它把“未来可改进空间”纳入选择，可用于避免早期收敛到难以继续生长的局部最优 scaffold。 建议： 精读。建议重点复核 evolvability 估计是否真正免费、树搜索预算如何分配，以及对安全约束和代码级编辑能否扩展。 10. When Coordination Becomes a Threat: Communication Attacks in LLM-Controlled Multi-Robot Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zhen Huang、Zhihuang Liu、Weijia Shi、Yifan Yang、Weishang Wu、Zhiping Cai 日期： 2026-08-07 链接： 论文 核心内容： 论文定义 External Entry Point Attack 与 Privileged In-System Attack，并在三种多机器人通信架构、三个 LLM 和五类具身任务上测试恶意声明如何转化为不安全动作。攻击在各架构均能传播；作者提出 Claim Provenance and Verification Gate，在其实验中把违规率从 70.0% 降至 36.6%。 与你的方向关系： 这是 multi-agent security、跨 Agent 信任传播和 tool-use safety 的具身实例，强调已进入系统的消息不能因“来自同伴 Agent”而自动获得权限。 建议： 浏览。重点收藏 CPV gate 的声明来源与验证接口设计，并与 semantic taint、不可逆 action gate 做横向比较。 今日优先阅读 优先阅读 HarnessSafe、StepJack 和 SynChain。三者共同把威胁模型从单点 prompt injection 推进到跨载体、跨页面和由 Agent 自行构造的持久攻击链，会直接影响 Agent 安全 benchmark 的任务设计、上下文 provenance 策略以及 harness 中 action/memory/skill 写入门的位置。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-11-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-10—2026-08-11\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期共筛选出 10 项。最新公开批次的主线是：攻击开始从单轮提示扩展到跨页面、跨载体和跨 Agent 的持久化链路；Harness Optimization 则更强调验证门、可撤销记忆与“可演化性”而非单次得分。没有论文版本更新或项目重大更新；发现 3 个随论文发布且包含实质代码的新仓库，没有值得单独收录的新项目。由于 arXiv 周末后的集中发布机制，本期条目的原始提交日期为 2026-08-06 或 2026-08-07。\u003c/p\u003e\n\u003ch2 id=\"1-harnesssafe-evaluating-safety-across-persistent-carriers-in-agent-harnesses\"\u003e1. HarnessSafe: Evaluating Safety Across Persistent Carriers in Agent Harnesses\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Xiao Zhang、Yusheng Wang、Yuhao Fei、Dongyuan Li、Zian Liang、Liuyu Xiang、Hongxun Gu、Zhaofeng He\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-07\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.06984\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e HarnessSafe 提出 Persistent-Risk Lifecycle，用 328 个可执行案例覆盖七类持久载体，并沿“攻击进入—跨载体或系统边界持久化—后续良性任务触发—可观察违规”追踪风险。实验显示，端到端攻击成功率会掩盖生命周期中的传播位置，而且防护效果高度依赖具体载体及 harness–model 组合。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 直接连接 Agent Security、持久化 prompt injection、memory/skill-file security 与 harness-dependent evaluation；其分阶段 trace 指标适合检验安全控制究竟在哪一层失效。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。优先核对七类 carrier 的威胁覆盖、阶段判定规则，以及是否能迁移为 harness 回归测试门。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-stepjack-benchmarking-computer-use-agent-safety-against-multi-step-indirect-prompt-injection\"\u003e2. StepJack: Benchmarking Computer-Use Agent Safety Against Multi-Step Indirect Prompt Injection\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Zhuoxin Zhan、Akbar Rafiey、Avery Ma、Leila Pishdad、Layla El Asri；BorealisAI\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-06\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.06477\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/BorealisAI/StepJack\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e StepJack 将一个恶意目标拆成分布于相互链接页面的多个表面无害子步骤，构造 480 个样例并评估六种 computer-use agents。在固定分解深度下，三种 Agent 的攻击成功率最高增加 31.2 个百分点；仓库提供数据、自动分解、桌面环境、Agent 适配与实验脚本，而非仅有 README。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 indirect prompt injection 从“单页恶意文本”升级为“跨页面组合攻击”的直接证据，要求 harness 对跨导航历史做意图聚合与信息流追踪。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读并复现实验\u003c/strong\u003e。重点比较分解深度、页面链接结构与 action gate 的关系，并测试现有注入检测器能否识别组合后才显现的恶意目标。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-synchain-inducing-computer-use-agent-systems-to-construct-their-own-attack-chains\"\u003e3. SynChain: Inducing Computer-Use Agent Systems to Construct Their Own Attack Chains\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Fuyao Zhang、Jiaming Zhang、Che Wang、Boyang Chen、Yurong Hao、Xiongtao Sun、Guowei Guan、Blaise Delattre、Yang Cao、Wei Yang Bryan Lim\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-07\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.06862\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SynChain 把恶意影响嵌入 Agent 自主生成的 skill、memory 与 artifact 的结构冗余中，使系统在后续任务里自行拼接出攻击链。作者构建含 30 条良性任务链和三类攻击目标的 CUAChain，并在 OpenClaw、Codex、Claude Code 及四种防御下评估；休眠载荷可在没有新恶意外部输入时再次激活。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 工作直接覆盖持久指令、code/skill-as-memory 与 self-evolving agent 的供应链风险，说明“由 Agent 自己写入”不能作为可信来源判据。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点检查 payload 在合成、存储和复用阶段的可见性，以及可否通过 provenance、capability manifest 和写入前审计切断链路。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-an-end-to-end-agent-auditing-engine\"\u003e4. An End-to-End Agent Auditing Engine\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Haoning Wang、Mingxun Zhang、Chenyue Yu、Yingjun Shang、Xia Hu、Guanchu Wang、Na Zou；DataMLLab\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-07\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.07346\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/datamllab/A2E\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e A²E 通过 Agent Task Protocol 连接不同 benchmark 与 harness，自动采集标准化 LLM/tool execution traces，并从正确性、效率、工具使用、规划和错误恢复等维度审计。官方仓库包含任务适配、监控、评估、服务端和可视化 UI，支持多类 agent framework 与 benchmark；论文观察到不存在跨任务始终占优的单一 model–harness 组合。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它为 Harness Optimization 提供统一的过程级观测与对比基础，也可承载安全属性、权限违规和提示注入传播的自定义 evaluator。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读论文，试跑代码\u003c/strong\u003e。最值得验证的是 ATP 的适配成本、trace 完整性，以及加入安全回归门后能否稳定比较 harness 变体。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-emas-stabilizing-multi-agent-system-evolution-through-evidence-guided-revision\"\u003e5. EMAS: Stabilizing Multi-Agent System Evolution through Evidence-Guided Revision\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Chao Fei、Qingyi Si、Kaihua Liang、Yanghua Xiao、Panos Kalnis、Hongcheng Guo\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-07\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.07196\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e EMAS 在不更新模型权重的情况下修改多 Agent 拓扑和提示：先把失败轨迹转成带操作与目标的结构化诊断，只在同类诊断跨样本重复出现时生成候选，再通过与当前系统成对验证决定是否接受。论文在四个 benchmark、两个 LLM 上报告最高任务加权准确率，并展示准确率提升与 token 成本下降可以同时出现。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 scaffold/controller optimization 的强相关方法，尤其贴近证据聚合、有限编辑和 held-out regression gate；它也让多 Agent 架构演化更可审计。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较“重复诊断触发”与历史经验蒸馏的差异，并检查成对验证是否足以防止局部过拟合和安全回退。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-skillprox-self-evolving-agent-skills-via-proximal-textual-gradient-descent\"\u003e6. SkillProx: Self-Evolving Agent Skills via Proximal Textual Gradient Descent\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Mingxuan Zheng、Yujin Zhou、Chuxue Cao、Boqin Yin、Yuyao Zhang、Jiapeng Sun、Shuaishuai Gong、Sirui Han、Yike Guo\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-07\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.07449\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SkillProx 用前向—后向框架稳定 skill 演化：前向阶段在同一批次重执行诊断驱动的编辑并回滚退化，后向阶段把 skill 拆为可审计知识单元，用冻结的 leave-one-out utility audit 决定合并、降级或移除。作者报告其在 ID/OOD、多种 backbone 设置下较最强 textual-gradient 基线平均提升 3.0 个百分点。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 与 executable harness learning、持久 skill 优化和 self-evolving agents 直接相关；知识单元审计与回滚机制也为“增长但不累积无效规则”提供了实现参考。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。关注 proximal 约束如何落实、同批重执行是否引入选择偏差，以及 leave-one-out 审计在大规模 skill 库中的成本。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-when-context-bites-detecting-rag-poisoning-via-document-level-attention-collapse\"\u003e7. When Context Bites: Detecting RAG Poisoning via Document-Level Attention Collapse\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub（SIGIR 2026）\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yingtao Ren、Ziyi Zhao、Yiwei Fu、Xiao Luo、Yu-Cheng Chang、Chin-Teng Lin\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-07\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.06947\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/yingtaoren/D-Scan\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文发现 RAG 中毒输出可能具有更低困惑度，导致基于输出不确定性的检测产生“虚假自信”；相反，攻击会让注意力集中到中毒文档并形成 document-level attention collapse。D-SCAN 监控该内部信号，即使攻击未成功改变最终答案也能检测到异常；仓库提供数据、内部状态收集、特征计算和分析流程。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该方法针对检索内容驱动的间接提示注入与知识库污染，把检测点从输出搬到上下文信息流内部，可作为 tool/RAG ingress guard 的互补信号。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读并浏览代码\u003c/strong\u003e。需重点验证跨模型、长上下文和注意力不可见 API 场景的可迁移性，并与文档 provenance 检查组合评估。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-tepa-revoking-stale-memories-for-conflict-robust-language-agents\"\u003e8. TEPA: Revoking Stale Memories for Conflict-Robust Language Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yan Zhou、Yue Ouyang、Kaiyang Zheng、Suncheng Xiang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-07\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.07429\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e TEPA 将 observation 表示为 keyed precedent，新证据在同一 key 下发生冲突时撤销旧 precedent，使检索只使用当前有效证据，同时保留撤销历史供审计。在 50 个随机种子的完全反转实验中，TEPA 得分为 0.950，而 append-only、last-write-wins 和无记忆分别为 0.210、0.210、0.309；文件执行环境复现了相同趋势。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 与 agent memory lifecycle、语义冲突和持久化状态治理直接相关；显式 revocation 也为记忆投毒后的隔离、恢复与 capability revocation 提供了基础原语。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点区分“过期事实撤销”与“恶意记忆识别”，并评估 key 冲突判定、多跳依赖和被撤销内容再激活的安全边界。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-bonsai-evolvability-guided-tree-search-over-skills\"\u003e9. BONSAI: Evolvability-Guided Tree Search over Skills\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yash Priya Shastri、Anand Eswaran、Adnan Qidwai、Pankaj Thorat、Sachin Joshi\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-07\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.07056\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e BONSAI 不只按当前 skill 得分搜索，而把其变异邻域的平均表现作为“可演化性”估计，并在 Monte Carlo tree search 的 UCB 中同时使用个体 fitness 与 neighborhood fitness。使用冻结的 30B Agent 在三个 benchmark 上，作者报告 held-out 表现较无 skill 提升 23.13 个百分点，并分别领先 GEPA 和 SkillOpt 3.87、3.97 个百分点。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Harness Optimization 中搜索目标设计的重要相邻工作：它把“未来可改进空间”纳入选择，可用于避免早期收敛到难以继续生长的局部最优 scaffold。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。建议重点复核 evolvability 估计是否真正免费、树搜索预算如何分配，以及对安全约束和代码级编辑能否扩展。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"10-when-coordination-becomes-a-threat-communication-attacks-in-llm-controlled-multi-robot-systems\"\u003e10. When Coordination Becomes a Threat: Communication Attacks in LLM-Controlled Multi-Robot Systems\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Zhen Huang、Zhihuang Liu、Weijia Shi、Yifan Yang、Weishang Wu、Zhiping Cai\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-07\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.06830\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文定义 External Entry Point Attack 与 Privileged In-System Attack，并在三种多机器人通信架构、三个 LLM 和五类具身任务上测试恶意声明如何转化为不安全动作。攻击在各架构均能传播；作者提出 Claim Provenance and Verification Gate，在其实验中把违规率从 70.0% 降至 36.6%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 multi-agent security、跨 Agent 信任传播和 tool-use safety 的具身实例，强调已进入系统的消息不能因“来自同伴 Agent”而自动获得权限。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。重点收藏 CPV gate 的声明来源与验证接口设计，并与 semantic taint、不可逆 action gate 做横向比较。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 \u003cstrong\u003eHarnessSafe、StepJack 和 SynChain\u003c/strong\u003e。三者共同把威胁模型从单点 prompt injection 推进到跨载体、跨页面和由 Agent 自行构造的持久攻击链，会直接影响 Agent 安全 benchmark 的任务设计、上下文 provenance 策略以及 harness 中 action/memory/skill 写入门的位置。\u003c/p\u003e","title":"2026-08-11 热点论文推送"},{"content":" 本期检索范围： 2026-08-07—2026-08-08\n本期筛选出 10 项，最明显的趋势是 Harness Optimization 开始形成专门评测与训练范式，同时自演化 Agent 的轨迹投毒、技能污染和写入前验证成为新的安全主线；多模态 Prompt Injection 也进一步进入机器人与智能家居等物理环境。本期均为新论文，其中 2 项同时发布了具备实质代码、文档或测试的官方仓库；未发现值得重复收录的论文版本更新、项目重大更新或独立新项目，IACR ePrint 亦无符合标准的新条目。\n1. HarnessOpt-Bench: Evaluating LLMs at Harness Optimization 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Varun Ursekar、Apaar Shanker、Yash Maurya、Shehab Yasser、Vijay S. Kalmath、Veronica Chatrath、Yuan Xue 日期： 2026-08-06 链接： 论文 核心内容： HarnessOpt-Bench 将 harness 优化定义为受固定目标评测预算约束的端到端任务：优化器根据种子 harness 与带分反馈反复修改系统，但不能访问 held-out test。作者通过可信执行环境计量资源、保存版本并隔离测试，在 5 个前沿优化模型、两类 coding harness、4 个任务和 111 次计分运行上发现，优化器模型差异通常大于 coding harness 差异，原生 harness 也并非稳定占优。 与你的方向关系： 这是 Harness Optimization 的直接评测基础设施，尤其适合检验开放式 controller edit 在昂贵、随机反馈和有限预算下是否真正泛化，而非只适配可见样本。 建议： 精读。重点比较其目标函数、预算计量、版本保留与 held-out 隔离是否足以形成你所需的 regression gate。 2. EvoHarness-RL: Learning Self-Evolving Runtime Harness for Long-Horizon LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xuying Ning、Dongqi Fu、Tianxin Wei、Hanqing Zeng、Yuanchen Bei、Bingxuan Li、Zihao Li、Qifan Wang、Xiang Shen、Yifan Wu、Jiayi Liu、Hong Li、Yinglong Xia、Xiangjun Fan、Hanghang Tong、Jingrui He 日期： 2026-08-05 链接： 论文 核心内容： EvoHarness-RL 学习一个运行时 harness policy，以 Belief–Progress–Experience 状态组织长程轨迹，并决定何时读取、更新或压缩经验。方法先用 SFT 学习动作空间与状态构造，再以 cost-aware GRPO 优化决策；作者报告 Qwen3-8B 在 ALFWorld 上达到 96.9% 成功率，并观察到 harness annealing 与演化现象。 与你的方向关系： 它把 Harness Optimization 从离线 prompt/scaffold 搜索推进到运行时策略学习，直接关联可执行记忆、成本控制和自演化 Agent。 建议： 精读。重点核查状态表示、写入动作、成本奖励和长期稳定性，并与固定配置搜索及直接代码演化进行对照。 3. When Experience Becomes Instruction: Trajectory Poisoning in Self-Evolving Agent Skill Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jialuo Chen、Lingqi Jiang、Xinhao Deng、Xiaohu Du、Jianan Ma、Yunhao Feng、Yuqi Qing、Zhihao Yuan、Linkang Du、Jingyi Wang 日期： 2026-08-06 链接： 论文 核心内容： 论文提出黑盒轨迹投毒攻击 PoisonedEvolution，使少量攻击者提供的成功记录在后续技能蒸馏中被提升为持久指令。在 SkillClaw 的六个 LLM evolver 上，10% 攻击者支持时 SkillClaw 嵌入目标行为 546/600 次（91.0% SER），Trace2Skill 为 369/600 次（61.5% SER）；受控实验中，30 条轨迹里的 3 条一致恶意记录即可造成明显污染。 与你的方向关系： 该工作直接连接 Agent memory poisoning、持久化指令安全与 self-evolving harness，指出“经验成为代码或技能”时 evidence promotion 本身就是安全边界。 建议： 精读。最值得验证的是攻击对轨迹排序、来源信誉、去重和跨轮蒸馏规则的敏感性。 4. When Self-Evolution Backfires: Pre-Commit Gating against Skill Contamination in LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Linfang Shang、Ming Xu、Yiding Sun、Tianle Xia、Lingxiang Hu、Lan Xu、Ning Zheng 日期： 2026-08-06 链接： 论文 核心内容： 作者将自演化中的错误积累描述为 capability contamination：缺陷技能一旦被提交，便会成为后续蒸馏来源并引发跨轮、难逆转的污染。提出的 VaG 在写入前联合结构有效性、行为无害性与语义一致性三个 critic，再以边际收益选择技能子集；在 Terminal-Bench 2 上达到 72% pass@1，同时将技能池缩小约 5 倍，并在四种 backbone 和第二个 benchmark 上验证迁移性。 与你的方向关系： 这是 Harness Optimization 与 Agent Security 的交叉防线，把安全检查放在持久状态提交前，而不是等污染进入长期记忆或技能库后再修复。 建议： 精读。可重点比较三类 critic 的独立贡献、误拒成本，以及是否能充当可执行 harness 修改的 pre-commit gate。 5. SkillHEX: Improving Agent Skills via Hypothesis-Driven Autonomous Exploration and Exploitation 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yuru Feng、Yaoqi Chen、Beidi Zhao、Qianxi Zhang、Xinjiang Wang、Jianan Lu、Zhirui Wang、Shusen Xu、Zengzhong Li、Qi Chen 日期： 2026-08-06 链接： 论文 核心内容： SkillHEX 将失败分析转化为可证伪假设和可执行测试，再以 evidence-guided tree search 在探索新修复方向与利用已有证据之间分配预算。作者在 87 个 SkillsBench 任务、5 次迭代预算下，报告 GPT-5.3-Codex 与 Claude Opus 4.7 的平均通过率分别为 55.9% 和 57.9%。 与你的方向关系： 它提供了一种从失败证据生成结构化搜索分支的 Harness Optimization 路线，与历史经验蒸馏、code-as-memory 和有限预算下的 scaffold 演化高度相关。 建议： 精读。重点看假设如何落地为测试、树搜索是否避免过拟合，以及跨任务复用的技能是否设有回归验证。 6. Activity Frames: Deterministic Screen-Activity Compilation for Agent Memory and Replay 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Nossa Iyamu 日期： 2026-08-06 链接： 论文 · 代码 核心内容： Activity Frames 以零模型、确定性编译方式把屏幕活动转化为带类型、边界和证据指针的 frames，用于 Agent 记忆查询与可重放例程。作者在单一专业用户 51 天、128,756 个 frames 上报告 68 毫秒内实现 86 倍压缩，问答准确率 98.4%，高于 LLM 摘要的 66%–80%；满足 guard 的重复流程可在命中时实现零模型 token 重放。 与你的方向关系： 该工作将 code-as-memory 和 executable harness learning 落到可审计、可重放的结构化表示，同时通过证据指针和 guard 限制语义摘要带来的漂移风险。 建议： 精读论文，浏览代码。仓库包含 Python 包、MCP 工具、CLI、测试与研究材料，适合验证 replay guard、隐私边界及跨用户泛化。 7. Robust Context-Aware Detection of Malicious Instructions in Text 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Buzhao Liu、Xinhang Ma、Yevgeniy Vorobeychik 日期： 2026-08-05 链接： 论文 · 代码 核心内容： 该工作把恶意指令检测建模为依赖用户查询与上下文的句段级判断，而非对整段文本作静态分类，并结合特征空间对抗训练和 LLM 改写样本提升鲁棒性。实验强调检测效用与对抗鲁棒性之间存在权衡，最优阈值和训练方式随领域变化，不能依赖单一通用配置。 与你的方向关系： 它直接面向 indirect prompt injection，适合作为工具输出、网页内容或文档进入 Agent 上下文之前的细粒度过滤层。 建议： 精读并试跑。官方仓库虽提交历史较短，但已包含训练与评测源码、脚本、输出和预训练分类器；应重点复测自适应攻击与跨域误报。 8. Hijacking Robots with a Piece of Paper: A Systematic Study of Physical Prompt Injection in VLM-Controlled Robots 类型 / 来源： 新论文｜arXiv 作者 / 维护者： S. M. Bhagya P. Samarakoon、M. A. Viraj J. Muthugala、W. K. R. Sachinthana、Mohan Rajesh Elara 日期： 2026-08-06 链接： 论文 核心内容： 论文系统评估纸面文字对 VLM 控制机器人的物理 Prompt Injection，覆盖 20 种攻击、3 种布局、3 类指令形式和 5,670 次试验。GPT-4o、Gemini 2.5 Flash 与 Qwen3-VL-32B 的攻击成功率分别为 27.0%、29.4% 和 5.0%，且成功入侵几乎总会被模型明确承认；提示防御、两阶段验证和视觉遮罩可显著降低攻击，但可能影响正常标签读取。 与你的方向关系： 这是 indirect prompt injection 从网页与文件扩展到物理环境的直接证据，凸显 VLM Agent 在感知输入、指令权限和动作执行之间缺乏可信边界。 建议： 精读。重点关注攻击成功的判定标准、防御对正常任务效用的影响，以及能否用 capability gate 替代纯输入清洗。 9. PromptShield Home: Ambient Multimodal Prompt Injection Defense for Smart-Home Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： He Zhang、Feilong Li、Dingning Long、Yilin Cui、Peijun Zhang、Yuewen Zhang、Qianyao Xu、Xinyi Fu 日期： 2026-08-06 链接： 论文 核心内容： PromptShield Home 构建智能家居多模态注入试验，覆盖说话对象歧义、屏幕与音频注入、误触发及多人共处，并比较轻量检测器、MLLM 与多 Agent 防御层。作者强调仅“全部阻断”即可取得 82% 表面分数，因此分别衡量危险执行与安全任务完成；各层正确样本明显互补，oracle router 达 94.1%，高于最佳单层的 76.5%，但尚未实现实际路由器。 与你的方向关系： 该工作把 Prompt Injection 防御与 smart-home Agent 的权限控制、用户归属和多模态工具执行联系起来，也揭示只看攻击阻断率会掩盖可用性退化。 建议： 浏览。值得收藏其评测拆分和互补错误分析，但在实际 router、延迟与设备权限机制补齐前，不宜把 oracle 结果视为可部署防御。 10. Post-Hoc Trajectory-Risk Certification for Modular LLM-Based Security Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zhenpeng Li 日期： 2026-08-04 链接： 论文 核心内容： 论文研究模块化安全 Agent 的轨迹级风险认证，指出各阶段独立的 split-conformal 保证不能自动组合，并比较 Bonferroni、生成树组合与直接轨迹审计。两阶段入侵检测管线覆盖 6 个开源 LLM 和 2 个数据集；样本充分时直接审计比 Bonferroni 平均紧 13.7%，在 α=0.10 时平均轨迹覆盖率为 92.7±2.4%，而跨数据集单步 miscoverage 甚至可达 100%。 与你的方向关系： 它为 multi-agent / modular-agent security 提供了输出之后的统计风险界限，并提醒局部模块准确率不能替代端到端轨迹安全保证。 建议： 收藏 / 定向精读。重点核查交换性假设、审计样本需求，以及认证能否与运行时 action gate 和分布漂移检测结合。 今日优先阅读 优先阅读 HarnessOpt-Bench、EvoHarness-RL 与 When Experience Becomes Instruction。前两项直接影响 Harness Optimization 的评测基线、训练范式和论文定位；第三项则揭示自演化系统把经验提升为持久技能时最关键的攻击面，会实质改变数据来源、写入审批和回归测试的系统设计。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-08-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-07—2026-08-08\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期筛选出 10 项，最明显的趋势是 Harness Optimization 开始形成专门评测与训练范式，同时自演化 Agent 的轨迹投毒、技能污染和写入前验证成为新的安全主线；多模态 Prompt Injection 也进一步进入机器人与智能家居等物理环境。本期均为新论文，其中 2 项同时发布了具备实质代码、文档或测试的官方仓库；未发现值得重复收录的论文版本更新、项目重大更新或独立新项目，IACR ePrint 亦无符合标准的新条目。\u003c/p\u003e\n\u003ch2 id=\"1-harnessopt-bench-evaluating-llms-at-harness-optimization\"\u003e1. HarnessOpt-Bench: Evaluating LLMs at Harness Optimization\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Varun Ursekar、Apaar Shanker、Yash Maurya、Shehab Yasser、Vijay S. Kalmath、Veronica Chatrath、Yuan Xue\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-06\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.06301\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e HarnessOpt-Bench 将 harness 优化定义为受固定目标评测预算约束的端到端任务：优化器根据种子 harness 与带分反馈反复修改系统，但不能访问 held-out test。作者通过可信执行环境计量资源、保存版本并隔离测试，在 5 个前沿优化模型、两类 coding harness、4 个任务和 111 次计分运行上发现，优化器模型差异通常大于 coding harness 差异，原生 harness 也并非稳定占优。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Harness Optimization 的直接评测基础设施，尤其适合检验开放式 controller edit 在昂贵、随机反馈和有限预算下是否真正泛化，而非只适配可见样本。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较其目标函数、预算计量、版本保留与 held-out 隔离是否足以形成你所需的 regression gate。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-evoharness-rl-learning-self-evolving-runtime-harness-for-long-horizon-llm-agents\"\u003e2. EvoHarness-RL: Learning Self-Evolving Runtime Harness for Long-Horizon LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Xuying Ning、Dongqi Fu、Tianxin Wei、Hanqing Zeng、Yuanchen Bei、Bingxuan Li、Zihao Li、Qifan Wang、Xiang Shen、Yifan Wu、Jiayi Liu、Hong Li、Yinglong Xia、Xiangjun Fan、Hanghang Tong、Jingrui He\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-05\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.05446\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e EvoHarness-RL 学习一个运行时 harness policy，以 Belief–Progress–Experience 状态组织长程轨迹，并决定何时读取、更新或压缩经验。方法先用 SFT 学习动作空间与状态构造，再以 cost-aware GRPO 优化决策；作者报告 Qwen3-8B 在 ALFWorld 上达到 96.9% 成功率，并观察到 harness annealing 与演化现象。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它把 Harness Optimization 从离线 prompt/scaffold 搜索推进到运行时策略学习，直接关联可执行记忆、成本控制和自演化 Agent。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点核查状态表示、写入动作、成本奖励和长期稳定性，并与固定配置搜索及直接代码演化进行对照。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-when-experience-becomes-instruction-trajectory-poisoning-in-self-evolving-agent-skill-systems\"\u003e3. When Experience Becomes Instruction: Trajectory Poisoning in Self-Evolving Agent Skill Systems\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jialuo Chen、Lingqi Jiang、Xinhao Deng、Xiaohu Du、Jianan Ma、Yunhao Feng、Yuqi Qing、Zhihao Yuan、Linkang Du、Jingyi Wang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-06\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.05563\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文提出黑盒轨迹投毒攻击 PoisonedEvolution，使少量攻击者提供的成功记录在后续技能蒸馏中被提升为持久指令。在 SkillClaw 的六个 LLM evolver 上，10% 攻击者支持时 SkillClaw 嵌入目标行为 546/600 次（91.0% SER），Trace2Skill 为 369/600 次（61.5% SER）；受控实验中，30 条轨迹里的 3 条一致恶意记录即可造成明显污染。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直接连接 Agent memory poisoning、持久化指令安全与 self-evolving harness，指出“经验成为代码或技能”时 evidence promotion 本身就是安全边界。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。最值得验证的是攻击对轨迹排序、来源信誉、去重和跨轮蒸馏规则的敏感性。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-when-self-evolution-backfires-pre-commit-gating-against-skill-contamination-in-llm-agents\"\u003e4. When Self-Evolution Backfires: Pre-Commit Gating against Skill Contamination in LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Linfang Shang、Ming Xu、Yiding Sun、Tianle Xia、Lingxiang Hu、Lan Xu、Ning Zheng\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-06\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.05810\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 作者将自演化中的错误积累描述为 capability contamination：缺陷技能一旦被提交，便会成为后续蒸馏来源并引发跨轮、难逆转的污染。提出的 VaG 在写入前联合结构有效性、行为无害性与语义一致性三个 critic，再以边际收益选择技能子集；在 Terminal-Bench 2 上达到 72% pass@1，同时将技能池缩小约 5 倍，并在四种 backbone 和第二个 benchmark 上验证迁移性。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Harness Optimization 与 Agent Security 的交叉防线，把安全检查放在持久状态提交前，而不是等污染进入长期记忆或技能库后再修复。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。可重点比较三类 critic 的独立贡献、误拒成本，以及是否能充当可执行 harness 修改的 pre-commit gate。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-skillhex-improving-agent-skills-via-hypothesis-driven-autonomous-exploration-and-exploitation\"\u003e5. SkillHEX: Improving Agent Skills via Hypothesis-Driven Autonomous Exploration and Exploitation\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yuru Feng、Yaoqi Chen、Beidi Zhao、Qianxi Zhang、Xinjiang Wang、Jianan Lu、Zhirui Wang、Shusen Xu、Zengzhong Li、Qi Chen\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-06\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.05628\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SkillHEX 将失败分析转化为可证伪假设和可执行测试，再以 evidence-guided tree search 在探索新修复方向与利用已有证据之间分配预算。作者在 87 个 SkillsBench 任务、5 次迭代预算下，报告 GPT-5.3-Codex 与 Claude Opus 4.7 的平均通过率分别为 55.9% 和 57.9%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它提供了一种从失败证据生成结构化搜索分支的 Harness Optimization 路线，与历史经验蒸馏、code-as-memory 和有限预算下的 scaffold 演化高度相关。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点看假设如何落地为测试、树搜索是否避免过拟合，以及跨任务复用的技能是否设有回归验证。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-activity-frames-deterministic-screen-activity-compilation-for-agent-memory-and-replay\"\u003e6. Activity Frames: Deterministic Screen-Activity Compilation for Agent Memory and Replay\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Nossa Iyamu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-06\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.05784\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/nossa-y/activity-frames\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e Activity Frames 以零模型、确定性编译方式把屏幕活动转化为带类型、边界和证据指针的 frames，用于 Agent 记忆查询与可重放例程。作者在单一专业用户 51 天、128,756 个 frames 上报告 68 毫秒内实现 86 倍压缩，问答准确率 98.4%，高于 LLM 摘要的 66%–80%；满足 guard 的重复流程可在命中时实现零模型 token 重放。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作将 code-as-memory 和 executable harness learning 落到可审计、可重放的结构化表示，同时通过证据指针和 guard 限制语义摘要带来的漂移风险。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读论文，浏览代码\u003c/strong\u003e。仓库包含 Python 包、MCP 工具、CLI、测试与研究材料，适合验证 replay guard、隐私边界及跨用户泛化。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-robust-context-aware-detection-of-malicious-instructions-in-text\"\u003e7. Robust Context-Aware Detection of Malicious Instructions in Text\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Buzhao Liu、Xinhang Ma、Yevgeniy Vorobeychik\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-05\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.05430\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/tavia-liu/CAD\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 该工作把恶意指令检测建模为依赖用户查询与上下文的句段级判断，而非对整段文本作静态分类，并结合特征空间对抗训练和 LLM 改写样本提升鲁棒性。实验强调检测效用与对抗鲁棒性之间存在权衡，最优阈值和训练方式随领域变化，不能依赖单一通用配置。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它直接面向 indirect prompt injection，适合作为工具输出、网页内容或文档进入 Agent 上下文之前的细粒度过滤层。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读并试跑\u003c/strong\u003e。官方仓库虽提交历史较短，但已包含训练与评测源码、脚本、输出和预训练分类器；应重点复测自适应攻击与跨域误报。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-hijacking-robots-with-a-piece-of-paper-a-systematic-study-of-physical-prompt-injection-in-vlm-controlled-robots\"\u003e8. Hijacking Robots with a Piece of Paper: A Systematic Study of Physical Prompt Injection in VLM-Controlled Robots\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e S. M. Bhagya P. Samarakoon、M. A. Viraj J. Muthugala、W. K. R. Sachinthana、Mohan Rajesh Elara\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-06\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.05715\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文系统评估纸面文字对 VLM 控制机器人的物理 Prompt Injection，覆盖 20 种攻击、3 种布局、3 类指令形式和 5,670 次试验。GPT-4o、Gemini 2.5 Flash 与 Qwen3-VL-32B 的攻击成功率分别为 27.0%、29.4% 和 5.0%，且成功入侵几乎总会被模型明确承认；提示防御、两阶段验证和视觉遮罩可显著降低攻击，但可能影响正常标签读取。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 indirect prompt injection 从网页与文件扩展到物理环境的直接证据，凸显 VLM Agent 在感知输入、指令权限和动作执行之间缺乏可信边界。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点关注攻击成功的判定标准、防御对正常任务效用的影响，以及能否用 capability gate 替代纯输入清洗。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-promptshield-home-ambient-multimodal-prompt-injection-defense-for-smart-home-agents\"\u003e9. PromptShield Home: Ambient Multimodal Prompt Injection Defense for Smart-Home Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e He Zhang、Feilong Li、Dingning Long、Yilin Cui、Peijun Zhang、Yuewen Zhang、Qianyao Xu、Xinyi Fu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-06\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.05495\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e PromptShield Home 构建智能家居多模态注入试验，覆盖说话对象歧义、屏幕与音频注入、误触发及多人共处，并比较轻量检测器、MLLM 与多 Agent 防御层。作者强调仅“全部阻断”即可取得 82% 表面分数，因此分别衡量危险执行与安全任务完成；各层正确样本明显互补，oracle router 达 94.1%，高于最佳单层的 76.5%，但尚未实现实际路由器。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作把 Prompt Injection 防御与 smart-home Agent 的权限控制、用户归属和多模态工具执行联系起来，也揭示只看攻击阻断率会掩盖可用性退化。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。值得收藏其评测拆分和互补错误分析，但在实际 router、延迟与设备权限机制补齐前，不宜把 oracle 结果视为可部署防御。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"10-post-hoc-trajectory-risk-certification-for-modular-llm-based-security-agents\"\u003e10. Post-Hoc Trajectory-Risk Certification for Modular LLM-Based Security Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Zhenpeng Li\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-04\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.05199\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文研究模块化安全 Agent 的轨迹级风险认证，指出各阶段独立的 split-conformal 保证不能自动组合，并比较 Bonferroni、生成树组合与直接轨迹审计。两阶段入侵检测管线覆盖 6 个开源 LLM 和 2 个数据集；样本充分时直接审计比 Bonferroni 平均紧 13.7%，在 α=0.10 时平均轨迹覆盖率为 92.7±2.4%，而跨数据集单步 miscoverage 甚至可达 100%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它为 multi-agent / modular-agent security 提供了输出之后的统计风险界限，并提醒局部模块准确率不能替代端到端轨迹安全保证。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e收藏 / 定向精读\u003c/strong\u003e。重点核查交换性假设、审计样本需求，以及认证能否与运行时 action gate 和分布漂移检测结合。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 HarnessOpt-Bench、EvoHarness-RL 与 When Experience Becomes Instruction。前两项直接影响 Harness Optimization 的评测基线、训练范式和论文定位；第三项则揭示自演化系统把经验提升为持久技能时最关键的攻击面，会实质改变数据来源、写入审批和回归测试的系统设计。\u003c/p\u003e","title":"2026-08-08 热点论文推送"},{"content":" 本期检索范围： 2026-08-06—2026-08-07\n本期共筛选出 9 项。最明显的趋势是 Harness Optimization 与 Agent Security 正在汇合：一方面，系统通过持久状态、角色化控制和验证门实现运行时自演化；另一方面，攻击也开始沿搜索轨迹、技能接口和工具选择链路积累影响。本期均为新论文，没有符合标准的论文版本更新或项目重大更新；关联代码尚未形成可单独收录的高质量 GitHub 项目，IACR ePrint 亦未发现需优先推送的新增工作。\n1. Argus: A General-Purpose Agentic Runtime for Long-Horizon Reasoning 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Boxiu Li、Zimo Wen、Yijia Fan、Junxiang Lei、Sufeng Guo 等 日期： 2026-08-05 链接： 论文 核心内容： Argus 将长程任务拆成由 Manager、Planner、Engineer 和 Reviewer 执行的有界 mission，并在持久项目状态中保存记忆、技能、程序、验证器、路由决策与被否决路线；这些内容只有经过角色所有者审查和任务原生验证后才被接纳。论文报告在 731 个 SWE-Bench Pro 任务上约 78% 的解决率，对照 Direct Copilot 约 59%，但总 token 为其 1.41 倍；成熟阶段相较启动阶段每题 solve-input token 减少 21%，主动工作流时间减少 15%。 与你的方向关系： 这是 Harness Optimization、executable harness learning 和 self-evolving agents 的直接核心工作。它把“增长”限定为固定模型之上的持久运行时状态与控制策略，并以 review/admission gate 管理经验进入长期记忆，适合作为开放式 harness code growth 的强对照。 建议： 精读。重点比较其 mission boundary、持久状态 admission、回滚与 escalation 机制，并核查跨七类任务的评测是否足以支撑通用 runtime 的定位。 2. Breadcrumbing Search Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xuebin Li、Hanqing Zhao、Siyuan Liang、Kejiang Chen、Weiming Zhang、Dacheng Tao、Nenghai Yu 日期： 2026-08-05 链接： 论文 核心内容： 论文把搜索 Agent 的间接提示注入从“单个恶意页面”扩展为跨查询、跨页面协调的长程证据操纵：受控搜索中介每次只追加一个结果，也能持续影响后续查询与最终结论。Authority-Chain Hijack 在完整 SafeSearch 测试集达到 55.9% ASR、83.3% MaxN ASR；Trace-Guided Strategy Evolution 从执行轨迹自动改进攻击策略，在 held-out 设置中最高达到 71.4% / 95.0%。 与你的方向关系： 该工作直接覆盖 indirect prompt injection、tool-use security 与 search-agent security，说明逐页面过滤无法处理跨轨迹形成的“伪造佐证链”。它对语义 provenance 和信息流控制提出更高要求：安全标签必须随证据链传播，并在多源交叉验证时防止同一攻击者伪装成独立来源。 建议： 精读。重点检查搜索中介的控制能力、ACH 的 authority-chain 构造方式，以及 defense 是否能识别跨查询的共同来源与语义协同。 3. AgentAntibody: An Adaptive Immune System for Defending LLM Agents against Prompt Injection 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Shihao Weng、Yang Feng、Xiaofei Xie、Jiongchi Yu 日期： 2026-08-04 链接： 论文 核心内容： AgentAntibody 将用户逐步显露的安全边界表示为持久化 antibody library，使 Agent 能从既往注入事件中学习哪些任务完成方式虽满足字面目标、却违背用户真实预期。作者在三个 benchmark 和四个 backbone LLM 上报告其能比现有防御更好地阻止有害动作，同时保留合法任务完成能力。 与你的方向关系： 它同时连接 Prompt Injection、persistent memory 和 self-evolving defense，把安全策略从静态 system prompt 推进到跨会话经验积累。关键风险也非常贴近你的关注点：antibody 本身会成为高权限持久指令，因此需要 provenance、污染隔离、冲突处理和可撤销更新。 建议： 精读。重点验证 antibody 的生成、匹配和更新规则，以及攻击者能否通过伪造反馈或对抗性经历毒化防御边界。 4. SafeCommit: Certifying When Memory-Grounded Agents May Safely Act 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Mayur Akewar、Ravi Ranjan 日期： 2026-08-04 链接： 论文 核心内容： SafeCommit 在 Agent 推理与外部副作用之间加入风险控制层，从记忆、观察、工具输出、provenance 和 policy constraint 构造一组校准后的可能世界；只有当 conformal action certificate 证明动作在所有保留世界中都安全时才允许提交。无法认证时，系统选择低副作用探针以消除阻塞世界，或返回保守 fallback；在校准覆盖假设下，不安全认证提交的概率由目标水平 α 上界。 与你的方向关系： 该工作直接对应 memory uncertainty、capability/permission control 和 irreversible action gate，把“是否已有足够证据执行”变成 harness 级可认证决策。它可与语义 taint 或 capability system 组合：前者生成候选风险世界，后者执行不可绕过的提交约束。 建议： 精读。重点看 world proposal 的覆盖假设、表示误差项和 probe 成本；如果候选世界遗漏了被污染记忆所隐含的攻击意图，理论保证会如何退化尤其关键。 5. Behavioral Skill Reconstruction: Reconstructing Hidden Functionality from LLM Agent Skills 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Peichun Hua、Haoxuan Xu、Mengyuan Li 日期： 2026-08-04 链接： 论文 核心内容： 论文提出 Behavioral Skill Reconstruction：攻击者不读取隐藏 skill 文件，而是通过合法任务请求和可观察响应恢复其功能。SkillClone 从公开说明形成接口假设，执行结构化良性探测，合成可执行副本，再用与目标 skill 的差分验证迭代修复；在涵盖规则、表格、流程和算法的 30 个技能上，若干目标可在 held-out 输入上被完整或部分复现。 与你的方向关系： 这是 persistent skill-file security 与 semantic privacy 的新威胁模型：文件机密性和防 prompt leakage 并不能阻止功能语义从普通使用中被累积提取。对 code-as-memory 或可执行 harness 服务同样适用，系统需要限制查询预算、输出可辨识度和跨会话信息聚合，而不仅是隐藏源文件。 建议： 精读。重点看不同 skill 类型的可克隆性、查询复杂度和差分修复收益，并思考 capability API 如何在保持效用的同时降低功能指纹泄露。 6. Diagnosing Tool-Selection Reasoning in LLM Agents with Canary Tools 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Atul Anand、Sourav Chattaraj 日期： 2026-08-05 链接： 论文 核心内容： 论文在 MCP 工具集中植入专门诊断单一弱点的 canary tools，把“选错工具”细分为 semantic decoy、parameter trap、capability mirage、prerequisite blindness、temporal decoy 和 granularity trap 六类。作者对八个模型完成 8,640 次主实验和 2,880 次 subtlety ablation，发现模型间每任务 canary susceptibility rate 相差约 36 倍，且易感性与任务失败呈负相关（Spearman ρ=-0.34）。 与你的方向关系： 该工作对 tool-use security、MCP capability selection 和 harness evaluation 很有工程价值，可用于判断 Agent 是被工具描述诱导、忽略前置条件，还是误判权限与粒度。Canary 也可扩展为安全回归测试，检测新增工具或 skill 是否改变 controller 的选择边界。 建议： 浏览。建议收藏其 taxonomy 和评测设计；若用于安全结论，应进一步验证 canary 是否覆盖恶意工具描述、跨工具组合和带副作用的真实权限冲突。 7. Trident: How to Break Deep Reinforcement Learning Cyber Defenses (Agentic) 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Ryozo Masukawa、Ian Bryant、Armita Kazeminajafabadi、Sanggeon Yun、Hyunwoo Oh 等 日期： 2026-08-05 链接： 论文 核心内容： Trident 为自主网络防御构建动态红队框架，包括覆盖 CybORG CAGE 4 与 CyberWheel 的隔离 sandbox、超过 13,000 条红蓝交互轨迹，以及 Log Summarizer–Planner–Coder 组成的 Code-as-Policy RLVR 架构。一个可训练的 7B Planner 从压缩日志生成完整攻击策略，冻结 Coder 将其翻译为可执行 Python policy；论文报告其使蓝队表现相对静态红队基线平均下降 522%。 与你的方向关系： 该工作同时属于 agentic AI security、multi-agent security 和 executable harness learning，展示了攻击策略如何从轨迹压缩、计划生成到可执行代码形成闭环。其动态红队比固定 attack script 更适合检验防御 controller 是否会被自适应策略绕过。 建议： 精读。重点检查 522% 指标的定义、sandbox realism、奖励解析器与自修复循环，并比较 Planner/Coder 解耦与通用 code-as-memory 的可审计性。 8. OneDayAgent: Towards a Long-Horizon Harness for Autonomous Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jingsheng Zheng、Xinyuan Fang、Jintian Zhang、Zhengke Gui、Huajun Chen、Ningyu Zhang 日期： 2026-08-04 链接： 论文 核心内容： OneDayAgent 将开放式请求转化为受管理的长程执行流程，通过有界子任务分解、上下文压力下的 execution memory，以及最终交付物验证与修复来联合处理 goal drift、state loss 和 context overflow。作者在 104 个 AgentIF-OneDay 任务上报告 GLM-5.2 后端总分 0.821，并在三个模型家族的五个后端上使用同一 harness 而无需调参。 与你的方向关系： 这是 long-horizon harness、controller portability 和 memory-aware execution 的直接基线，尤其适合比较固定 scaffold 与可自增长 harness 在跨模型泛化上的差异。其公开仓库目前仍以“releasing soon”为主，未达到可作为实质代码项目单独收录的标准，因此本条仅链接论文。 建议： 浏览。先看 AgentIF-OneDay 的任务定义、失败分解和后端一致性；待完整代码发布后再评估其 memory、verification 与 repair 是否可复现。 9. A Multimodal Automatic Redteaming Evaluation based on Atomic Jailbreak Strategy Decoupling and Combination 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Shiji Zhao、Yuxuan Zhou、Chen Xiong、Dongxian Wu、Yang Bai、Xun Chen 日期： 2026-08-03 链接： 论文 核心内容： 论文把文本—图像 jailbreak 策略拆分为结构、语义和句法三个层级，并在六维策略空间上由跨模态 planner 选择和组合原子策略，再由统一 executor 生成攻击指令。其 Hierarchical Atomic Combination Attack 在五个主流 MLLM 上报告平均 95.48% 攻击成功率。 与你的方向关系： 该工作直接属于 jailbreak attack and defense，也提供了“原子策略空间 + planner + executor”的可执行红队 harness。它说明多模态输入会扩大 prompt injection 的组合空间，防御评测不能只覆盖单一文本模板或人工构造攻击。 建议： 浏览。重点参考其策略分解和自动组合框架，同时核查 ASR judge、攻击预算、目标模型版本及对自适应防御的评估是否充分。 今日优先阅读 优先阅读 Argus、Breadcrumbing Search Agents 和 SafeCommit。Argus 会直接影响自演化 harness 的 novelty positioning；Breadcrumbing 揭示跨搜索轨迹的间接注入如何形成伪造证据链；SafeCommit 则提供了把记忆不确定性转化为不可逆动作认证门的具体形式化路径。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-07-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-06—2026-08-07\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期共筛选出 9 项。最明显的趋势是 Harness Optimization 与 Agent Security 正在汇合：一方面，系统通过持久状态、角色化控制和验证门实现运行时自演化；另一方面，攻击也开始沿搜索轨迹、技能接口和工具选择链路积累影响。本期均为新论文，没有符合标准的论文版本更新或项目重大更新；关联代码尚未形成可单独收录的高质量 GitHub 项目，IACR ePrint 亦未发现需优先推送的新增工作。\u003c/p\u003e\n\u003ch2 id=\"1-argus-a-general-purpose-agentic-runtime-for-long-horizon-reasoning\"\u003e1. Argus: A General-Purpose Agentic Runtime for Long-Horizon Reasoning\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Boxiu Li、Zimo Wen、Yijia Fan、Junxiang Lei、Sufeng Guo 等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-05\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.05144\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e Argus 将长程任务拆成由 Manager、Planner、Engineer 和 Reviewer 执行的有界 mission，并在持久项目状态中保存记忆、技能、程序、验证器、路由决策与被否决路线；这些内容只有经过角色所有者审查和任务原生验证后才被接纳。论文报告在 731 个 SWE-Bench Pro 任务上约 78% 的解决率，对照 Direct Copilot 约 59%，但总 token 为其 1.41 倍；成熟阶段相较启动阶段每题 solve-input token 减少 21%，主动工作流时间减少 15%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Harness Optimization、executable harness learning 和 self-evolving agents 的直接核心工作。它把“增长”限定为固定模型之上的持久运行时状态与控制策略，并以 review/admission gate 管理经验进入长期记忆，适合作为开放式 harness code growth 的强对照。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较其 mission boundary、持久状态 admission、回滚与 escalation 机制，并核查跨七类任务的评测是否足以支撑通用 runtime 的定位。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-breadcrumbing-search-agents\"\u003e2. Breadcrumbing Search Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Xuebin Li、Hanqing Zhao、Siyuan Liang、Kejiang Chen、Weiming Zhang、Dacheng Tao、Nenghai Yu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-05\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.04565\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文把搜索 Agent 的间接提示注入从“单个恶意页面”扩展为跨查询、跨页面协调的长程证据操纵：受控搜索中介每次只追加一个结果，也能持续影响后续查询与最终结论。Authority-Chain Hijack 在完整 SafeSearch 测试集达到 55.9% ASR、83.3% MaxN ASR；Trace-Guided Strategy Evolution 从执行轨迹自动改进攻击策略，在 held-out 设置中最高达到 71.4% / 95.0%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直接覆盖 indirect prompt injection、tool-use security 与 search-agent security，说明逐页面过滤无法处理跨轨迹形成的“伪造佐证链”。它对语义 provenance 和信息流控制提出更高要求：安全标签必须随证据链传播，并在多源交叉验证时防止同一攻击者伪装成独立来源。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点检查搜索中介的控制能力、ACH 的 authority-chain 构造方式，以及 defense 是否能识别跨查询的共同来源与语义协同。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-agentantibody-an-adaptive-immune-system-for-defending-llm-agents-against-prompt-injection\"\u003e3. AgentAntibody: An Adaptive Immune System for Defending LLM Agents against Prompt Injection\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Shihao Weng、Yang Feng、Xiaofei Xie、Jiongchi Yu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-04\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.04053\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e AgentAntibody 将用户逐步显露的安全边界表示为持久化 antibody library，使 Agent 能从既往注入事件中学习哪些任务完成方式虽满足字面目标、却违背用户真实预期。作者在三个 benchmark 和四个 backbone LLM 上报告其能比现有防御更好地阻止有害动作，同时保留合法任务完成能力。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它同时连接 Prompt Injection、persistent memory 和 self-evolving defense，把安全策略从静态 system prompt 推进到跨会话经验积累。关键风险也非常贴近你的关注点：antibody 本身会成为高权限持久指令，因此需要 provenance、污染隔离、冲突处理和可撤销更新。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点验证 antibody 的生成、匹配和更新规则，以及攻击者能否通过伪造反馈或对抗性经历毒化防御边界。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-safecommit-certifying-when-memory-grounded-agents-may-safely-act\"\u003e4. SafeCommit: Certifying When Memory-Grounded Agents May Safely Act\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Mayur Akewar、Ravi Ranjan\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-04\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.04289\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SafeCommit 在 Agent 推理与外部副作用之间加入风险控制层，从记忆、观察、工具输出、provenance 和 policy constraint 构造一组校准后的可能世界；只有当 conformal action certificate 证明动作在所有保留世界中都安全时才允许提交。无法认证时，系统选择低副作用探针以消除阻塞世界，或返回保守 fallback；在校准覆盖假设下，不安全认证提交的概率由目标水平 α 上界。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直接对应 memory uncertainty、capability/permission control 和 irreversible action gate，把“是否已有足够证据执行”变成 harness 级可认证决策。它可与语义 taint 或 capability system 组合：前者生成候选风险世界，后者执行不可绕过的提交约束。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点看 world proposal 的覆盖假设、表示误差项和 probe 成本；如果候选世界遗漏了被污染记忆所隐含的攻击意图，理论保证会如何退化尤其关键。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-behavioral-skill-reconstruction-reconstructing-hidden-functionality-from-llm-agent-skills\"\u003e5. Behavioral Skill Reconstruction: Reconstructing Hidden Functionality from LLM Agent Skills\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Peichun Hua、Haoxuan Xu、Mengyuan Li\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-04\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.04192\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文提出 Behavioral Skill Reconstruction：攻击者不读取隐藏 skill 文件，而是通过合法任务请求和可观察响应恢复其功能。SkillClone 从公开说明形成接口假设，执行结构化良性探测，合成可执行副本，再用与目标 skill 的差分验证迭代修复；在涵盖规则、表格、流程和算法的 30 个技能上，若干目标可在 held-out 输入上被完整或部分复现。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 persistent skill-file security 与 semantic privacy 的新威胁模型：文件机密性和防 prompt leakage 并不能阻止功能语义从普通使用中被累积提取。对 code-as-memory 或可执行 harness 服务同样适用，系统需要限制查询预算、输出可辨识度和跨会话信息聚合，而不仅是隐藏源文件。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点看不同 skill 类型的可克隆性、查询复杂度和差分修复收益，并思考 capability API 如何在保持效用的同时降低功能指纹泄露。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-diagnosing-tool-selection-reasoning-in-llm-agents-with-canary-tools\"\u003e6. Diagnosing Tool-Selection Reasoning in LLM Agents with Canary Tools\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Atul Anand、Sourav Chattaraj\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-05\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.04719\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文在 MCP 工具集中植入专门诊断单一弱点的 canary tools，把“选错工具”细分为 semantic decoy、parameter trap、capability mirage、prerequisite blindness、temporal decoy 和 granularity trap 六类。作者对八个模型完成 8,640 次主实验和 2,880 次 subtlety ablation，发现模型间每任务 canary susceptibility rate 相差约 36 倍，且易感性与任务失败呈负相关（Spearman ρ=-0.34）。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作对 tool-use security、MCP capability selection 和 harness evaluation 很有工程价值，可用于判断 Agent 是被工具描述诱导、忽略前置条件，还是误判权限与粒度。Canary 也可扩展为安全回归测试，检测新增工具或 skill 是否改变 controller 的选择边界。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。建议收藏其 taxonomy 和评测设计；若用于安全结论，应进一步验证 canary 是否覆盖恶意工具描述、跨工具组合和带副作用的真实权限冲突。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-trident-how-to-break-deep-reinforcement-learning-cyber-defenses-agentic\"\u003e7. Trident: How to Break Deep Reinforcement Learning Cyber Defenses (Agentic)\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Ryozo Masukawa、Ian Bryant、Armita Kazeminajafabadi、Sanggeon Yun、Hyunwoo Oh 等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-05\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.04317\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e Trident 为自主网络防御构建动态红队框架，包括覆盖 CybORG CAGE 4 与 CyberWheel 的隔离 sandbox、超过 13,000 条红蓝交互轨迹，以及 Log Summarizer–Planner–Coder 组成的 Code-as-Policy RLVR 架构。一个可训练的 7B Planner 从压缩日志生成完整攻击策略，冻结 Coder 将其翻译为可执行 Python policy；论文报告其使蓝队表现相对静态红队基线平均下降 522%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作同时属于 agentic AI security、multi-agent security 和 executable harness learning，展示了攻击策略如何从轨迹压缩、计划生成到可执行代码形成闭环。其动态红队比固定 attack script 更适合检验防御 controller 是否会被自适应策略绕过。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点检查 522% 指标的定义、sandbox realism、奖励解析器与自修复循环，并比较 Planner/Coder 解耦与通用 code-as-memory 的可审计性。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-onedayagent-towards-a-long-horizon-harness-for-autonomous-agents\"\u003e8. OneDayAgent: Towards a Long-Horizon Harness for Autonomous Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jingsheng Zheng、Xinyuan Fang、Jintian Zhang、Zhengke Gui、Huajun Chen、Ningyu Zhang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-04\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.05013\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e OneDayAgent 将开放式请求转化为受管理的长程执行流程，通过有界子任务分解、上下文压力下的 execution memory，以及最终交付物验证与修复来联合处理 goal drift、state loss 和 context overflow。作者在 104 个 AgentIF-OneDay 任务上报告 GLM-5.2 后端总分 0.821，并在三个模型家族的五个后端上使用同一 harness 而无需调参。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 long-horizon harness、controller portability 和 memory-aware execution 的直接基线，尤其适合比较固定 scaffold 与可自增长 harness 在跨模型泛化上的差异。其公开仓库目前仍以“releasing soon”为主，未达到可作为实质代码项目单独收录的标准，因此本条仅链接论文。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。先看 AgentIF-OneDay 的任务定义、失败分解和后端一致性；待完整代码发布后再评估其 memory、verification 与 repair 是否可复现。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-a-multimodal-automatic-redteaming-evaluation-based-on-atomic-jailbreak-strategy-decoupling-and-combination\"\u003e9. A Multimodal Automatic Redteaming Evaluation based on Atomic Jailbreak Strategy Decoupling and Combination\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Shiji Zhao、Yuxuan Zhou、Chen Xiong、Dongxian Wu、Yang Bai、Xun Chen\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-03\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.04034\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文把文本—图像 jailbreak 策略拆分为结构、语义和句法三个层级，并在六维策略空间上由跨模态 planner 选择和组合原子策略，再由统一 executor 生成攻击指令。其 Hierarchical Atomic Combination Attack 在五个主流 MLLM 上报告平均 95.48% 攻击成功率。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直接属于 jailbreak attack and defense，也提供了“原子策略空间 + planner + executor”的可执行红队 harness。它说明多模态输入会扩大 prompt injection 的组合空间，防御评测不能只覆盖单一文本模板或人工构造攻击。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。重点参考其策略分解和自动组合框架，同时核查 ASR judge、攻击预算、目标模型版本及对自适应防御的评估是否充分。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 \u003cstrong\u003eArgus\u003c/strong\u003e、\u003cstrong\u003eBreadcrumbing Search Agents\u003c/strong\u003e 和 \u003cstrong\u003eSafeCommit\u003c/strong\u003e。Argus 会直接影响自演化 harness 的 novelty positioning；Breadcrumbing 揭示跨搜索轨迹的间接注入如何形成伪造证据链；SafeCommit 则提供了把记忆不确定性转化为不可逆动作认证门的具体形式化路径。\u003c/p\u003e","title":"2026-08-07 热点论文推送"},{"content":" 本期检索范围： 2026-08-05—2026-08-06\n本期共筛选出 10 项。最明显的趋势是 Agent 安全研究正在从输入文本过滤走向内部表征检测、跨阶段防御、运行时证据与系统级形式化语义；同时，持久化 memory/skill 已成为兼具完整性、隐私和身份冒用风险的独立安全边界。本期均为新论文，其中 3 项同步提供了有实质实现的代码仓库；没有符合标准的论文版本更新、项目重大更新或值得单独收录的新项目，IACR ePrint 也未发现需优先推送的新增工作。\n1. Your Agentic LLMs Secretly Encode Latent Signals of Indirect Prompt-Injection Exposure 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Jianshuo Dong、Yiming Liu、Maosen Zhang、Nan Deng、Xu Peng、Xiaoping Zhang、Tianwei Zhang、Jie Zhang、Han Qiu 日期： 2026-08-01 链接： 论文 · 代码 核心内容： 论文发现六个模型在生成前的 hidden states 中已经编码 IPI exposure 信号，线性 probe 在未见攻击、Agent 指令和任务套件上取得 90% 以上 AUROC，并在自适应攻击和跨语言设置下保持较强鲁棒性。基于“识别到了风险但未转化为安全行为”的 recognition–action gap，AGRI 只在 probe 触发时加入抗注入推理；在困难 AgentDojo 设置中，Qwen3.5-27B 的 ASR 从 34.6% 降至 0%，同时大体保持干净任务效用。 与你的方向关系： 这是 Prompt Injection 与 Agent Security 的直接核心工作，也为你正在考虑的 CaMeL / program semantics 扩展提供了一个互补层：program-level policy 可以负责执行约束，latent probe 则可提供“当前外部数据已携带指令性风险”的动态标签。仓库包含 trace collection、风险标注、hidden-state featurization、probe 训练评估、AgentDojo 补丁和测试，不是仅有 README 的占位仓库。 建议： 精读。优先核查 probe 标签究竟对应 exposure、可见性还是实际遵从，并思考如何把 AGRI 的软推理触发替换为 CaMeL 式不可绕过的语义权限门。 2. Formal Verification of Agentic Systems over Operational Data 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Alejandro J. Mercado、Alessio Lomuscio 日期： 2026-08-04 链接： 论文 核心内容： 论文把单个 LLM、tool-orchestration harness 与关系型 operational data 组成的部署形式化为 Stateful Tool-Enabled Agentic Deployments（STEADs），给出系统语义并以 FO-CTL 表达工作流与数据演化要求；一般验证问题不可判定，在有限域限制下则为 PSPACE-complete。作者识别出“重命名不透明标识符时，所选工具调用必须相应重命名”的等变性条件，并构造 canonical deployment wrapper，使任意基础 Agent 满足该条件且保留原本已等变的行为。 与你的方向关系： 这项工作与 program semantics、capability control 和 tool-use security 高度契合：它不只约束 Agent 接口，而是对 LLM、harness、工具调用和持久数据的联合状态转移给出语义。对 CaMeL 扩展尤其有价值，可用于区分“数据值如何变化”与“模型生成的控制决策如何随标识符变化”，并把 policy enforcement 转化为可验证 wrapper。 建议： 精读。重点看 STEAD 的 transition semantics、FO-CTL 可表达的 security property，以及 canonicalization 是否能扩展到动态工具集、非关系数据和间接提示注入的污点标签。 3. $S^3$: Improving Agent Safety through Multi-Stage Defense 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Zibo Xiao、Haoyu Wang、Jun Sun 日期： 2026-08-03 链接： 论文 · 代码 核心内容： $S^3$ 将输入、记忆、规划、工具选择、执行和工具观察阶段的异构防御统一表示为带显式 stage semantics 的 Stage-Specific Safety Skills，并由独立 guard agent 按阶段编排。作者还构建 Multi-Stage Risk Benchmark，报告完整框架在安全有效性与良性任务保留上优于单技能及代表性多阶段基线；仓库包含 27 次提交、GuardAgent、六类攻击、技能实现、数据与批量评测脚本。 与你的方向关系： 它直接覆盖 Agent Security、memory poisoning、observation prompt injection 与 persistent skill-file security，并把“安全控制放在哪个生命周期阶段”提升为一等接口。对 harness 研究而言，它是把安全模块组合进 controller 的强工程基线，也暴露了 guard LLM 与主 Agent 共享认知弱点时的潜在单点失效。 建议： 精读并试跑。重点比较 stage-local skill 与跨阶段信息流约束，检查 recovery 是否会在后续阶段重新引入已净化风险，以及 SKILL.md 语义是否足够支持静态验证。 4. WeClawArena: An Auditable Sandbox and Benchmark for Cross-User Agents Collaboration and Security in Human-Centered Agent Networks 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Prince Zizhuang Wang、Aojie Yuan、Haiyue Zhang、Xiyang Hu、Yue Zhao、Shuli Jiang 日期： 2026-08-04 链接： 论文 核心内容： WeClawArena 面向由不同用户拥有、各自维护个人 workspace 与策略的 Agent 网络，提供可审计 runtime sandbox 和跨用户协作 benchmark。它包含六个领域的 124 个基础任务，并为每项扩展一个良性对照与四种攻击变体，共 620 个场景；系统记录 peer message、tool call、资源操作、治理决策和最终 workspace 状态，分别报告 utility 与 ASR。 与你的方向关系： 该基准直接连接 multi-agent security、跨用户权限边界、隐私泄露、poisoned evidence 与 invalid authority path，避免只从最终文本判断攻击是否成功。它适合检验语义 taint、delegation capability 和跨 Agent 信息流控制是否真正限制了对他人资源的影响。 建议： 精读。重点关注四类攻击的 authority model、运行时证据如何判定成功，以及是否能加入你关心的跨设备或跨账户 capability revocation 实验。 5. MutMem: Cryptographically Authorized Mutation in Persistent Agent Memory 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Walid Saidi 日期： 2026-08-03 链接： 论文 · 代码 核心内容： MutMem 在 persistent memory engine HOM-AIMOS 中保留原始记忆内容，用签名的正负 outcome evidence 更新可检索权重，并将每次非平凡变化提交为 housekeeper 授权、不可分叉的 transition；数据库 writer 与独立 verifier 都执行 Ed25519 验证。N=100 的 PoisonedRAG 适应实验中，恢复签名标签策略后攻击目标的 top-5 检索中为 0/100 poison，而绕过该策略时为 94/100；作者明确限定该机制证明完整性、授权与历史连续性，而不证明内容真实。 与你的方向关系： 该工作把 agent memory poisoning 与 cryptographic provenance、授权变更和可撤销信任状态结合起来，适合作为“持久记忆既可学习又可审计”的具体系统。它与 code-as-memory 也有直接类比：若 harness code 会持续自我修改，同样需要不可分叉的变更链、授权主体、旧新状态承诺和独立验证器。 建议： 精读。重点区分内容真实性与变更授权，并评估单一 housekeeper identity、签名标签误判和长期 key rotation 对安全性的影响。 6. When Agents Learn to Be You: Benchmarking Privacy Leakage, Impersonation Risk, and Defenses in Persona Skills 类型 / 来源： 新论文｜arXiv / 项目页 作者 / 维护者： Yongli Xiang、Zhifang Zhang、Bojun Yang、Ziming Hong、Lei Feng、Miao Xu、Tongliang Liu 日期： 2026-08-04 链接： 论文 · 项目页与数据集 核心内容： AntiSkillBench 研究把个人交互历史蒸馏成可移植、可执行 persona skill 后产生的隐私泄露与冒用风险，包含 50 个丰富 persona 的 7,500 条对话轨迹、三种 skill distillation 策略，以及属性披露、沟通风格和行为模仿评测。三种前沿 Agent 上风险均跨 backbone 与蒸馏协议持续存在，四种在线或事后防御的效果依赖具体蒸馏策略且难以泛化；项目页已提供数据集，代码仍标注为 coming soon。 与你的方向关系： 该工作把 LLM Privacy 从单条记忆泄露推进到“碎片化个人信号被编译进持久技能”的语义隐私问题，也直接对应 persistent instruction / skill-file security。它提示 capability 声明不仅要描述工具权限，还应描述 skill 可推断、模仿和对外披露的 persona 属性范围。 建议： 精读。重点查看 skill-level 与 agent-level 泄露如何区分，以及 provenance protection 为何不能稳定阻断行为风格与隐式属性的再现。 7. SparSEEty: Extracting Tokens from Sparsity-Exploiting LLM Serving Systems via Deterministic Side Channels 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yongwan Jo、Jinyoung Park、Euihyun Lee、Dokyung Song 日期： 2026-08-04 链接： 论文 核心内容： SparSEEty 利用稀疏推理中由输入决定的 neuron weight access，先从 confidential VM 暴露的侧信道构造 neuron-activation oracle，再把部分二值激活轨迹反演回 token。针对 Intel TDX 内 LLM serving 的实验可同时重建 prompt 与 response，在多模型和数据集上 BLEU 均高于 0.95，监控开销为 3.7%–7.2%。 与你的方向关系： 这是 LLM Security \u0026amp; Privacy 的高强度系统攻击，说明机密虚拟机并不能自动消除由优化策略引入的语义相关访存泄露。对 Agent 部署尤其重要：长期 memory、私有 tool result 与系统 prompt 都可能经过同一 serving path，因而需要把稀疏优化纳入端到端隐私威胁模型。 建议： 精读。重点核查攻击者的观测权限、不同 sparsity scheme 的可迁移性，以及常数时间访问、噪声注入或固定稀疏模式的性能—隐私权衡。 8. AI Security Leaderboard: Methodology, Results and Minimal Standard 类型 / 来源： 新论文｜arXiv / FAR.AI 作者 / 维护者： Jasper Timm、Lukas Struppek、Ziwei Xu、Grace Cheong、Oscar Mata、Dan Zhao、Mick Yang、Isadora De Andrade、Xiaojun Jia、Yiming Li、Samuel Bauer、Heather McIntyre、Adam Gleave、Edward Yee、Kellin Pelrine 日期： 2026-08-04 链接： 论文 · 在线榜单 核心内容： 论文提出 Minimal Standard for Safeguards v1.0，整理 67 种公开静态 jailbreak 技术并通过组合搜索，在 360 个 CBRNE 与 offensive cyber 目标上寻找能对同一领域超过 75% 目标产生合规回答的 universal jailbreak。四个前沿模型的 cost-to-jailbreak 相差超过百倍：随机搜索在 Grok 4.5 与 Gemini 3.1 Pro 上分别找到 63 和 18 个 universal jailbreak，而 Claude Fable 5 与 GPT-5.6 Sol 在两种搜索策略下均未出现此类结果。 与你的方向关系： 该工作为 jailbreak defense 提供了比单一 ASR 更接近真实攻击预算的成本指标，并强调组合技术的大搜索空间。它可用于校准 Agent guardrail 的最低安全线，但其模型级结果不能替代对 tool use、memory 与 indirect injection 的系统级评测。 建议： 浏览。重点参考 technique taxonomy、right-censored cost 指标与搜索协议，不要把榜单排序直接外推为 Agent runtime 的整体安全性。 9. ToolLIFT: Lifting Tool-Specific Trajectories into Function-Level Graphs for Generalizable Tool Planning 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xiuhui You、Jiayi Luo、Zichao Shen、Qingyun Sun、Ziwei Zhang 日期： 2026-08-04 链接： 论文 核心内容： ToolLIFT 不直接把历史轨迹固化为特定工具图，而是提升为 function-level workflow graph，把跨工具共享的功能结构与具体 tool selection 解耦。它进一步使用 source-gated 与 skill-specific RL rewards 保持跨调用信息流可追溯；在两个 ID 与三个 OOD benchmark 上均优于论文所比较的现有基线，并展示对未见工具集的泛化。 与你的方向关系： 该工作直接关联 Harness Optimization、function-level controller abstraction、trajectory reuse 与 executable workflow learning。对 Natural Growth 的启发是：函数级结构可成为跨工具迁移的中间表示，但预先定义的功能聚类与图结构也可能重新引入你试图避免的 controller bias。 建议： 精读。重点比较 FWG 的节点/边如何归纳、source gate 的安全语义，以及开放式代码增长与固定 function-level graph 在表达能力和审计性上的差异。 10. BAP-SQL: Budget-Aware Observation Planning for Agentic Text-to-SQL 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Chong Peng、Pin Qian、Su Wang、Yihang Chen、Varun Sah 日期： 2026-08-03 链接： 论文 核心内容： BAP-SQL 把 observation formation 视为独立的预算控制阶段：策略估计查询风险、必要时改写 SQL，而硬限制交给独立 runtime shield，避免宽查询先耗尽 context 与数据库工作后再做无效压缩。主 BIRD 衍生设置中，它相对 matched SFT 提升 3.4/3.6 个百分点并减少 4.5/5.0% token；收益随模型能力和预算增加而减弱，在最宽松预算下反转，且没有减少数据库工作。 与你的方向关系： 这是 cost-aware harness optimization 的干净实例，把“模型可见的规划策略”与“不可绕过的运行时预算门”分离，适合作为成功优先、成本次级的 controller 对照。它也提醒只优化 token 并不等价于降低外部工具成本，应分别核算 context、API、数据库与延迟预算。 建议： 浏览。重点看 runtime shield 与 learned planner 的责任边界，以及宽松预算下负收益是否说明优化器需要按任务与预算动态停用策略。 今日优先阅读 优先阅读 Your Agentic LLMs Secretly Encode Latent Signals of Indirect Prompt-Injection Exposure、Formal Verification of Agentic Systems over Operational Data 和 ToolLIFT。前两篇能直接影响你从 program semantics 扩展 CaMeL 的研究设计：一篇提供动态 IPI 风险信号，另一篇提供系统级语义与可验证 wrapper；ToolLIFT 则会影响 Natural Growth 在 function-level abstraction 与开放代码搜索之间的 novelty positioning。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-06-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-05—2026-08-06\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期共筛选出 10 项。最明显的趋势是 Agent 安全研究正在从输入文本过滤走向内部表征检测、跨阶段防御、运行时证据与系统级形式化语义；同时，持久化 memory/skill 已成为兼具完整性、隐私和身份冒用风险的独立安全边界。本期均为新论文，其中 3 项同步提供了有实质实现的代码仓库；没有符合标准的论文版本更新、项目重大更新或值得单独收录的新项目，IACR ePrint 也未发现需优先推送的新增工作。\u003c/p\u003e\n\u003ch2 id=\"1-your-agentic-llms-secretly-encode-latent-signals-of-indirect-prompt-injection-exposure\"\u003e1. Your Agentic LLMs Secretly Encode Latent Signals of Indirect Prompt-Injection Exposure\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jianshuo Dong、Yiming Liu、Maosen Zhang、Nan Deng、Xu Peng、Xiaoping Zhang、Tianwei Zhang、Jie Zhang、Han Qiu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-01\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.02657\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/jianshuod/IPI-exposure-signal\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文发现六个模型在生成前的 hidden states 中已经编码 IPI exposure 信号，线性 probe 在未见攻击、Agent 指令和任务套件上取得 90% 以上 AUROC，并在自适应攻击和跨语言设置下保持较强鲁棒性。基于“识别到了风险但未转化为安全行为”的 recognition–action gap，AGRI 只在 probe 触发时加入抗注入推理；在困难 AgentDojo 设置中，Qwen3.5-27B 的 ASR 从 34.6% 降至 0%，同时大体保持干净任务效用。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Prompt Injection 与 Agent Security 的直接核心工作，也为你正在考虑的 CaMeL / program semantics 扩展提供了一个互补层：program-level policy 可以负责执行约束，latent probe 则可提供“当前外部数据已携带指令性风险”的动态标签。仓库包含 trace collection、风险标注、hidden-state featurization、probe 训练评估、AgentDojo 补丁和测试，不是仅有 README 的占位仓库。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。优先核查 probe 标签究竟对应 exposure、可见性还是实际遵从，并思考如何把 AGRI 的软推理触发替换为 CaMeL 式不可绕过的语义权限门。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-formal-verification-of-agentic-systems-over-operational-data\"\u003e2. Formal Verification of Agentic Systems over Operational Data\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Alejandro J. Mercado、Alessio Lomuscio\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-04\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.03609\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文把单个 LLM、tool-orchestration harness 与关系型 operational data 组成的部署形式化为 Stateful Tool-Enabled Agentic Deployments（STEADs），给出系统语义并以 FO-CTL 表达工作流与数据演化要求；一般验证问题不可判定，在有限域限制下则为 PSPACE-complete。作者识别出“重命名不透明标识符时，所选工具调用必须相应重命名”的等变性条件，并构造 canonical deployment wrapper，使任意基础 Agent 满足该条件且保留原本已等变的行为。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这项工作与 program semantics、capability control 和 tool-use security 高度契合：它不只约束 Agent 接口，而是对 LLM、harness、工具调用和持久数据的联合状态转移给出语义。对 CaMeL 扩展尤其有价值，可用于区分“数据值如何变化”与“模型生成的控制决策如何随标识符变化”，并把 policy enforcement 转化为可验证 wrapper。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点看 STEAD 的 transition semantics、FO-CTL 可表达的 security property，以及 canonicalization 是否能扩展到动态工具集、非关系数据和间接提示注入的污点标签。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-s3-improving-agent-safety-through-multi-stage-defense\"\u003e3. $S^3$: Improving Agent Safety through Multi-Stage Defense\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Zibo Xiao、Haoyu Wang、Jun Sun\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-03\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.02683\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/FFchopon/S3-Framework\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e $S^3$ 将输入、记忆、规划、工具选择、执行和工具观察阶段的异构防御统一表示为带显式 stage semantics 的 Stage-Specific Safety Skills，并由独立 guard agent 按阶段编排。作者还构建 Multi-Stage Risk Benchmark，报告完整框架在安全有效性与良性任务保留上优于单技能及代表性多阶段基线；仓库包含 27 次提交、GuardAgent、六类攻击、技能实现、数据与批量评测脚本。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它直接覆盖 Agent Security、memory poisoning、observation prompt injection 与 persistent skill-file security，并把“安全控制放在哪个生命周期阶段”提升为一等接口。对 harness 研究而言，它是把安全模块组合进 controller 的强工程基线，也暴露了 guard LLM 与主 Agent 共享认知弱点时的潜在单点失效。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读并试跑\u003c/strong\u003e。重点比较 stage-local skill 与跨阶段信息流约束，检查 recovery 是否会在后续阶段重新引入已净化风险，以及 SKILL.md 语义是否足够支持静态验证。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-weclawarena-an-auditable-sandbox-and-benchmark-for-cross-user-agents-collaboration-and-security-in-human-centered-agent-networks\"\u003e4. WeClawArena: An Auditable Sandbox and Benchmark for Cross-User Agents Collaboration and Security in Human-Centered Agent Networks\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Prince Zizhuang Wang、Aojie Yuan、Haiyue Zhang、Xiyang Hu、Yue Zhao、Shuli Jiang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-04\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.03499\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e WeClawArena 面向由不同用户拥有、各自维护个人 workspace 与策略的 Agent 网络，提供可审计 runtime sandbox 和跨用户协作 benchmark。它包含六个领域的 124 个基础任务，并为每项扩展一个良性对照与四种攻击变体，共 620 个场景；系统记录 peer message、tool call、资源操作、治理决策和最终 workspace 状态，分别报告 utility 与 ASR。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该基准直接连接 multi-agent security、跨用户权限边界、隐私泄露、poisoned evidence 与 invalid authority path，避免只从最终文本判断攻击是否成功。它适合检验语义 taint、delegation capability 和跨 Agent 信息流控制是否真正限制了对他人资源的影响。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点关注四类攻击的 authority model、运行时证据如何判定成功，以及是否能加入你关心的跨设备或跨账户 capability revocation 实验。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-mutmem-cryptographically-authorized-mutation-in-persistent-agent-memory\"\u003e5. MutMem: Cryptographically Authorized Mutation in Persistent Agent Memory\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Walid Saidi\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-03\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.02843\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/wallidsaydi-creator/HOM-AIMOS\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e MutMem 在 persistent memory engine HOM-AIMOS 中保留原始记忆内容，用签名的正负 outcome evidence 更新可检索权重，并将每次非平凡变化提交为 housekeeper 授权、不可分叉的 transition；数据库 writer 与独立 verifier 都执行 Ed25519 验证。N=100 的 PoisonedRAG 适应实验中，恢复签名标签策略后攻击目标的 top-5 检索中为 0/100 poison，而绕过该策略时为 94/100；作者明确限定该机制证明完整性、授权与历史连续性，而不证明内容真实。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作把 agent memory poisoning 与 cryptographic provenance、授权变更和可撤销信任状态结合起来，适合作为“持久记忆既可学习又可审计”的具体系统。它与 code-as-memory 也有直接类比：若 harness code 会持续自我修改，同样需要不可分叉的变更链、授权主体、旧新状态承诺和独立验证器。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点区分内容真实性与变更授权，并评估单一 housekeeper identity、签名标签误判和长期 key rotation 对安全性的影响。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-when-agents-learn-to-be-you-benchmarking-privacy-leakage-impersonation-risk-and-defenses-in-persona-skills\"\u003e6. When Agents Learn to Be You: Benchmarking Privacy Leakage, Impersonation Risk, and Defenses in Persona Skills\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv / 项目页\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yongli Xiang、Zhifang Zhang、Bojun Yang、Ziming Hong、Lei Feng、Miao Xu、Tongliang Liu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-04\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.03700\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://yonglixiang.github.io/AntiSkillBench/\"\u003e项目页与数据集\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e AntiSkillBench 研究把个人交互历史蒸馏成可移植、可执行 persona skill 后产生的隐私泄露与冒用风险，包含 50 个丰富 persona 的 7,500 条对话轨迹、三种 skill distillation 策略，以及属性披露、沟通风格和行为模仿评测。三种前沿 Agent 上风险均跨 backbone 与蒸馏协议持续存在，四种在线或事后防御的效果依赖具体蒸馏策略且难以泛化；项目页已提供数据集，代码仍标注为 coming soon。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作把 LLM Privacy 从单条记忆泄露推进到“碎片化个人信号被编译进持久技能”的语义隐私问题，也直接对应 persistent instruction / skill-file security。它提示 capability 声明不仅要描述工具权限，还应描述 skill 可推断、模仿和对外披露的 persona 属性范围。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点查看 skill-level 与 agent-level 泄露如何区分，以及 provenance protection 为何不能稳定阻断行为风格与隐式属性的再现。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-sparseety-extracting-tokens-from-sparsity-exploiting-llm-serving-systems-via-deterministic-side-channels\"\u003e7. SparSEEty: Extracting Tokens from Sparsity-Exploiting LLM Serving Systems via Deterministic Side Channels\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yongwan Jo、Jinyoung Park、Euihyun Lee、Dokyung Song\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-04\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.02995\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SparSEEty 利用稀疏推理中由输入决定的 neuron weight access，先从 confidential VM 暴露的侧信道构造 neuron-activation oracle，再把部分二值激活轨迹反演回 token。针对 Intel TDX 内 LLM serving 的实验可同时重建 prompt 与 response，在多模型和数据集上 BLEU 均高于 0.95，监控开销为 3.7%–7.2%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 LLM Security \u0026amp; Privacy 的高强度系统攻击，说明机密虚拟机并不能自动消除由优化策略引入的语义相关访存泄露。对 Agent 部署尤其重要：长期 memory、私有 tool result 与系统 prompt 都可能经过同一 serving path，因而需要把稀疏优化纳入端到端隐私威胁模型。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点核查攻击者的观测权限、不同 sparsity scheme 的可迁移性，以及常数时间访问、噪声注入或固定稀疏模式的性能—隐私权衡。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-ai-security-leaderboard-methodology-results-and-minimal-standard\"\u003e8. AI Security Leaderboard: Methodology, Results and Minimal Standard\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv / FAR.AI\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jasper Timm、Lukas Struppek、Ziwei Xu、Grace Cheong、Oscar Mata、Dan Zhao、Mick Yang、Isadora De Andrade、Xiaojun Jia、Yiming Li、Samuel Bauer、Heather McIntyre、Adam Gleave、Edward Yee、Kellin Pelrine\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-04\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.03070\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://leaderboard.far.ai/\"\u003e在线榜单\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文提出 Minimal Standard for Safeguards v1.0，整理 67 种公开静态 jailbreak 技术并通过组合搜索，在 360 个 CBRNE 与 offensive cyber 目标上寻找能对同一领域超过 75% 目标产生合规回答的 universal jailbreak。四个前沿模型的 cost-to-jailbreak 相差超过百倍：随机搜索在 Grok 4.5 与 Gemini 3.1 Pro 上分别找到 63 和 18 个 universal jailbreak，而 Claude Fable 5 与 GPT-5.6 Sol 在两种搜索策略下均未出现此类结果。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作为 jailbreak defense 提供了比单一 ASR 更接近真实攻击预算的成本指标，并强调组合技术的大搜索空间。它可用于校准 Agent guardrail 的最低安全线，但其模型级结果不能替代对 tool use、memory 与 indirect injection 的系统级评测。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。重点参考 technique taxonomy、right-censored cost 指标与搜索协议，不要把榜单排序直接外推为 Agent runtime 的整体安全性。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-toollift-lifting-tool-specific-trajectories-into-function-level-graphs-for-generalizable-tool-planning\"\u003e9. ToolLIFT: Lifting Tool-Specific Trajectories into Function-Level Graphs for Generalizable Tool Planning\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Xiuhui You、Jiayi Luo、Zichao Shen、Qingyun Sun、Ziwei Zhang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-04\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.03468\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e ToolLIFT 不直接把历史轨迹固化为特定工具图，而是提升为 function-level workflow graph，把跨工具共享的功能结构与具体 tool selection 解耦。它进一步使用 source-gated 与 skill-specific RL rewards 保持跨调用信息流可追溯；在两个 ID 与三个 OOD benchmark 上均优于论文所比较的现有基线，并展示对未见工具集的泛化。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直接关联 Harness Optimization、function-level controller abstraction、trajectory reuse 与 executable workflow learning。对 Natural Growth 的启发是：函数级结构可成为跨工具迁移的中间表示，但预先定义的功能聚类与图结构也可能重新引入你试图避免的 controller bias。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较 FWG 的节点/边如何归纳、source gate 的安全语义，以及开放式代码增长与固定 function-level graph 在表达能力和审计性上的差异。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"10-bap-sql-budget-aware-observation-planning-for-agentic-text-to-sql\"\u003e10. BAP-SQL: Budget-Aware Observation Planning for Agentic Text-to-SQL\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Chong Peng、Pin Qian、Su Wang、Yihang Chen、Varun Sah\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-03\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.02876\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e BAP-SQL 把 observation formation 视为独立的预算控制阶段：策略估计查询风险、必要时改写 SQL，而硬限制交给独立 runtime shield，避免宽查询先耗尽 context 与数据库工作后再做无效压缩。主 BIRD 衍生设置中，它相对 matched SFT 提升 3.4/3.6 个百分点并减少 4.5/5.0% token；收益随模型能力和预算增加而减弱，在最宽松预算下反转，且没有减少数据库工作。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 cost-aware harness optimization 的干净实例，把“模型可见的规划策略”与“不可绕过的运行时预算门”分离，适合作为成功优先、成本次级的 controller 对照。它也提醒只优化 token 并不等价于降低外部工具成本，应分别核算 context、API、数据库与延迟预算。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。重点看 runtime shield 与 learned planner 的责任边界，以及宽松预算下负收益是否说明优化器需要按任务与预算动态停用策略。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 \u003cstrong\u003eYour Agentic LLMs Secretly Encode Latent Signals of Indirect Prompt-Injection Exposure\u003c/strong\u003e、\u003cstrong\u003eFormal Verification of Agentic Systems over Operational Data\u003c/strong\u003e 和 \u003cstrong\u003eToolLIFT\u003c/strong\u003e。前两篇能直接影响你从 program semantics 扩展 CaMeL 的研究设计：一篇提供动态 IPI 风险信号，另一篇提供系统级语义与可验证 wrapper；ToolLIFT 则会影响 Natural Growth 在 function-level abstraction 与开放代码搜索之间的 novelty positioning。\u003c/p\u003e","title":"2026-08-06 热点论文推送"},{"content":" 本期检索范围： 2026-08-04—2026-08-05\n本期共筛选出 9 项。最明显的趋势是：Harness Optimization 正从人工规则与离散配置搜索转向“从失败轨迹学习可执行补丁”，而 Agent Security 的风险边界正沿持久化记忆、MCP 工具和跨 Agent 委派链路扩张。本期均为新论文，没有达到收录标准的论文版本更新或项目重大更新，也未发现值得单独收录的新代码项目。\n1. Harness-R1: Learning to Edit Executable Runtime Harnesses from Agent Failure Trajectories 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Shuai Shao、Kangning Zhang、Qingyao Li、Shijian Wang、Hao Wang、Wenxiang Jiao、Yuan Lu、Yi Guo、Weiwen Liu、Weinan Zhang 日期： 2026-08-03 链接： 论文 核心内容： Harness-R1 将“根据失败轨迹编辑现有可执行 runtime”训练成独立能力：一个 9B harness engineer 把成批失败转化为经验证的代码补丁，并用冻结目标 Agent 的新鲜重跑结果作为在线 GRPO 奖励。作者报告在 WebShop、ALFWorld 和 DBBench 上把 vanilla Qwen3.5-9B 的平均成功率从 44.3% 提升至 53.6%，目标模型微调后再由专用 engineer 从 59.2% 提升至 64.2%。 与你的方向关系： 这是 Harness Optimization 与 executable harness learning 的直接核心工作，也把优化对象从 prompt、memory 或固定 controller 参数扩展到生命周期级运行时代码。它尤其适合作为 code-as-memory、failure-conditioned edit 和 harness/agent co-evolution 的强基线。 建议： 精读。优先核查补丁验证门、同批次重跑是否造成过拟合，以及 engineer 对未见任务和不同 harness 结构的迁移能力。 2. Salami Attack: Stealthy Collusive Memory Poisoning against OpenClaw 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zheng Lin、Yuzhe Huang、Zhenxing Niu、Xianmin Ye、Haichang Gao 日期： 2026-08-03 链接： 论文 核心内容： MemCollusion 把一个恶意目标切分成多条单独看似无害、组合后才触发危险行为的持久化记忆，并以四项约束、五类策略和微调生成器自动构造“记忆联盟”。在 MoltLab 的跨会话 OpenClaw 场景中，两种 backbone、48 个场景下，最强记忆保存设置的平均 Memory Save Rate 为 81.3%，Attack Success Rate 为 75.0%，且对良性记忆稀释和 memory-level defense 仍有效。 与你的方向关系： 该工作直接覆盖 agent memory poisoning、persistent prompt injection 与组合式间接注入，说明逐条审核“无害”并不能保证聚合后的记忆安全。它也对语义信息流控制提出更强要求：防御必须追踪跨记录、跨会话的联合意图。 建议： 精读。重点比较 coalition 构造约束、保存阶段与执行阶段的攻击成功拆分，以及现有 memory sanitizer 为什么无法识别组合语义。 3. Exposed by Design: A Dynamic Security Assessment of Internet-Facing MCP Servers at Scale 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Nicolás Padilla 日期： 2026-07-31 链接： 论文 核心内容： 论文结合 11 个被动发现来源与含 34 个测试模块、覆盖 10 类 MCP 漏洞的 Corvus，对互联网暴露的 MCP 服务进行动态测量；四轮测量确认 640 个生产服务并审计其中 414 个，发现 68 个可报告漏洞。样本中 91.8% 缺少 OAuth，确认服务上有 687 个工具实例暴露无访问控制的 shell 执行能力，且相邻三天内 41.6% 的确认服务消失。 与你的方向关系： 这是 tool-use security、capability control 与 MCP 部署风险的高价值实证研究，把抽象的工具投毒与权限问题落实到真实互联网服务、认证缺失和高危执行能力暴露。结果支持在 harness 层实施最小权限、服务身份验证、工具能力清单和调用前动态审计。 建议： 精读。优先看动态测试的安全边界、漏洞确认与负责任披露流程，以及样本发现偏差是否会放大未认证服务比例。 4. A False Average: Chain-of-Thought Monitors Collapse Where They Are the Only Defense 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Shikhar Shiromani、Leo Richter 日期： 2026-08-01 链接： 论文 核心内容： 攻击只把 Agent 的 reasoning 改写成看似善意的工程叙述，同时原样复制命令和输出、保持 exploit 不变；在“只有 CoT 暴露恶意意图”的子集上，held-out monitor 的捕获率一次无梯度改写后从约 95% 降至不足 11%。攻击可跨 monitor family 与 Agent 模型迁移，纯 trace 防御只能部分恢复，而引入 trace 外信息才有明显改善。 与你的方向关系： 这项工作直接挑战把 CoT monitor 当作 Agent Security 最后一道防线的设计，也说明汇总准确率会掩盖关键条件子集上的系统性失效。对 harness 设计而言，安全判定必须结合权限、环境状态、实际 action effect 与独立 provenance，而不能只审查模型自述。 建议： 精读。重点审查条件子集的构造、calibrated monitor 下的结果，以及哪些外部信号真正提升了因果可控性而不只是检测率。 5. Learning What to Remember and What to Internalize in LLM Self-Evolution via Adaptive Memory-Parameter Coordination 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Tianyun Ji、Zhenya Huang、Jiayu Liu、Zirui Liu、Yu Su、Hongbin Pei 日期： 2026-08-02 链接： 论文 核心内容： COVE 联合 harness-based 与 parameter-based learning，用 task-aware routing、stage-aware scheduling 和 knowledge optimization 决定哪些经验写入可编辑 memory/skill，哪些内化到模型参数。论文报告在多类任务与变化环境中优于单通道演化策略，目标是在快速适应性与更深层能力提升之间动态分工。 与你的方向关系： 它为 self-evolving agents 提供“外部可执行知识与内部参数更新协同”的系统框架，直接关联 Harness Optimization、skill/memory growth 与持续学习。其路由准则也可作为研究 code-as-memory 何时应固化、何时应继续外置的比较对象。 建议： 精读。重点核查路由监督信号、阶段调度的消融，以及外部知识被内化后是否仍具备可审计、可撤销和回归测试能力。 6. From Monoliths to Swarms: A Study of Attack Surface Evolution in the Transition to Multi-Agent Web Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yashaswi Malla、Sandra Siby 日期： 2026-07-31 链接： 论文 核心内容： WebMASLab 固定用户任务、工具面和浏览器底座，对单 Agent 与多 Agent Web 系统进行架构对照，并提出利用跨 Agent 委派形成循环的 Telephone Loop 攻击。该攻击对单 Agent 无效，却在四个前沿模型中的三个多 Agent 配置上生效，基线平均攻击成功率为 80%；prompt hardening 的收益随模型大幅波动，未形成通用防御。 与你的方向关系： 工作直接刻画 multi-agent security 与 delegation boundary：能力分解不仅改变性能，也创建单体系统不存在的控制流攻击面。它提示 harness 需要为委派图设置身份、深度、环路、预算与终止条件，而不是只加固每个子 Agent 的 prompt。 建议： 精读。建议重点复核 SAS/MAS 控制变量、循环检测规则与不同模型的差异，以判断风险究竟来自角色语义、消息协议还是调度器。 7. Safety Invariants for Agents Orchestrating Irreversible State Transitions: A Four-Dimensional Formalism Evaluated on Public Ledgers 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zhaoming Yin 日期： 2026-08-01 链接： 论文 核心内容： 论文将不可逆外部操作形式化为状态转移，并用七项 safety invariant 保证 execution fidelity：实际结果要么为空，要么与向用户预览的有限状态转移完全一致且只执行一次。N=60 的对抗测试中，该栈对两种倾向写操作的模型相对 naive ReAct 提升约 74 个百分点，但对谨慎模型仅提升约 3 个百分点；失效分类还由 8 条链上的 108 次生产写操作支撑。 与你的方向关系： 这是 capability/permission control 与 action gating 的形式化相邻工作，把预览、幂等、重试和委派调用整合为可验证的 harness invariant。它尤其适合用于不可逆 tool use 的 commit protocol、human confirmation 与 exactly-once semantics 设计。 建议： 精读。重点区分“执行与预览一致”与“预览符合用户意图”，并检查故障模型是否覆盖恶意工具、提示注入和跨会话权限陈旧问题。 8. Shared Prefixes, Better Credit: Adaptive Routing for Multi-Agent Reasoning 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yiqing Liu、Zihao Wang、Hantao Yao、Wu Liu、Yongdong Zhang 日期： 2026-08-03 链接： 论文 核心内容： TreeCredit 从相同中间状态扩展不同协作算子，构建 shared-prefix tree，再按终局正确性与后续累计成本为每个 state–operator pair 分配 suffix credit。结构化 credit 被转为局部偏好以训练轻量 pairwise router；六个推理 benchmark 上，论文报告在小幅提升准确率的同时显著降低推理成本。 与你的方向关系： 该方法与 cost-aware agent optimization、multi-agent controller learning 和可执行调度策略直接相关，核心价值是把粗粒度 trajectory return 改造成状态匹配的局部 credit。它可作为 harness 搜索中“哪个编辑或算子在当前状态真正有用”的对照机制。 建议： 浏览。重点查看成本定义、共享前缀带来的采样节省，以及 router 是否会在分布外状态上错误固化局部偏好。 9. Skillsets on the Chain: A Blockchain-based Zero-Trust Framework for Agentic AI Networking 类型 / 来源： 新论文｜arXiv / IEEE TCCN 接收 作者 / 维护者： Yayu Gao、Yong Xiao、Hao Hu、Xubo Li、Zhiwei Liu、Yingyu Li、Guangming Shi、Ping Zhang 日期： 2026-07-31 链接： 论文 核心内容： TrustAgentNet 用全局 Chain of Skillsets 管理第三方 skill 元数据生命周期，并以链下 Agent 审计配合轻量链上共识；任务执行时再建立临时 Chain of Collaboration。原型在 40 个诚实与 10 个对抗 skillset 上实现 100% 验证准确率，并在来自 171 个 ClawHub skills 的 1,478 个特征上取得 83.91% 准确率和 0.85 F1。 与你的方向关系： 该工作直接触及 persistent skill-file security、capability attestation 与 multi-agent zero trust，尤其关注“声明的能力”和“实际行为”不一致。即使不采用区块链，其 skill 生命周期、可验证元数据和协作链身份边界仍可迁移到 Agent harness 的安装、授权与撤销机制。 建议： 浏览。重点评估链上机制是否真正必要，并核查对语义隐蔽、跨 skill 组合攻击和运行时行为漂移的覆盖范围。 今日优先阅读 优先阅读 Harness-R1、Salami Attack 和 Exposed by Design。前者直接改变可执行 harness 自演化工作的 novelty positioning 与基线选择；后两者分别揭示跨记录组合记忆攻击和真实 MCP 部署中的能力暴露，会影响持久化信息流、防护粒度与工具权限边界的系统设计。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-05-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-04—2026-08-05\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期共筛选出 9 项。最明显的趋势是：Harness Optimization 正从人工规则与离散配置搜索转向“从失败轨迹学习可执行补丁”，而 Agent Security 的风险边界正沿持久化记忆、MCP 工具和跨 Agent 委派链路扩张。本期均为新论文，没有达到收录标准的论文版本更新或项目重大更新，也未发现值得单独收录的新代码项目。\u003c/p\u003e\n\u003ch2 id=\"1-harness-r1-learning-to-edit-executable-runtime-harnesses-from-agent-failure-trajectories\"\u003e1. Harness-R1: Learning to Edit Executable Runtime Harnesses from Agent Failure Trajectories\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Shuai Shao、Kangning Zhang、Qingyao Li、Shijian Wang、Hao Wang、Wenxiang Jiao、Yuan Lu、Yi Guo、Weiwen Liu、Weinan Zhang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-03\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.02276\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e Harness-R1 将“根据失败轨迹编辑现有可执行 runtime”训练成独立能力：一个 9B harness engineer 把成批失败转化为经验证的代码补丁，并用冻结目标 Agent 的新鲜重跑结果作为在线 GRPO 奖励。作者报告在 WebShop、ALFWorld 和 DBBench 上把 vanilla Qwen3.5-9B 的平均成功率从 44.3% 提升至 53.6%，目标模型微调后再由专用 engineer 从 59.2% 提升至 64.2%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Harness Optimization 与 executable harness learning 的直接核心工作，也把优化对象从 prompt、memory 或固定 controller 参数扩展到生命周期级运行时代码。它尤其适合作为 code-as-memory、failure-conditioned edit 和 harness/agent co-evolution 的强基线。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。优先核查补丁验证门、同批次重跑是否造成过拟合，以及 engineer 对未见任务和不同 harness 结构的迁移能力。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-salami-attack-stealthy-collusive-memory-poisoning-against-openclaw\"\u003e2. Salami Attack: Stealthy Collusive Memory Poisoning against OpenClaw\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Zheng Lin、Yuzhe Huang、Zhenxing Niu、Xianmin Ye、Haichang Gao\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-03\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.01637\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e MemCollusion 把一个恶意目标切分成多条单独看似无害、组合后才触发危险行为的持久化记忆，并以四项约束、五类策略和微调生成器自动构造“记忆联盟”。在 MoltLab 的跨会话 OpenClaw 场景中，两种 backbone、48 个场景下，最强记忆保存设置的平均 Memory Save Rate 为 81.3%，Attack Success Rate 为 75.0%，且对良性记忆稀释和 memory-level defense 仍有效。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直接覆盖 agent memory poisoning、persistent prompt injection 与组合式间接注入，说明逐条审核“无害”并不能保证聚合后的记忆安全。它也对语义信息流控制提出更强要求：防御必须追踪跨记录、跨会话的联合意图。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较 coalition 构造约束、保存阶段与执行阶段的攻击成功拆分，以及现有 memory sanitizer 为什么无法识别组合语义。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-exposed-by-design-a-dynamic-security-assessment-of-internet-facing-mcp-servers-at-scale\"\u003e3. Exposed by Design: A Dynamic Security Assessment of Internet-Facing MCP Servers at Scale\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Nicolás Padilla\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-31\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.00150\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文结合 11 个被动发现来源与含 34 个测试模块、覆盖 10 类 MCP 漏洞的 Corvus，对互联网暴露的 MCP 服务进行动态测量；四轮测量确认 640 个生产服务并审计其中 414 个，发现 68 个可报告漏洞。样本中 91.8% 缺少 OAuth，确认服务上有 687 个工具实例暴露无访问控制的 shell 执行能力，且相邻三天内 41.6% 的确认服务消失。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 tool-use security、capability control 与 MCP 部署风险的高价值实证研究，把抽象的工具投毒与权限问题落实到真实互联网服务、认证缺失和高危执行能力暴露。结果支持在 harness 层实施最小权限、服务身份验证、工具能力清单和调用前动态审计。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。优先看动态测试的安全边界、漏洞确认与负责任披露流程，以及样本发现偏差是否会放大未认证服务比例。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-a-false-average-chain-of-thought-monitors-collapse-where-they-are-the-only-defense\"\u003e4. A False Average: Chain-of-Thought Monitors Collapse Where They Are the Only Defense\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Shikhar Shiromani、Leo Richter\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-01\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.00583\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 攻击只把 Agent 的 reasoning 改写成看似善意的工程叙述，同时原样复制命令和输出、保持 exploit 不变；在“只有 CoT 暴露恶意意图”的子集上，held-out monitor 的捕获率一次无梯度改写后从约 95% 降至不足 11%。攻击可跨 monitor family 与 Agent 模型迁移，纯 trace 防御只能部分恢复，而引入 trace 外信息才有明显改善。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这项工作直接挑战把 CoT monitor 当作 Agent Security 最后一道防线的设计，也说明汇总准确率会掩盖关键条件子集上的系统性失效。对 harness 设计而言，安全判定必须结合权限、环境状态、实际 action effect 与独立 provenance，而不能只审查模型自述。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点审查条件子集的构造、calibrated monitor 下的结果，以及哪些外部信号真正提升了因果可控性而不只是检测率。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-learning-what-to-remember-and-what-to-internalize-in-llm-self-evolution-via-adaptive-memory-parameter-coordination\"\u003e5. Learning What to Remember and What to Internalize in LLM Self-Evolution via Adaptive Memory-Parameter Coordination\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Tianyun Ji、Zhenya Huang、Jiayu Liu、Zirui Liu、Yu Su、Hongbin Pei\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-02\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.01234\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e COVE 联合 harness-based 与 parameter-based learning，用 task-aware routing、stage-aware scheduling 和 knowledge optimization 决定哪些经验写入可编辑 memory/skill，哪些内化到模型参数。论文报告在多类任务与变化环境中优于单通道演化策略，目标是在快速适应性与更深层能力提升之间动态分工。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它为 self-evolving agents 提供“外部可执行知识与内部参数更新协同”的系统框架，直接关联 Harness Optimization、skill/memory growth 与持续学习。其路由准则也可作为研究 code-as-memory 何时应固化、何时应继续外置的比较对象。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点核查路由监督信号、阶段调度的消融，以及外部知识被内化后是否仍具备可审计、可撤销和回归测试能力。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-from-monoliths-to-swarms-a-study-of-attack-surface-evolution-in-the-transition-to-multi-agent-web-systems\"\u003e6. From Monoliths to Swarms: A Study of Attack Surface Evolution in the Transition to Multi-Agent Web Systems\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yashaswi Malla、Sandra Siby\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-31\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.00202\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e WebMASLab 固定用户任务、工具面和浏览器底座，对单 Agent 与多 Agent Web 系统进行架构对照，并提出利用跨 Agent 委派形成循环的 Telephone Loop 攻击。该攻击对单 Agent 无效，却在四个前沿模型中的三个多 Agent 配置上生效，基线平均攻击成功率为 80%；prompt hardening 的收益随模型大幅波动，未形成通用防御。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 工作直接刻画 multi-agent security 与 delegation boundary：能力分解不仅改变性能，也创建单体系统不存在的控制流攻击面。它提示 harness 需要为委派图设置身份、深度、环路、预算与终止条件，而不是只加固每个子 Agent 的 prompt。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。建议重点复核 SAS/MAS 控制变量、循环检测规则与不同模型的差异，以判断风险究竟来自角色语义、消息协议还是调度器。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-safety-invariants-for-agents-orchestrating-irreversible-state-transitions-a-four-dimensional-formalism-evaluated-on-public-ledgers\"\u003e7. Safety Invariants for Agents Orchestrating Irreversible State Transitions: A Four-Dimensional Formalism Evaluated on Public Ledgers\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Zhaoming Yin\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-01\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.00783\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文将不可逆外部操作形式化为状态转移，并用七项 safety invariant 保证 execution fidelity：实际结果要么为空，要么与向用户预览的有限状态转移完全一致且只执行一次。N=60 的对抗测试中，该栈对两种倾向写操作的模型相对 naive ReAct 提升约 74 个百分点，但对谨慎模型仅提升约 3 个百分点；失效分类还由 8 条链上的 108 次生产写操作支撑。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 capability/permission control 与 action gating 的形式化相邻工作，把预览、幂等、重试和委派调用整合为可验证的 harness invariant。它尤其适合用于不可逆 tool use 的 commit protocol、human confirmation 与 exactly-once semantics 设计。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点区分“执行与预览一致”与“预览符合用户意图”，并检查故障模型是否覆盖恶意工具、提示注入和跨会话权限陈旧问题。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-shared-prefixes-better-credit-adaptive-routing-for-multi-agent-reasoning\"\u003e8. Shared Prefixes, Better Credit: Adaptive Routing for Multi-Agent Reasoning\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yiqing Liu、Zihao Wang、Hantao Yao、Wu Liu、Yongdong Zhang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-03\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.02291\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e TreeCredit 从相同中间状态扩展不同协作算子，构建 shared-prefix tree，再按终局正确性与后续累计成本为每个 state–operator pair 分配 suffix credit。结构化 credit 被转为局部偏好以训练轻量 pairwise router；六个推理 benchmark 上，论文报告在小幅提升准确率的同时显著降低推理成本。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该方法与 cost-aware agent optimization、multi-agent controller learning 和可执行调度策略直接相关，核心价值是把粗粒度 trajectory return 改造成状态匹配的局部 credit。它可作为 harness 搜索中“哪个编辑或算子在当前状态真正有用”的对照机制。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。重点查看成本定义、共享前缀带来的采样节省，以及 router 是否会在分布外状态上错误固化局部偏好。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-skillsets-on-the-chain-a-blockchain-based-zero-trust-framework-for-agentic-ai-networking\"\u003e9. Skillsets on the Chain: A Blockchain-based Zero-Trust Framework for Agentic AI Networking\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv / IEEE TCCN 接收\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yayu Gao、Yong Xiao、Hao Hu、Xubo Li、Zhiwei Liu、Yingyu Li、Guangming Shi、Ping Zhang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-31\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2608.00104\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e TrustAgentNet 用全局 Chain of Skillsets 管理第三方 skill 元数据生命周期，并以链下 Agent 审计配合轻量链上共识；任务执行时再建立临时 Chain of Collaboration。原型在 40 个诚实与 10 个对抗 skillset 上实现 100% 验证准确率，并在来自 171 个 ClawHub skills 的 1,478 个特征上取得 83.91% 准确率和 0.85 F1。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直接触及 persistent skill-file security、capability attestation 与 multi-agent zero trust，尤其关注“声明的能力”和“实际行为”不一致。即使不采用区块链，其 skill 生命周期、可验证元数据和协作链身份边界仍可迁移到 Agent harness 的安装、授权与撤销机制。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。重点评估链上机制是否真正必要，并核查对语义隐蔽、跨 skill 组合攻击和运行时行为漂移的覆盖范围。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 \u003cstrong\u003eHarness-R1\u003c/strong\u003e、\u003cstrong\u003eSalami Attack\u003c/strong\u003e 和 \u003cstrong\u003eExposed by Design\u003c/strong\u003e。前者直接改变可执行 harness 自演化工作的 novelty positioning 与基线选择；后两者分别揭示跨记录组合记忆攻击和真实 MCP 部署中的能力暴露，会影响持久化信息流、防护粒度与工具权限边界的系统设计。\u003c/p\u003e","title":"2026-08-05 热点论文推送"},{"content":" 本期检索范围： 2026-08-03—2026-08-04\n本期共筛选出 10 项。最明显的趋势是安全边界开始从“模型是否拒绝”转向 harness 对 typed tool return、来源权限和持久化记忆的系统级约束；另一条主线是用非生成式记忆、轨迹复用和有状态 tokenization 降低 Agent 的持续运行成本。本期包含 9 项新论文（其中 2 项同步提供实质代码）和 1 项项目重大更新；没有论文版本更新，也未发现值得单独收录的新代码项目。\n1. CAGE: Certified Authorization under Typed-Return Uncertainty for Tool-Using Agents 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Blaise Delattre、Cong Wang、Yang Cao；tdsai-lab 日期： 2026-07-31 链接： 论文 · 代码 核心内容： CAGE 研究 typed tool return 的来源绑定或数值出现小幅误差时，候选动作是否仍在整个联合扰动邻域内获得授权。论文证明分别认证类别字段和数值字段并不能组合成安全保证，并通过离散分支精确枚举加连续扰动认证，消除 pointwise gate 在预算内出现的 false allow。 与你的方向关系： 这是 capability / permission control 的直接进展：它把权限检查放在 tool return 之后、action 执行之前，并明确将不可信文本排除在授权输入之外。对 Agent Security 和 executable harness 而言，它提供了比 LLM judge 更可审计的 typed action gate，以及对来源错绑、缓存陈旧和 read-then-act race 的统一建模。 建议： 精读并试跑。仓库包含策略 oracle、混合攻击、认证后端、真实 harness 集成、测试和逐表复现映射；重点验证其扰动预算如何从实际 adapter fault 校准，以及 learned gate 的 policy-fidelity 假设。 2. Memory Provenance Laundering in LLM Agents: A Non-Amplification Firewall for Persistent Memory 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jinghan Xu、Yiyong Xiao、Wanru Shao、Hankai Liu、Xinjin Li 日期： 2026-07-31 链接： 论文 核心内容： 论文识别出 memory provenance laundering：外部低信任观察在 LLM consolidation 后被改写成类似用户历史或工作流依据的记忆，攻击触发仍保留，但来源权限已被抹去。PPMF 由平台维护不可由模型重写的 provenance、confirmation 与 risk label，并按 action risk 与相关记忆的 authority 匹配工具调用权限。 与你的方向关系： 它把 memory poisoning 从内容检测推进到信息来源与权限的 non-amplification 约束，直接连接持久化 Prompt Injection、Agent memory security 和 capability control。对 self-evolving harness 来说，经验压缩或 code-as-memory 的重写过程同样不能提升原始证据的授权等级。 建议： 精读。重点比较 PPMF 与 semantic taint / IFC 的差异，并检查平台 provenance 在跨会话合并、摘要和多 Agent 转发后是否仍可完整传播。 3. Zero-Mem: Zero-Token Memory Operations for LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yilin Xiao、Zhehan Zhu、Yujing Zhang、Jin Chen、Zijin Hong、Luyao Zhuang、Qinggang Zhang 等 日期： 2026-07-31 链接： 论文 核心内容： Zero-Mem 在最终问答之外不调用 LLM，也不为记忆操作消耗 LLM token，而是保留原始交互轨迹，并用 entity–context graph 与 temporal hierarchy 两种视图完成检索和关系扩展。论文报告在相同 reader 与上下文预算下保持竞争性表现，并相对最快对比基线降低 57.6% 的记忆操作时间成本。 与你的方向关系： 该工作直接对应 cost-aware Harness Optimization：把反复发生的 memory write、summarization 和 retrieval mediation 从生成式调用迁移为确定性结构操作。它也保留原始证据，减少摘要导致的 provenance 丢失，因而与记忆安全存在重要交叉。 建议： 精读。重点比较双视图 memory 与可执行 controller code 的表达能力、encoder 成本的核算方式，以及 conflicting-evidence calibration 是否会引入不可见的安全偏差；官方仓库目前仅为代码预告，未作为代码条目收录。 4. Reusing Past Repairs Through Hierarchical Trajectory Abstraction for Coding Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yisen Xu、Jiayuan Zhou、Ruiqi Pan、Tse-Hsun Chen 日期： 2026-07-31 链接： 论文 核心内容： STAIR 将历史修复轨迹抽象成从细粒度诊断动作到高层策略的多级树，并为新 issue 检索、适配为可执行计划。论文报告在 SWE-bench Verified 上与 Lingxi 组合达到 81.2% Pass@1；同一计划无需修改代码即可把 mini-SWE-agent v2 从 75.8% 提升到 81.0%，且多粒度组合优于单层或原始轨迹。 与你的方向关系： 这是 harness experience reuse 与 code-as-memory 的高相关相邻工作：它不直接重写 controller，而是把过去的执行轨迹蒸馏成可迁移计划注入后续运行。它可作为 Natural Growth 中“可执行函数增长”与“层级计划记忆”两种长期经验表示的强对照。 建议： 精读。重点核查 trajectory abstraction 的生成成本、跨任务检索是否使用测试信息，以及计划增益在 held-out repository 和不同 Agent 上的稳定性。 5. GitHub Agentic Workflows v0.84.3 类型 / 来源： 项目重大更新｜GitHub 作者 / 维护者： GitHub、pelikhan、lpcox 等维护者 日期： 2026-08-03 链接： 项目 · v0.84.3 发布说明 核心内容： v0.84.3 默认引入对 workflow run steps 的 ShellCheck linting，新增 jobs.agent.needs / jobs.agent.if gating，并仅在配置 allowed-refs 时把 dispatch_workflow.ref 暴露到工具 schema。安全更新还移除或禁用多个带未修复高危 CVE 的容器镜像、修补 brace-expansion 漏洞，并把基础镜像固定到已修复 digest。 与你的方向关系： 这是 Agent harness 如何同时约束命令执行、工作流触发和供应链依赖的真实工程案例。相较上一版本的参数注入修复，本次进一步把权限边界前移到编译期 lint、agent-job gate 和 schema-level ref allowlist，适合作为 capability control 的实现参考。 建议： 精读。重点比较 allowed-refs 与上一版本 per-call ref 的组合语义、ShellCheck Docker fallback 的可信边界，以及被移除 MCP 镜像对工作流可用性的回归测试。 6. Alignment Is Local: A Paired Diagnostic for GUI Agents under User-Side Persuasion 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Haoxin An、Yunpeng Song、Zihao Bai、Zhongmin Cai、Guojun Xiong、Chenhao Lin、Wentao Chen、Feng Wei、Chao Shen 日期： 2026-07-31 链接： 论文 核心内容： 该工作用 paired diagnostic 测试三个前沿 GUI Agent 在 screen-grounded、用户侧说服情境下的动态安全性。单行 guardrail 在单轮显式请求中最多降低约 40 个 ASR 点，但四轮 escalation 在所有模型上又将 guarded ASR 提高约 20 点，且隐藏意图在加 guardrail 后反而更具优势。 与你的方向关系： 它说明 jailbreak / harmful-action defense 不能只用单轮 refusal 评价，harness 必须在长交互中累积 intent evidence，并在高风险 GUI action 前重新授权。虽然没有环境侧 IPI，该结果对多轮权限漂移和 action-time confirmation 具有直接启发。 建议： 精读。重点看 paired design 是否控制任务难度和模型状态，并将 multi-turn escalation 指标与 prompt injection benchmark 的可执行伤害终点对齐。 7. Reproducing LightMem: Naive RAG Is Just as Good for Memory Management 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Yongjie Zhou、Shuai Wang、Bevan Koopman、Guido Zuccon；ielab 日期： 2026-07-31 链接： 论文 · 代码 核心内容： 复现实验发现，固定 LightMem store 仅更换 retriever 就会使回答准确率从 58.1% 变化到 75.5%，而直接从原始用户轮次检索的 Naive RAG 在匹配 retrieval depth 时通常更好。LightMem 的优势主要出现在回答 token 预算紧张时，且 memory construction 会删除部分与答案有关的信息。 与你的方向关系： 这是对 Agent memory 与 context optimization 的重要负结果：复杂记忆构建并不天然优于原始轨迹检索，检索器和 token budget 可能才是主导变量。它也支持在 harness 优化中分别消融 representation、retriever、reranker 与 reader，而不是把增益归因于整体 memory 模块。 建议： 精读并复现。仓库包含 LightMem、Naive RAG、full-context 和 oracle 流水线，以及多 retriever / budget 配置；重点复核 judge 依赖、H100 资源假设和构建成本是否公平计入。 8. TokTier: Exact Stateful Tokenization for Agentic LLM Serving 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zhenyu Zhang、Zhichao Cao 日期： 2026-07-31 链接： 论文 核心内容： TokTier 针对 coding agent 每轮只追加少量 tool result、却反复重分词完整长上下文的问题，通过稳定边界检查做增量修复，失败时扩大窗口或回退到完整 tokenization。作者在 17 个 tokenizer family、超过 93,000 个 Agent step 的回放中报告零 token divergence，并使 vLLM median time-to-first-token 降低 16–34%。 与你的方向关系： 它属于 Agent scaffold / serving harness 的系统级优化，不改变模型或任务策略，却显著降低长轨迹反复提交的固定成本。对 cost-aware harness 研究，它提醒应把 tokenization、prefix-cache 命中与模型 token 费用分开计量。 建议： 浏览并收藏。重点关注 exactness fallback 的最坏情况、session identity 与隔离边界，以及性能收益在不同 compaction 策略下是否仍成立。 9. OpenLLM: Modular and Scalable zkSNARKs for Verifiable LLM Inference 类型 / 来源： 新论文｜IACR Cryptology ePrint 2026/1578 作者 / 维护者： Yunbo Yang、Yupeng Ren、Changtong Xu、Rui Zhang、Xuanming Liu、Jin Tan、Tao Wei、Bingsheng Zhang、Kui Ren 日期： 2026-08-03 链接： 论文 核心内容： OpenLLM 将大模型推理拆成可复用原子算子，为非线性函数设计可组合的非交互零知识证明，从而构建与具体模型架构解耦的端到端验证流程。作者报告其在证明大小、验证成本、数值精度和模型扩展性上优于既有端到端方案，并消除交互式协议的通信轮次。 与你的方向关系： 该工作覆盖 LLM Security 中的远程推理完整性：它验证服务端确实按承诺模型执行，而不是只依赖 API 声明。对 Agent harness，这可作为高价值模型调用的可验证后端，但不直接解决 Prompt Injection、工具权限或输出语义正确性。 建议： 收藏 / 定向精读。重点检查被证明的算子集合、近似非线性导致的精度—证明成本权衡，以及对真实大模型自回归解码的端到端开销。 10. GoldenRetriever: Non-Interactive Homomorphic Encrypted Retrieval for Privacy-Preserving RAG 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yang Gao、Gang Quan、Scott Piersall、Qian Lou、Dongdong Wang、Liqiang Wang 日期： 2026-07-31 链接： 论文 核心内容： GoldenRetriever 用 CKKS 在密文上完成相似度评估，并以 threshold selection 代替昂贵的加密 top-k ranking，将相对语料规模的计算复杂度从二次降为线性。precision-stable mask polarization 用于把近似密文计算稳定映射回文档选择，且不泄露查询、分数或选中文档索引。 与你的方向关系： 它属于 LLM Privacy 与 RAG / Agent memory retrieval 的密码学相邻方向，可保护用户查询和私有知识库的访问模式。与语义隐私或权限控制不同，它提供内容层强机密性，但需要权衡阈值选择、召回率和密文计算成本。 建议： 浏览 / 收藏。优先看 threshold 对结果数量与信息泄露的影响，以及方法能否扩展到动态 Agent memory、频繁增量写入和多租户检索。 今日优先阅读 优先阅读 CAGE、Memory Provenance Laundering 和 Zero-Mem。CAGE 直接给出 tool-use authorization 的可认证 harness 边界；后两篇分别从“权限不能在记忆重写中被放大”和“记忆操作不必持续调用 LLM”出发，可能同时影响 Agent memory security 与 cost-aware harness 的系统设计。若正在强化论文 related work，建议随后对照阅读 STAIR。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-04-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-08-03—2026-08-04\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期共筛选出 10 项。最明显的趋势是安全边界开始从“模型是否拒绝”转向 harness 对 typed tool return、来源权限和持久化记忆的系统级约束；另一条主线是用非生成式记忆、轨迹复用和有状态 tokenization 降低 Agent 的持续运行成本。本期包含 9 项新论文（其中 2 项同步提供实质代码）和 1 项项目重大更新；没有论文版本更新，也未发现值得单独收录的新代码项目。\u003c/p\u003e\n\u003ch2 id=\"1-cage-certified-authorization-under-typed-return-uncertainty-for-tool-using-agents\"\u003e1. CAGE: Certified Authorization under Typed-Return Uncertainty for Tool-Using Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Blaise Delattre、Cong Wang、Yang Cao；tdsai-lab\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-31\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.29190\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/tdsai-lab/cage-agent-authorization\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e CAGE 研究 typed tool return 的来源绑定或数值出现小幅误差时，候选动作是否仍在整个联合扰动邻域内获得授权。论文证明分别认证类别字段和数值字段并不能组合成安全保证，并通过离散分支精确枚举加连续扰动认证，消除 pointwise gate 在预算内出现的 false allow。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 capability / permission control 的直接进展：它把权限检查放在 tool return 之后、action 执行之前，并明确将不可信文本排除在授权输入之外。对 Agent Security 和 executable harness 而言，它提供了比 LLM judge 更可审计的 typed action gate，以及对来源错绑、缓存陈旧和 read-then-act race 的统一建模。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读并试跑\u003c/strong\u003e。仓库包含策略 oracle、混合攻击、认证后端、真实 harness 集成、测试和逐表复现映射；重点验证其扰动预算如何从实际 adapter fault 校准，以及 learned gate 的 policy-fidelity 假设。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-memory-provenance-laundering-in-llm-agents-a-non-amplification-firewall-for-persistent-memory\"\u003e2. Memory Provenance Laundering in LLM Agents: A Non-Amplification Firewall for Persistent Memory\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jinghan Xu、Yiyong Xiao、Wanru Shao、Hankai Liu、Xinjin Li\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-31\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.29167\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文识别出 memory provenance laundering：外部低信任观察在 LLM consolidation 后被改写成类似用户历史或工作流依据的记忆，攻击触发仍保留，但来源权限已被抹去。PPMF 由平台维护不可由模型重写的 provenance、confirmation 与 risk label，并按 action risk 与相关记忆的 authority 匹配工具调用权限。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它把 memory poisoning 从内容检测推进到信息来源与权限的 non-amplification 约束，直接连接持久化 Prompt Injection、Agent memory security 和 capability control。对 self-evolving harness 来说，经验压缩或 code-as-memory 的重写过程同样不能提升原始证据的授权等级。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较 PPMF 与 semantic taint / IFC 的差异，并检查平台 provenance 在跨会话合并、摘要和多 Agent 转发后是否仍可完整传播。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-zero-mem-zero-token-memory-operations-for-llm-agents\"\u003e3. Zero-Mem: Zero-Token Memory Operations for LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yilin Xiao、Zhehan Zhu、Yujing Zhang、Jin Chen、Zijin Hong、Luyao Zhuang、Qinggang Zhang 等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-31\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.29377\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e Zero-Mem 在最终问答之外不调用 LLM，也不为记忆操作消耗 LLM token，而是保留原始交互轨迹，并用 entity–context graph 与 temporal hierarchy 两种视图完成检索和关系扩展。论文报告在相同 reader 与上下文预算下保持竞争性表现，并相对最快对比基线降低 57.6% 的记忆操作时间成本。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作直接对应 cost-aware Harness Optimization：把反复发生的 memory write、summarization 和 retrieval mediation 从生成式调用迁移为确定性结构操作。它也保留原始证据，减少摘要导致的 provenance 丢失，因而与记忆安全存在重要交叉。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较双视图 memory 与可执行 controller code 的表达能力、encoder 成本的核算方式，以及 conflicting-evidence calibration 是否会引入不可见的安全偏差；官方仓库目前仅为代码预告，未作为代码条目收录。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-reusing-past-repairs-through-hierarchical-trajectory-abstraction-for-coding-agents\"\u003e4. Reusing Past Repairs Through Hierarchical Trajectory Abstraction for Coding Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yisen Xu、Jiayuan Zhou、Ruiqi Pan、Tse-Hsun Chen\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-31\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.29658\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e STAIR 将历史修复轨迹抽象成从细粒度诊断动作到高层策略的多级树，并为新 issue 检索、适配为可执行计划。论文报告在 SWE-bench Verified 上与 Lingxi 组合达到 81.2% Pass@1；同一计划无需修改代码即可把 mini-SWE-agent v2 从 75.8% 提升到 81.0%，且多粒度组合优于单层或原始轨迹。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 harness experience reuse 与 code-as-memory 的高相关相邻工作：它不直接重写 controller，而是把过去的执行轨迹蒸馏成可迁移计划注入后续运行。它可作为 Natural Growth 中“可执行函数增长”与“层级计划记忆”两种长期经验表示的强对照。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点核查 trajectory abstraction 的生成成本、跨任务检索是否使用测试信息，以及计划增益在 held-out repository 和不同 Agent 上的稳定性。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-github-agentic-workflows-v0843\"\u003e5. GitHub Agentic Workflows v0.84.3\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 项目重大更新｜GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e GitHub、pelikhan、lpcox 等维护者\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-03\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://github.com/github/gh-aw\"\u003e项目\u003c/a\u003e · \u003ca href=\"https://github.com/github/gh-aw/releases/tag/v0.84.3\"\u003ev0.84.3 发布说明\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e v0.84.3 默认引入对 workflow \u003ccode\u003erun\u003c/code\u003e steps 的 ShellCheck linting，新增 \u003ccode\u003ejobs.agent.needs\u003c/code\u003e / \u003ccode\u003ejobs.agent.if\u003c/code\u003e gating，并仅在配置 \u003ccode\u003eallowed-refs\u003c/code\u003e 时把 \u003ccode\u003edispatch_workflow.ref\u003c/code\u003e 暴露到工具 schema。安全更新还移除或禁用多个带未修复高危 CVE 的容器镜像、修补 \u003ccode\u003ebrace-expansion\u003c/code\u003e 漏洞，并把基础镜像固定到已修复 digest。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Agent harness 如何同时约束命令执行、工作流触发和供应链依赖的真实工程案例。相较上一版本的参数注入修复，本次进一步把权限边界前移到编译期 lint、agent-job gate 和 schema-level ref allowlist，适合作为 capability control 的实现参考。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较 \u003ccode\u003eallowed-refs\u003c/code\u003e 与上一版本 per-call \u003ccode\u003eref\u003c/code\u003e 的组合语义、ShellCheck Docker fallback 的可信边界，以及被移除 MCP 镜像对工作流可用性的回归测试。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-alignment-is-local-a-paired-diagnostic-for-gui-agents-under-user-side-persuasion\"\u003e6. Alignment Is Local: A Paired Diagnostic for GUI Agents under User-Side Persuasion\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Haoxin An、Yunpeng Song、Zihao Bai、Zhongmin Cai、Guojun Xiong、Chenhao Lin、Wentao Chen、Feng Wei、Chao Shen\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-31\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.29199\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 该工作用 paired diagnostic 测试三个前沿 GUI Agent 在 screen-grounded、用户侧说服情境下的动态安全性。单行 guardrail 在单轮显式请求中最多降低约 40 个 ASR 点，但四轮 escalation 在所有模型上又将 guarded ASR 提高约 20 点，且隐藏意图在加 guardrail 后反而更具优势。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它说明 jailbreak / harmful-action defense 不能只用单轮 refusal 评价，harness 必须在长交互中累积 intent evidence，并在高风险 GUI action 前重新授权。虽然没有环境侧 IPI，该结果对多轮权限漂移和 action-time confirmation 具有直接启发。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点看 paired design 是否控制任务难度和模型状态，并将 multi-turn escalation 指标与 prompt injection benchmark 的可执行伤害终点对齐。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-reproducing-lightmem-naive-rag-is-just-as-good-for-memory-management\"\u003e7. Reproducing LightMem: Naive RAG Is Just as Good for Memory Management\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yongjie Zhou、Shuai Wang、Bevan Koopman、Guido Zuccon；ielab\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-31\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.29104\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/ielab/Reproducing-LightMem\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 复现实验发现，固定 LightMem store 仅更换 retriever 就会使回答准确率从 58.1% 变化到 75.5%，而直接从原始用户轮次检索的 Naive RAG 在匹配 retrieval depth 时通常更好。LightMem 的优势主要出现在回答 token 预算紧张时，且 memory construction 会删除部分与答案有关的信息。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是对 Agent memory 与 context optimization 的重要负结果：复杂记忆构建并不天然优于原始轨迹检索，检索器和 token budget 可能才是主导变量。它也支持在 harness 优化中分别消融 representation、retriever、reranker 与 reader，而不是把增益归因于整体 memory 模块。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读并复现\u003c/strong\u003e。仓库包含 LightMem、Naive RAG、full-context 和 oracle 流水线，以及多 retriever / budget 配置；重点复核 judge 依赖、H100 资源假设和构建成本是否公平计入。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-toktier-exact-stateful-tokenization-for-agentic-llm-serving\"\u003e8. TokTier: Exact Stateful Tokenization for Agentic LLM Serving\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Zhenyu Zhang、Zhichao Cao\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-31\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.29678\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e TokTier 针对 coding agent 每轮只追加少量 tool result、却反复重分词完整长上下文的问题，通过稳定边界检查做增量修复，失败时扩大窗口或回退到完整 tokenization。作者在 17 个 tokenizer family、超过 93,000 个 Agent step 的回放中报告零 token divergence，并使 vLLM median time-to-first-token 降低 16–34%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它属于 Agent scaffold / serving harness 的系统级优化，不改变模型或任务策略，却显著降低长轨迹反复提交的固定成本。对 cost-aware harness 研究，它提醒应把 tokenization、prefix-cache 命中与模型 token 费用分开计量。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览并收藏\u003c/strong\u003e。重点关注 exactness fallback 的最坏情况、session identity 与隔离边界，以及性能收益在不同 compaction 策略下是否仍成立。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-openllm-modular-and-scalable-zksnarks-for-verifiable-llm-inference\"\u003e9. OpenLLM: Modular and Scalable zkSNARKs for Verifiable LLM Inference\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜IACR Cryptology ePrint 2026/1578\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yunbo Yang、Yupeng Ren、Changtong Xu、Rui Zhang、Xuanming Liu、Jin Tan、Tao Wei、Bingsheng Zhang、Kui Ren\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-03\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://eprint.iacr.org/2026/1578\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e OpenLLM 将大模型推理拆成可复用原子算子，为非线性函数设计可组合的非交互零知识证明，从而构建与具体模型架构解耦的端到端验证流程。作者报告其在证明大小、验证成本、数值精度和模型扩展性上优于既有端到端方案，并消除交互式协议的通信轮次。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作覆盖 LLM Security 中的远程推理完整性：它验证服务端确实按承诺模型执行，而不是只依赖 API 声明。对 Agent harness，这可作为高价值模型调用的可验证后端，但不直接解决 Prompt Injection、工具权限或输出语义正确性。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e收藏 / 定向精读\u003c/strong\u003e。重点检查被证明的算子集合、近似非线性导致的精度—证明成本权衡，以及对真实大模型自回归解码的端到端开销。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"10-goldenretriever-non-interactive-homomorphic-encrypted-retrieval-for-privacy-preserving-rag\"\u003e10. GoldenRetriever: Non-Interactive Homomorphic Encrypted Retrieval for Privacy-Preserving RAG\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yang Gao、Gang Quan、Scott Piersall、Qian Lou、Dongdong Wang、Liqiang Wang\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-31\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.29019\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e GoldenRetriever 用 CKKS 在密文上完成相似度评估，并以 threshold selection 代替昂贵的加密 top-k ranking，将相对语料规模的计算复杂度从二次降为线性。precision-stable mask polarization 用于把近似密文计算稳定映射回文档选择，且不泄露查询、分数或选中文档索引。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它属于 LLM Privacy 与 RAG / Agent memory retrieval 的密码学相邻方向，可保护用户查询和私有知识库的访问模式。与语义隐私或权限控制不同，它提供内容层强机密性，但需要权衡阈值选择、召回率和密文计算成本。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览 / 收藏\u003c/strong\u003e。优先看 threshold 对结果数量与信息泄露的影响，以及方法能否扩展到动态 Agent memory、频繁增量写入和多租户检索。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 \u003cstrong\u003eCAGE\u003c/strong\u003e、\u003cstrong\u003eMemory Provenance Laundering\u003c/strong\u003e 和 \u003cstrong\u003eZero-Mem\u003c/strong\u003e。CAGE 直接给出 tool-use authorization 的可认证 harness 边界；后两篇分别从“权限不能在记忆重写中被放大”和“记忆操作不必持续调用 LLM”出发，可能同时影响 Agent memory security 与 cost-aware harness 的系统设计。若正在强化论文 related work，建议随后对照阅读 \u003cstrong\u003eSTAIR\u003c/strong\u003e。\u003c/p\u003e","title":"2026-08-04 热点论文推送"},{"content":" 本期检索范围： 2026-07-31—2026-08-03\n本合并版共收录 8 项。最明显的趋势是 harness 正同时成为性能优化对象、可抽取的知识产权和需要细粒度权限控制的安全边界；Agent memory security 也从污染检测扩展到版本化恢复。内容包含 7 项新论文（其中 1 项同步发布新代码仓库）和 1 项项目重大更新；2026-08-03 当日没有额外达到中高相关标准的新条目。\n1. Agent Harness Distillation: Inference-Time Harness Extraction and Exploitation in Autonomous Multi-Agent Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yu Cui、Wuli Yang、Yirui Shi、Junhao Xia、Hui Jiang、Lei Gao、Chenfu Bao 日期： 2026-07-30 链接： 论文 核心内容： 论文首次将 autonomous multi-agent system 的 inference-time harness extraction 形式化为安全与知识产权泄露问题。AHD 先从目标 Agent 的黑盒响应推断编排行为并构造初始 harness，再迭代对齐其行为模式；作者还提出 deception-based defense，在保持正常效用的同时向抽取过程暴露误导性 harness 信息。 与你的方向关系： 它直接连接 Harness Optimization 与 Agent Security，并提出一个值得警惕的新结论：优化所得的 controller topology、角色分工和协作策略可能从输出轨迹中被蒸馏。对 Natural Growth 而言，这意味着除了性能与成本，还需要考虑 learned harness 的可识别性和可复制性。 建议： 精读。重点核查其 harness leakage 定义、抽取保真度指标和 threat model；论文明确标注仍为 work in progress，因此实验结论宜谨慎引用。 2. Piggybacking on Perception: Stealthy Concurrent Audio Prompt Injections against Multimodal LLM Agents 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Mingxiao Liu、Yitong Li、Haoren Zhao、Yaoxiang Bian、Jianan Ma 等 日期： 2026-07-30 链接： 论文 · 代码 核心内容： 该工作研究恶意音频指令与用户语音同时出现时的 Prompt Injection，通过 instruction augmentation 和 scenario concealment 将攻击隐蔽地搭载在正常交互中。AudioAgentSecurity 覆盖 8 类真实任务、10 种攻击模式和 11 个 Agent；论文报告对 Gemini 3 Pro 的平均 ASR 为 69.10%，而结合声源分离与跨模态一致性分析的 CADV 防御在多类攻击上的检测成功率超过 90%。 与你的方向关系： 这是 Indirect Prompt Injection 从文档、网页进一步扩展到连续感知通道的实例，说明输入来源与指令权限不能仅在转写后的文本层判断。它支持在 harness 中引入 source-aware provenance、跨模态一致性验证和 action-time confirmation。 建议： 精读并试跑。官方仓库包含攻击入口、数据构造、CADV 实现、评测脚本和结果日志，但当前仅 3 次提交，复现时应首先验证数据路径、judge 稳定性和真实环境音频设置。 3. ChronoMem: Version Control and Semantic Rollback for Large Language Model Agent Memory 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yongye Su、Wujiang Xu、Chaoji Zuo、Elisa Bertino 日期： 2026-07-30 链接： 论文 核心内容： ChronoMem 将 Agent 长期记忆建模为可版本控制的状态：每次写入创建 whole-memory snapshot，并通过 lexical-semantic retrieval、rank fusion 与 reranking，把自然语言“撤销”请求映射到具体历史版本。其 post-exposure protocol 进一步测试 Agent 在已接触后续信息后，能否像这些信息从未出现一样回答问题和总结历史。 与你的方向关系： 它为 memory poisoning 和错误经验积累提供了系统级恢复原语，也与 self-evolving harness 的 rollback 设计直接相关。相较只删除可疑条目，global snapshot 能更清楚地定义恢复后的状态一致性，但尚不能自动解决外部工具或环境中的副作用。 建议： 精读。重点比较 semantic version selection 与确定性 restore 的边界，并评估其完整性检查能否扩展为恶意记忆写入后的安全恢复机制。 4. GitHub Agentic Workflows v0.84.2 类型 / 来源： 项目重大更新｜GitHub 作者 / 维护者： GitHub、pelikhan 等维护者 日期： 2026-08-01 链接： 项目 · v0.84.2 发布说明 核心内容： v0.84.2 修复了 git archive fallback 路径中的参数注入漏洞（CWE-88），并加固 PR Description Updater，避免 one-shot safe-output 被提前耗尽；版本同时修复 external threat detection 的模型配置传播以及 Agent memory limit 的 front matter 解析。权限与执行方面，新版本支持 dispatch_workflow 的 per-call ref、显式 auto-merge strategy，并为 Docker 依赖增加 Dependabot supply-chain coverage。 与你的方向关系： gh-aw 将 coding agent 置于 sandbox、read-only default 和受净化的 safe-output 写入边界内，是研究 executable harness、capability control 与 tool-use security 的高质量工程样本。这次更新展示了一个重要系统设计问题：即使 Agent 只能经受控输出写入，底层 fallback command、输出配额和运行时 branch target 仍可能形成权限绕过或注入面。 建议： 精读。重点查看 CWE-88 修复、one-shot safe-output exhaustion 的触发条件，以及新增 per-call ref 是否配套限制 Agent 可指定的 branch；这些变化可直接用于建立 harness security 的攻击面分类。 5. Safeguards Based on Copyable Context Cannot Provide Reliable Safety for LLMs 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Pingyu Wu、Lingyao Zhu、Weiming Zhang、Nenghai Yu 日期： 2026-07-30 链接： 论文 核心内容： 论文区分模型释放的 capability 与 safeguard 用于判断下游用途的 evidence，并证明当这些证据可被攻击者复制时，在保留有用回答的前提下，攻击者可获得的帮助存在不可消除的最坏情况下界。作者据此提出 Useful Capability、Reliable Safety 与 Open Access 不可同时满足的 trilemma，并讨论 trusted credential 如何引入难以复制的授权信号。 与你的方向关系： 这为 capability / permission control 提供了理论依据：聊天历史、角色声明和“我是安全研究员”等上下文不是可靠授权凭证。真正的权限控制需要由模型外 harness 绑定不可伪造身份、资源能力和具体 action scope。 建议： 精读。最值得核查的是定理成立的 threat model、copyable evidence 定义，以及 trusted-access 条件能否映射到 capability token 或细粒度工具授权。 6. AISPA: User-Centric System Prompt Auditing for Large Language Model Applications 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xiangning Lin、Shenzhe Zhu、Shu Yang、Zhenyu Zhang、Haoqian Zhang 等 日期： 2026-07-30 链接： 论文 核心内容： AISPA 提出面向用户利益的 system prompt 审计框架，沿 8 个维度将具体指令标为 protective 或 problematic。作者审计了 88 个商业 AI 产品中的 3,249 条指令：98.9% 的产品至少包含一条保护性指令，但仅 24% 覆盖全部维度，约 40% 至少包含一条不利于用户利益的指令。 与你的方向关系： 该工作关注 system prompt 本身的治理与问责，而非 Prompt Injection 的抗攻击性；它可作为 harness specification audit 的上层补充。对安全 harness 来说，开发者配置的隐含目标、操纵性规则和数据处理指令同样需要被审计。 建议： 浏览。适合借鉴其 span-level taxonomy 和 human–LLM auditing workflow，但不应把“保护性指令数量”直接解释为运行时安全强度。 7. ARES: Adaptive Reasoning-Effort Steering for PPA- and Cost-Aware RTL Optimization with LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Stef Cuyckens、Mihaela Jivanescu、Jun Yin、Chao Fang、Marian Verhelst 日期： 2026-07-30 链接： 论文 核心内容： ARES 在 RTL 优化循环中联合报告 FoM 与标准化美元成本，并在低 reasoning effort 的进展停滞后才升级推理强度。作者发现精心构造的跨设计 memory 相对相同经验的直接拼接没有稳定收益；在三个未见测试设计上，自适应策略以相同成本取得 23–27% 的 FoM 降幅，并以 Dr. RTL 约 12% 的 token 达到更深优化。 与你的方向关系： 虽然任务域是硬件设计，它提供了很清晰的 cost-aware controller：不是固定每次调用的模型努力，而是根据 optimization stagnation 动态分配推理预算。这可作为 success-first、cost-aware harness optimization 中 call-level effort routing 的相邻基线。 建议： 精读。重点比较 patience-based escalation 与按失败类型或轨迹不确定性分配预算的优劣，并注意其测试集只有三个 unseen designs。 8. SKIMIX: Multi-Agent Harness-Time Scaling with Skill Mixture for Dynamic Harness Engineering 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jia Luo 日期： 2026-07-30 链接： 论文 核心内容： SKIMIX 让携带不同 skill portfolio 的多个 Agent 通过 iterative refinement 协作，并结合 embedding retrieval、submodular anti-dilution routing 与 adaptive skill evolution。六个推理 benchmark 显示，协作对开放式数学任务有明显帮助，但对多选题收益有限或为负；Agent 数量扩展也并非单调，主要增益集中在第一轮 refinement。 与你的方向关系： 它从 skill selection 与组合角度研究 dynamic harness engineering，并提醒“更多 Agent / 更多 skill”并不自动带来更好 controller。anti-dilution routing 对大型 skill library 中的上下文污染和无关指令竞争尤其相关。 建议： 浏览。目前为单作者论文且未提供官方代码，优先理解其 routing objective 和负结果，不宜仅依据摘要中的性能描述采用为强基线。 今日优先阅读 优先阅读 Agent Harness Distillation、Piggybacking on Perception 和 ChronoMem。第一篇可能改变 learned harness 的 threat model 与论文定位；第二篇为多模态 IPI 提供可运行的攻击—防御评测链；第三篇则把 memory poisoning 后的恢复从 prompt suppression 推进到可定义、可验证的状态回滚。若更关注工程落地，可将 GitHub Agentic Workflows v0.84.2 作为 capability control 与 safe-output 设计的配套案例。\n","permalink":"https://lazfore.github.io/daily-paper/2026-08-03-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期检索范围：\u003c/strong\u003e 2026-07-31—2026-08-03\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本合并版共收录 8 项。最明显的趋势是 harness 正同时成为性能优化对象、可抽取的知识产权和需要细粒度权限控制的安全边界；Agent memory security 也从污染检测扩展到版本化恢复。内容包含 7 项新论文（其中 1 项同步发布新代码仓库）和 1 项项目重大更新；2026-08-03 当日没有额外达到中高相关标准的新条目。\u003c/p\u003e\n\u003ch2 id=\"1-agent-harness-distillation-inference-time-harness-extraction-and-exploitation-in-autonomous-multi-agent-systems\"\u003e1. Agent Harness Distillation: Inference-Time Harness Extraction and Exploitation in Autonomous Multi-Agent Systems\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yu Cui、Wuli Yang、Yirui Shi、Junhao Xia、Hui Jiang、Lei Gao、Chenfu Bao\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-30\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.28147\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文首次将 autonomous multi-agent system 的 inference-time harness extraction 形式化为安全与知识产权泄露问题。AHD 先从目标 Agent 的黑盒响应推断编排行为并构造初始 harness，再迭代对齐其行为模式；作者还提出 deception-based defense，在保持正常效用的同时向抽取过程暴露误导性 harness 信息。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它直接连接 Harness Optimization 与 Agent Security，并提出一个值得警惕的新结论：优化所得的 controller topology、角色分工和协作策略可能从输出轨迹中被蒸馏。对 Natural Growth 而言，这意味着除了性能与成本，还需要考虑 learned harness 的可识别性和可复制性。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点核查其 harness leakage 定义、抽取保真度指标和 threat model；论文明确标注仍为 work in progress，因此实验结论宜谨慎引用。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-piggybacking-on-perception-stealthy-concurrent-audio-prompt-injections-against-multimodal-llm-agents\"\u003e2. Piggybacking on Perception: Stealthy Concurrent Audio Prompt Injections against Multimodal LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Mingxiao Liu、Yitong Li、Haoren Zhao、Yaoxiang Bian、Jianan Ma 等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-30\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.28165\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/Limax666/AudioAgentSecurity\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 该工作研究恶意音频指令与用户语音同时出现时的 Prompt Injection，通过 instruction augmentation 和 scenario concealment 将攻击隐蔽地搭载在正常交互中。AudioAgentSecurity 覆盖 8 类真实任务、10 种攻击模式和 11 个 Agent；论文报告对 Gemini 3 Pro 的平均 ASR 为 69.10%，而结合声源分离与跨模态一致性分析的 CADV 防御在多类攻击上的检测成功率超过 90%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Indirect Prompt Injection 从文档、网页进一步扩展到连续感知通道的实例，说明输入来源与指令权限不能仅在转写后的文本层判断。它支持在 harness 中引入 source-aware provenance、跨模态一致性验证和 action-time confirmation。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读并试跑\u003c/strong\u003e。官方仓库包含攻击入口、数据构造、CADV 实现、评测脚本和结果日志，但当前仅 3 次提交，复现时应首先验证数据路径、judge 稳定性和真实环境音频设置。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-chronomem-version-control-and-semantic-rollback-for-large-language-model-agent-memory\"\u003e3. ChronoMem: Version Control and Semantic Rollback for Large Language Model Agent Memory\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Yongye Su、Wujiang Xu、Chaoji Zuo、Elisa Bertino\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-30\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.27773\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e ChronoMem 将 Agent 长期记忆建模为可版本控制的状态：每次写入创建 whole-memory snapshot，并通过 lexical-semantic retrieval、rank fusion 与 reranking，把自然语言“撤销”请求映射到具体历史版本。其 post-exposure protocol 进一步测试 Agent 在已接触后续信息后，能否像这些信息从未出现一样回答问题和总结历史。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它为 memory poisoning 和错误经验积累提供了系统级恢复原语，也与 self-evolving harness 的 rollback 设计直接相关。相较只删除可疑条目，global snapshot 能更清楚地定义恢复后的状态一致性，但尚不能自动解决外部工具或环境中的副作用。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较 semantic version selection 与确定性 restore 的边界，并评估其完整性检查能否扩展为恶意记忆写入后的安全恢复机制。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-github-agentic-workflows-v0842\"\u003e4. GitHub Agentic Workflows v0.84.2\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 项目重大更新｜GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e GitHub、pelikhan 等维护者\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-08-01\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://github.com/github/gh-aw\"\u003e项目\u003c/a\u003e · \u003ca href=\"https://github.com/github/gh-aw/releases/tag/v0.84.2\"\u003ev0.84.2 发布说明\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e v0.84.2 修复了 \u003ccode\u003egit archive\u003c/code\u003e fallback 路径中的参数注入漏洞（CWE-88），并加固 PR Description Updater，避免 one-shot safe-output 被提前耗尽；版本同时修复 external threat detection 的模型配置传播以及 Agent memory limit 的 front matter 解析。权限与执行方面，新版本支持 \u003ccode\u003edispatch_workflow\u003c/code\u003e 的 per-call \u003ccode\u003eref\u003c/code\u003e、显式 auto-merge strategy，并为 Docker 依赖增加 Dependabot supply-chain coverage。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e gh-aw 将 coding agent 置于 sandbox、read-only default 和受净化的 safe-output 写入边界内，是研究 executable harness、capability control 与 tool-use security 的高质量工程样本。这次更新展示了一个重要系统设计问题：即使 Agent 只能经受控输出写入，底层 fallback command、输出配额和运行时 branch target 仍可能形成权限绕过或注入面。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点查看 CWE-88 修复、one-shot safe-output exhaustion 的触发条件，以及新增 per-call \u003ccode\u003eref\u003c/code\u003e 是否配套限制 Agent 可指定的 branch；这些变化可直接用于建立 harness security 的攻击面分类。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-safeguards-based-on-copyable-context-cannot-provide-reliable-safety-for-llms\"\u003e5. Safeguards Based on Copyable Context Cannot Provide Reliable Safety for LLMs\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Pingyu Wu、Lingyao Zhu、Weiming Zhang、Nenghai Yu\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-30\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.27951\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 论文区分模型释放的 capability 与 safeguard 用于判断下游用途的 evidence，并证明当这些证据可被攻击者复制时，在保留有用回答的前提下，攻击者可获得的帮助存在不可消除的最坏情况下界。作者据此提出 Useful Capability、Reliable Safety 与 Open Access 不可同时满足的 trilemma，并讨论 trusted credential 如何引入难以复制的授权信号。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这为 capability / permission control 提供了理论依据：聊天历史、角色声明和“我是安全研究员”等上下文不是可靠授权凭证。真正的权限控制需要由模型外 harness 绑定不可伪造身份、资源能力和具体 action scope。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。最值得核查的是定理成立的 threat model、copyable evidence 定义，以及 trusted-access 条件能否映射到 capability token 或细粒度工具授权。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-aispa-user-centric-system-prompt-auditing-for-large-language-model-applications\"\u003e6. AISPA: User-Centric System Prompt Auditing for Large Language Model Applications\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Xiangning Lin、Shenzhe Zhu、Shu Yang、Zhenyu Zhang、Haoqian Zhang 等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-30\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.28617\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e AISPA 提出面向用户利益的 system prompt 审计框架，沿 8 个维度将具体指令标为 protective 或 problematic。作者审计了 88 个商业 AI 产品中的 3,249 条指令：98.9% 的产品至少包含一条保护性指令，但仅 24% 覆盖全部维度，约 40% 至少包含一条不利于用户利益的指令。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 该工作关注 system prompt 本身的治理与问责，而非 Prompt Injection 的抗攻击性；它可作为 harness specification audit 的上层补充。对安全 harness 来说，开发者配置的隐含目标、操纵性规则和数据处理指令同样需要被审计。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。适合借鉴其 span-level taxonomy 和 human–LLM auditing workflow，但不应把“保护性指令数量”直接解释为运行时安全强度。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-ares-adaptive-reasoning-effort-steering-for-ppa--and-cost-aware-rtl-optimization-with-llm-agents\"\u003e7. ARES: Adaptive Reasoning-Effort Steering for PPA- and Cost-Aware RTL Optimization with LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Stef Cuyckens、Mihaela Jivanescu、Jun Yin、Chao Fang、Marian Verhelst\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-30\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.27879\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e ARES 在 RTL 优化循环中联合报告 FoM 与标准化美元成本，并在低 reasoning effort 的进展停滞后才升级推理强度。作者发现精心构造的跨设计 memory 相对相同经验的直接拼接没有稳定收益；在三个未见测试设计上，自适应策略以相同成本取得 23–27% 的 FoM 降幅，并以 Dr. RTL 约 12% 的 token 达到更深优化。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 虽然任务域是硬件设计，它提供了很清晰的 cost-aware controller：不是固定每次调用的模型努力，而是根据 optimization stagnation 动态分配推理预算。这可作为 success-first、cost-aware harness optimization 中 call-level effort routing 的相邻基线。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点比较 patience-based escalation 与按失败类型或轨迹不确定性分配预算的优劣，并注意其测试集只有三个 unseen designs。\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-skimix-multi-agent-harness-time-scaling-with-skill-mixture-for-dynamic-harness-engineering\"\u003e8. SKIMIX: Multi-Agent Harness-Time Scaling with Skill Mixture for Dynamic Harness Engineering\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Jia Luo\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-30\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.27994\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SKIMIX 让携带不同 skill portfolio 的多个 Agent 通过 iterative refinement 协作，并结合 embedding retrieval、submodular anti-dilution routing 与 adaptive skill evolution。六个推理 benchmark 显示，协作对开放式数学任务有明显帮助，但对多选题收益有限或为负；Agent 数量扩展也并非单调，主要增益集中在第一轮 refinement。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它从 skill selection 与组合角度研究 dynamic harness engineering，并提醒“更多 Agent / 更多 skill”并不自动带来更好 controller。anti-dilution routing 对大型 skill library 中的上下文污染和无关指令竞争尤其相关。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览\u003c/strong\u003e。目前为单作者论文且未提供官方代码，优先理解其 routing objective 和负结果，不宜仅依据摘要中的性能描述采用为强基线。\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e优先阅读 \u003cstrong\u003eAgent Harness Distillation\u003c/strong\u003e、\u003cstrong\u003ePiggybacking on Perception\u003c/strong\u003e 和 \u003cstrong\u003eChronoMem\u003c/strong\u003e。第一篇可能改变 learned harness 的 threat model 与论文定位；第二篇为多模态 IPI 提供可运行的攻击—防御评测链；第三篇则把 memory poisoning 后的恢复从 prompt suppression 推进到可定义、可验证的状态回滚。若更关注工程落地，可将 \u003cstrong\u003eGitHub Agentic Workflows v0.84.2\u003c/strong\u003e 作为 capability control 与 safe-output 设计的配套案例。\u003c/p\u003e","title":"2026-08-03 热点论文推送"},{"content":" 本期回看范围： 2026-07-24—2026-07-30\n本期筛出 10 项。整体趋势非常集中：Harness self-evolution、持久化记忆安全，以及跨 Agent 的语义信息流控制正在快速升温。以下均为“新论文”，只有第 10 项属于“论文版本更新”；关联代码已合并到对应条目，没有发现值得单独列出的高质量新项目。\n1. DREvo: Distilling Recalibrated Historical Experience for Harness Self-Evolution 类型 / 来源： 新论文｜arXiv 作者： Hanghui Guo、Weijie Shi、Zhangze Chen 等 日期： 2026-07-29 链接： 论文 核心内容： DREvo 研究历史轨迹为何不能稳定指导 harness 演化，提出 function-level evidence anchoring、state-dependent recalibration 和 role-conditioned search-intent distillation。作者报告其在五个 benchmark 上均取得最高准确率，在 domain reasoning 和 agentic tasks 上平均领先基线 16.2% 与 14.2%。 与你的方向关系： 与 Natural Growth、函数级 harness edit、历史失败证据和有限优化预算高度重合；尤其值得比较它如何判断旧经验对当前 harness 是否仍然有效。 建议： 精读。重点看 evidence recalibration、搜索方向生成方式，以及是否设置 held-out regression gate。arXiv 摘要与结果 2. Living-Harness Is an Interactive-Agent Evolver 类型 / 来源： 新论文｜arXiv 作者： Yuetian Du、Yucheng Wang、He Xu 等 日期： 2026-07-29 链接： 论文 核心内容： 将每条完成轨迹和 evaluator 信号转化为有界的持久化 harness 更新，分别写入 episodic memory 与记录 repair transition 的 state graph。工具和基础上下文保持冻结，在 τ²-Bench 与 MultiWOZ-2.4 衍生环境上，Pass@1 分别提升约 10.07 和 9.91 个百分点。 与你的方向关系： 这是 Natural Growth 的直接相邻工作，但它主要“增长”结构化记忆和状态图，而不是通用可执行 controller code；这一差异可能成为你论文 positioning 的关键。 建议： 精读，并加入 related-work 对比表。方法与实验摘要 3. SafeFlow: Semantic Information-Flow Control for Blocking Malicious Propagation in Multi-Agent Systems 类型 / 来源： 新论文｜arXiv 作者： Haowen Dai、Zonghao Ying、Wenfeng Li 等 日期： 2026-07-28 链接： 论文 核心内容： 将多 Agent 中被拆分、局部看似无害的恶意目标建模为 semantic information-flow 问题。SafeFlow 为根请求附加结构化语义 taint，在动态协作图中传播，并在不可逆操作前重构全局风险上下文。 与你的方向关系： 与你此前考虑的跨设备 Agent 权限边界、间接提示注入和“单个 Agent 看不到全局恶意意图”高度一致；也提供了从传统标签式 IFC 扩展到语义 taint 的具体实例。 建议： 精读。重点检查 taint schema、传播规则、不可逆 action gate，以及面对语义改写时的稳定性。论文页面 4. MemSecBench: Tracking Agent Memory Poisoning from Persistence to Consequence and Repair 类型 / 来源： 新论文 / Benchmark｜arXiv 作者： Xuanze Chen、Xukang Xie、Wentao Fu 等 日期： 2026-07-29 链接： 论文 核心内容： 提出包含 310 个案例、48 种真实场景的 Write–Execute–Forget 测试协议，覆盖两个 harness、四种 memory backend 和三个 LLM。实验中恶意记忆持久化率达 84.2%，完整 Write–Execute 攻击成功率为 50.3%，不同 memory stack 的攻击与修复能力差异明显。 与你的方向关系： 同时连接 memory poisoning、持久化 prompt injection 和 harness-dependent security；其“相同攻击语义跨生命周期追踪”的评价方式比单轮 ASR 更完整。 建议： 精读，可考虑借鉴七个 lifecycle checkpoints 与 selective repair 指标。论文与实验数据 5. Isolated but Exposed: Persistence-Based Memory Extraction Attack on LLM Agents 类型 / 来源： 新论文｜arXiv 作者： Xinyu Gao、Wenyu Chen、Xiangtao Meng 等 日期： 2026-07-26 链接： 论文 核心内容： SPORE 利用 Agent 把长期记忆内容写入工具调用参数这一通道，在不突破用户级 memory isolation 的情况下由恶意工具抽取隐私。它将攻击指令持久化到短期记忆、用语义纯净的 retrieval anchor 探索嵌入空间，并通过持久化 reactivation payload 跨会话继续攻击；论文报告最高 80% 的记录抽取率。 与你的方向关系： 直接说明“存储隔离”并不等于“信息流隔离”，威胁边界应覆盖 memory → LLM → tool arguments 的完整链路。 建议： 精读，尤其关注工具参数污点追踪和跨会话 capability revocation。论文正文 6. A Control System, a Dataset, and a Recipe for Making Frozen LLM Agents Learn a Domain 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Debjyoti Paul 日期： 2026-07-28 链接： 论文 · 代码 核心内容： 不允许 Agent 任意重写代码，而是在 729 个可解释 harness 配置组成的固定空间中，用 contextual bandit 或 REINFORCE 选择 prompt、memory、planning、verification 和 step budget。奖励联合考虑成功率、验证分数、policy compliance、成本、延迟和 unsupported claims。 与你的方向关系： 它代表“离散配置策略学习”，可作为你从 minimal scaffold 进行开放式代码增长的强对照。仓库已有核心库、三个任务域、测试和分析脚本，但目前仅 5 次提交、0 stars，实验成熟度需要自行验证。 建议： 精读论文，浏览代码；重点比较固定动作空间与开放代码搜索的表达能力和审计性。代码结构与运行说明 7. SkillGate: Cost Efficient Runtime Malicious Skill File Detection in Coding Agents 类型 / 来源： 新论文 + 新项目｜arXiv / GitHub 作者： Rui Yang、Michael Fu、Kla Tantithamthavorn、Chetan Arora、Joey Chua 日期： 2026-07-28 链接： 论文 · 代码 核心内容： 将 Agent skill 文件视为供应链中的持久化指令注入载体，使用 regex prefilter 与仅检查命中片段的 LLM judge。SkillsBench 上取得 F1=0.817、FPR=1.13%，相较整文件 LLM 检查减少 77% 输入 token。 与你的方向关系： 非常贴近 harness engineering security：可安装的 Markdown skill 实际上拥有改变后续 Agent 行为的能力，却通常缺少签名、权限声明和安装前审计。 建议： 精读并试跑；但要仔细检查数据集中的合成样本比例，以及对语义隐蔽、跨文件组合攻击的召回率。论文结果 8. ALIBI: Adaptive Agentic Attacks on LLM-Based Vulnerability Detectors via Adversarial Code Comments 类型 / 来源： 新论文｜arXiv 作者： Zixuan Wu、Cristina Nita-Rotaru 日期： 2026-07-27 链接： 论文 核心内容： 攻击 Agent 在引入真实漏洞的同时插入不改变程序行为的对抗性注释，并根据检测器反馈迭代优化。四种 LLM 漏洞检测系统在 125 个真实空指针漏洞上的攻击成功率均超过 90%；prompt-level defense 效果有限，而注释清洗和架构隔离更有效。 与你的方向关系： 这是典型的间接 prompt injection：不可信自然语言与可信程序证据被放入同一推理上下文。它也支持“安全边界应由 harness 架构执行，而不能只靠 system prompt”的论点。 建议： 精读，特别关注伪造工具结果类注释和 architectural isolation 消融。论文与结果 9. Bits and Memories: Measuring Verbatim Extraction Across LLM Quantization 类型 / 来源： 新论文 + 代码 / 数据｜arXiv / GitHub 作者： Akshay Sasi 日期： 2026-07-28 链接： 论文 · 代码 核心内容： 直接测量不同精度下训练数据的逐字抽取，而不是只使用 membership inference。量化确实比模型能力更快地降低逐字记忆，但四比特模型仍保留大部分已知记忆序列，且模型越大，量化后幸存的记忆比例越高。 与你的方向关系： 对 LLM privacy 的评价指标选择很有价值：membership signal 的下降不能等价为语义或逐字泄露风险下降。 建议： 浏览论文，收藏代码和数据；可用于支撑“隐私评价必须对齐实际泄露目标”的论述。论文及代码说明 10. ELLMo: Packing- and Depth-Aware Encrypted Transformer Inference 类型 / 来源： 论文版本更新｜IACR Cryptology ePrint 2026/198 作者： Seyda Nur Guzelhan、Lohit Daksha、Carlos Agulló Domingo 等 更新时间： 2026-07-28 链接： ePrint 论文 核心内容： 面向 FHE Transformer inference，提出降低 ciphertext rotation 的矩阵乘法方案，并用 Statistical-max Softmax 与 DelayNorm 减少非线性层深度和 bootstrapping。更新版本报告在 encrypted BERT-Tiny 上相对基线约 1.4× 加速，bootstrapping 最多减少 46%，准确率损失为 0–1.5%。 与你的方向关系： 属于 LLM prompt confidentiality 的密码学相邻方向；相比语义隐私，它提供更强的内容机密性，但仍受模型规模、交互延迟和密文计算成本约束。 建议： 收藏 / 定向精读；如果研究重点仍是 Agent 与 harness，可只关注其 threat model 和 deployability trade-off。IACR 更新记录 今日优先阅读 DREvo、Living-Harness、SafeFlow。\n前两篇直接影响当前 harness optimization 论文的 novelty positioning；SafeFlow 则与跨 Agent 权限和语义风险传播方向高度吻合。\n","permalink":"https://lazfore.github.io/daily-paper/2026-07-31-%E7%83%AD%E7%82%B9%E8%AE%BA%E6%96%87%E6%8E%A8%E9%80%81/","summary":"\u003cblockquote\u003e\n\u003cp\u003e\u003cstrong\u003e本期回看范围：\u003c/strong\u003e 2026-07-24—2026-07-30\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003e本期筛出 10 项。整体趋势非常集中：Harness self-evolution、持久化记忆安全，以及跨 Agent 的语义信息流控制正在快速升温。以下均为“新论文”，只有第 10 项属于“论文版本更新”；关联代码已合并到对应条目，没有发现值得单独列出的高质量新项目。\u003c/p\u003e\n\u003ch2 id=\"1-drevo-distilling-recalibrated-historical-experience-for-harness-self-evolution\"\u003e1. DREvo: Distilling Recalibrated Historical Experience for Harness Self-Evolution\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者：\u003c/strong\u003e Hanghui Guo、Weijie Shi、Zhangze Chen 等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-29\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.26722\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e DREvo 研究历史轨迹为何不能稳定指导 harness 演化，提出 function-level evidence anchoring、state-dependent recalibration 和 role-conditioned search-intent distillation。作者报告其在五个 benchmark 上均取得最高准确率，在 domain reasoning 和 agentic tasks 上平均领先基线 16.2% 与 14.2%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 与 Natural Growth、函数级 harness edit、历史失败证据和有限优化预算高度重合；尤其值得比较它如何判断旧经验对当前 harness 是否仍然有效。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点看 evidence recalibration、搜索方向生成方式，以及是否设置 held-out regression gate。\u003ca href=\"https://arxiv.org/abs/2607.26722\"\u003earXiv 摘要与结果\u003c/a\u003e\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"2-living-harness-is-an-interactive-agent-evolver\"\u003e2. Living-Harness Is an Interactive-Agent Evolver\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者：\u003c/strong\u003e Yuetian Du、Yucheng Wang、He Xu 等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-29\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.26598\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 将每条完成轨迹和 evaluator 信号转化为有界的持久化 harness 更新，分别写入 episodic memory 与记录 repair transition 的 state graph。工具和基础上下文保持冻结，在 τ²-Bench 与 MultiWOZ-2.4 衍生环境上，Pass@1 分别提升约 10.07 和 9.91 个百分点。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是 Natural Growth 的直接相邻工作，但它主要“增长”结构化记忆和状态图，而不是通用可执行 controller code；这一差异可能成为你论文 positioning 的关键。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e，并加入 related-work 对比表。\u003ca href=\"https://arxiv.org/abs/2607.26598\"\u003e方法与实验摘要\u003c/a\u003e\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"3-safeflow-semantic-information-flow-control-for-blocking-malicious-propagation-in-multi-agent-systems\"\u003e3. SafeFlow: Semantic Information-Flow Control for Blocking Malicious Propagation in Multi-Agent Systems\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者：\u003c/strong\u003e Haowen Dai、Zonghao Ying、Wenfeng Li 等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-28\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.25255\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 将多 Agent 中被拆分、局部看似无害的恶意目标建模为 semantic information-flow 问题。SafeFlow 为根请求附加结构化语义 taint，在动态协作图中传播，并在不可逆操作前重构全局风险上下文。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 与你此前考虑的跨设备 Agent 权限边界、间接提示注入和“单个 Agent 看不到全局恶意意图”高度一致；也提供了从传统标签式 IFC 扩展到语义 taint 的具体实例。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e。重点检查 taint schema、传播规则、不可逆 action gate，以及面对语义改写时的稳定性。\u003ca href=\"https://arxiv.org/abs/2607.25255\"\u003e论文页面\u003c/a\u003e\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"4-memsecbench-tracking-agent-memory-poisoning-from-persistence-to-consequence-and-repair\"\u003e4. MemSecBench: Tracking Agent Memory Poisoning from Persistence to Consequence and Repair\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 / Benchmark｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者：\u003c/strong\u003e Xuanze Chen、Xukang Xie、Wentao Fu 等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-29\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.27080\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 提出包含 310 个案例、48 种真实场景的 Write–Execute–Forget 测试协议，覆盖两个 harness、四种 memory backend 和三个 LLM。实验中恶意记忆持久化率达 84.2%，完整 Write–Execute 攻击成功率为 50.3%，不同 memory stack 的攻击与修复能力差异明显。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 同时连接 memory poisoning、持久化 prompt injection 和 harness-dependent security；其“相同攻击语义跨生命周期追踪”的评价方式比单轮 ASR 更完整。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e，可考虑借鉴七个 lifecycle checkpoints 与 selective repair 指标。\u003ca href=\"https://arxiv.org/abs/2607.27080\"\u003e论文与实验数据\u003c/a\u003e\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"5-isolated-but-exposed-persistence-based-memory-extraction-attack-on-llm-agents\"\u003e5. Isolated but Exposed: Persistence-Based Memory Extraction Attack on LLM Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者：\u003c/strong\u003e Xinyu Gao、Wenyu Chen、Xiangtao Meng 等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-26\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.23444\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e SPORE 利用 Agent 把长期记忆内容写入工具调用参数这一通道，在不突破用户级 memory isolation 的情况下由恶意工具抽取隐私。它将攻击指令持久化到短期记忆、用语义纯净的 retrieval anchor 探索嵌入空间，并通过持久化 reactivation payload 跨会话继续攻击；论文报告最高 80% 的记录抽取率。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 直接说明“存储隔离”并不等于“信息流隔离”，威胁边界应覆盖 memory → LLM → tool arguments 的完整链路。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e，尤其关注工具参数污点追踪和跨会话 capability revocation。\u003ca href=\"https://arxiv.org/abs/2607.23444\"\u003e论文正文\u003c/a\u003e\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"6-a-control-system-a-dataset-and-a-recipe-for-making-frozen-llm-agents-learn-a-domain\"\u003e6. A Control System, a Dataset, and a Recipe for Making Frozen LLM Agents Learn a Domain\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新代码仓库｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者 / 维护者：\u003c/strong\u003e Debjyoti Paul\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-28\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.25415\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/dpaul0501/context-optimization-rl\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 不允许 Agent 任意重写代码，而是在 729 个可解释 harness 配置组成的固定空间中，用 contextual bandit 或 REINFORCE 选择 prompt、memory、planning、verification 和 step budget。奖励联合考虑成功率、验证分数、policy compliance、成本、延迟和 unsupported claims。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 它代表“离散配置策略学习”，可作为你从 minimal scaffold 进行开放式代码增长的强对照。仓库已有核心库、三个任务域、测试和分析脚本，但目前仅 5 次提交、0 stars，实验成熟度需要自行验证。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读论文，浏览代码\u003c/strong\u003e；重点比较固定动作空间与开放代码搜索的表达能力和审计性。\u003ca href=\"https://github.com/dpaul0501/context-optimization-rl\"\u003e代码结构与运行说明\u003c/a\u003e\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"7-skillgate-cost-efficient-runtime-malicious-skill-file-detection-in-coding-agents\"\u003e7. SkillGate: Cost Efficient Runtime Malicious Skill File Detection in Coding Agents\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 新项目｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者：\u003c/strong\u003e Rui Yang、Michael Fu、Kla Tantithamthavorn、Chetan Arora、Joey Chua\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-28\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.25619\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/awsm-research/skillgate\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 将 Agent skill 文件视为供应链中的持久化指令注入载体，使用 regex prefilter 与仅检查命中片段的 LLM judge。SkillsBench 上取得 F1=0.817、FPR=1.13%，相较整文件 LLM 检查减少 77% 输入 token。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 非常贴近 harness engineering security：可安装的 Markdown skill 实际上拥有改变后续 Agent 行为的能力，却通常缺少签名、权限声明和安装前审计。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读并试跑\u003c/strong\u003e；但要仔细检查数据集中的合成样本比例，以及对语义隐蔽、跨文件组合攻击的召回率。\u003ca href=\"https://arxiv.org/abs/2607.25619\"\u003e论文结果\u003c/a\u003e\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"8-alibi-adaptive-agentic-attacks-on-llm-based-vulnerability-detectors-via-adversarial-code-comments\"\u003e8. ALIBI: Adaptive Agentic Attacks on LLM-Based Vulnerability Detectors via Adversarial Code Comments\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文｜arXiv\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者：\u003c/strong\u003e Zixuan Wu、Cristina Nita-Rotaru\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-27\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.24964\"\u003e论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 攻击 Agent 在引入真实漏洞的同时插入不改变程序行为的对抗性注释，并根据检测器反馈迭代优化。四种 LLM 漏洞检测系统在 125 个真实空指针漏洞上的攻击成功率均超过 90%；prompt-level defense 效果有限，而注释清洗和架构隔离更有效。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 这是典型的间接 prompt injection：不可信自然语言与可信程序证据被放入同一推理上下文。它也支持“安全边界应由 harness 架构执行，而不能只靠 system prompt”的论点。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e精读\u003c/strong\u003e，特别关注伪造工具结果类注释和 architectural isolation 消融。\u003ca href=\"https://arxiv.org/abs/2607.24964\"\u003e论文与结果\u003c/a\u003e\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"9-bits-and-memories-measuring-verbatim-extraction-across-llm-quantization\"\u003e9. Bits and Memories: Measuring Verbatim Extraction Across LLM Quantization\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e 新论文 + 代码 / 数据｜arXiv / GitHub\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者：\u003c/strong\u003e Akshay Sasi\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e日期：\u003c/strong\u003e 2026-07-28\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://arxiv.org/abs/2607.25451\"\u003e论文\u003c/a\u003e · \u003ca href=\"https://github.com/AkshaySasi/bits-and-memories\"\u003e代码\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 直接测量不同精度下训练数据的逐字抽取，而不是只使用 membership inference。量化确实比模型能力更快地降低逐字记忆，但四比特模型仍保留大部分已知记忆序列，且模型越大，量化后幸存的记忆比例越高。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 对 LLM privacy 的评价指标选择很有价值：membership signal 的下降不能等价为语义或逐字泄露风险下降。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e浏览论文，收藏代码和数据\u003c/strong\u003e；可用于支撑“隐私评价必须对齐实际泄露目标”的论述。\u003ca href=\"https://arxiv.org/abs/2607.25451\"\u003e论文及代码说明\u003c/a\u003e\u003c/li\u003e\n\u003c/ul\u003e\n\u003ch2 id=\"10-ellmo-packing--and-depth-aware-encrypted-transformer-inference\"\u003e10. ELLMo: Packing- and Depth-Aware Encrypted Transformer Inference\u003c/h2\u003e\n\u003cul\u003e\n\u003cli\u003e\u003cstrong\u003e类型 / 来源：\u003c/strong\u003e \u003cstrong\u003e论文版本更新\u003c/strong\u003e｜IACR Cryptology ePrint 2026/198\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e作者：\u003c/strong\u003e Seyda Nur Guzelhan、Lohit Daksha、Carlos Agulló Domingo 等\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e更新时间：\u003c/strong\u003e 2026-07-28\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e链接：\u003c/strong\u003e \u003ca href=\"https://eprint.iacr.org/2026/198\"\u003eePrint 论文\u003c/a\u003e\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e核心内容：\u003c/strong\u003e 面向 FHE Transformer inference，提出降低 ciphertext rotation 的矩阵乘法方案，并用 Statistical-max Softmax 与 DelayNorm 减少非线性层深度和 bootstrapping。更新版本报告在 encrypted BERT-Tiny 上相对基线约 1.4× 加速，bootstrapping 最多减少 46%，准确率损失为 0–1.5%。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e与你的方向关系：\u003c/strong\u003e 属于 LLM prompt confidentiality 的密码学相邻方向；相比语义隐私，它提供更强的内容机密性，但仍受模型规模、交互延迟和密文计算成本约束。\u003c/li\u003e\n\u003cli\u003e\u003cstrong\u003e建议：\u003c/strong\u003e \u003cstrong\u003e收藏 / 定向精读\u003c/strong\u003e；如果研究重点仍是 Agent 与 harness，可只关注其 threat model 和 deployability trade-off。\u003ca href=\"https://eprint.iacr.org/2026/198\"\u003eIACR 更新记录\u003c/a\u003e\u003c/li\u003e\n\u003c/ul\u003e\n\u003chr\u003e\n\u003ch2 id=\"今日优先阅读\"\u003e今日优先阅读\u003c/h2\u003e\n\u003cp\u003e\u003cstrong\u003eDREvo、Living-Harness、SafeFlow。\u003c/strong\u003e\u003c/p\u003e","title":"2026-07-31 热点论文推送"},{"content":"My name is Jiarui Li. I work at the intersection of AI security, applied cryptography, and practical systems, with a focus on LLM privacy and trustworthy AI.\nThis blog is where I turn reading and prototyping into structured notes—problem definitions, threat models, techniques, and what I think still doesn’t work.\nTopics I write about\nPrompt privacy \u0026amp; semantic leakage in LLM applications Threat modeling for enterprise LLM deployments Secure inference / privacy-preserving ML systems Integrity in federated learning ","permalink":"https://lazfore.github.io/about/","summary":"\u003cp\u003eMy name is Jiarui Li. I work at the intersection of \u003cstrong\u003eAI security\u003c/strong\u003e, \u003cstrong\u003eapplied cryptography\u003c/strong\u003e, and \u003cstrong\u003epractical systems\u003c/strong\u003e, with a focus on \u003cstrong\u003eLLM privacy\u003c/strong\u003e and \u003cstrong\u003etrustworthy AI\u003c/strong\u003e.\u003c/p\u003e\n\u003cp\u003eThis blog is where I turn reading and prototyping into structured notes—problem definitions, threat models, techniques, and what I think still doesn’t work.\u003c/p\u003e\n\u003cp\u003e\u003cstrong\u003eTopics I write about\u003c/strong\u003e\u003c/p\u003e\n\u003cul\u003e\n\u003cli\u003ePrompt privacy \u0026amp; semantic leakage in LLM applications\u003c/li\u003e\n\u003cli\u003eThreat modeling for enterprise LLM deployments\u003c/li\u003e\n\u003cli\u003eSecure inference / privacy-preserving ML systems\u003c/li\u003e\n\u003cli\u003eIntegrity in federated learning\u003c/li\u003e\n\u003c/ul\u003e","title":"About"}]