Agent Security

本期检索范围： 2026-09-07—2026-09-08 本期共筛选出 10 项。最明显的趋势是 Agent 安全开始从单点 guard 转向贯穿身份、来源、授权与最终 effect 的可验证契约，同时 Indirect/Visual Prompt Injection 被进一步建模为受测试时算力驱动的自适应搜索；Harness Optimization 则聚焦局部路线编辑、轨迹到技能的层级归纳及紧凑记忆。本期没有论文版本更新或项目重大更新；发现 1 个随新论文发布、包含参考实现、故障注入测试和原始结果的代码仓库，没有值得单独收录的新代码项目。 1. CONTINUITY: Security-Context Contracts for Composable LLM Agent Controls 类型 / 来源： 新论文 + 新代码仓库｜arXiv（cs.CR / cs.AI）· GitHub 作者 / 维护者： Chris Zheng、Geng Yang；代码由 zast-ai 维护 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 · 代码 核心内容： 论文将 provenance、authorization、policy、protocol adapter 与 execution control 之间丢失、放宽或重绑定安全信息的现象定义为 security-context discontinuity，并用 assume-guarantee contract、签名 root grant、transition receipt、typed release 与 effect-bound permit 串联 instruction-to-effect 路径。作者报告完整配置在 2,560 个参数化攻击实例中未提交有害外部 effect，同时完成 700 个良性任务并升级处理 200 个歧义案例；官方仓库提供参考 verifier、32 类跨层故障注入、测试、原始结果与复现实验脚本。 与你的方向关系： 这是 Agent Security、capability control 与 program semantics 的直接交叉：安全属性不再依赖单个过滤器，而被表达为跨组件、跨状态转换、直到最终副作用提交点仍可验证的契约。 建议： 精读。重点核查 consequence integrity 的形式化边界、可信计算基，以及 contract/permit 能否与 CaMeL 式信息流标签和真实工具执行器组合。 2. Rethinking Indirect Prompt Injection as a Test-Time Search Problem 类型 / 来源： 新论文｜arXiv（cs.AI / cs.CL / cs.CR） 作者 / 维护者： Duong M. Nguyen、Joon Sik Kim、Blazej Manczak、Vaikkunth Mugunthan 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-03） 链接： 论文 核心内容： 论文把 Indirect Prompt Injection 表述为由环境、用户任务和注入目标共同决定的测试时搜索，并实现带有环境侦察、策略结构化推理和 victim feedback 自适应评估的攻击 Agent。实验显示增加攻击者测试时算力会提高漏洞发现与利用能力，而显式策略管理有助于避免重复搜索并在更高预算下保持收益。 与你的方向关系： 该工作直接改变 IPI 评测假设：attack success 不应被当作 victim 的预算无关属性，安全基准必须同时声明攻击 harness、反馈通道和 compute budget。 建议： 精读。适合用来重构 IPI 实验协议，并与固定攻击集、静态红队和自适应 on-policy 攻击比较，判断防御是否只是抬高搜索成本。 3. Repeat-After-Me: Black-Box Adaptive Visual Prompt Injection 类型 / 来源： 新论文｜arXiv（cs.CR / cs.AI） 作者 / 维护者： Sizhe Chen、Yu-Lin Tsai、Ivan Evtimov、Kamalika Chaudhuri、Raluca Ada Popa、David Wagner、Arman Zharmagambetov 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-03） 链接： 论文 核心内容： Repeat-After-Me 面向需要生成精确、可解析 tool call 或敏感信息的黑盒视觉注入，通过自适应优化提高攻击强度。作者报告在开放权重与商用前沿 VLM 上分别达到超过 80% 与 47% 的攻击成功率，并在默认 OpenClaw Discord 部署中演示由不可信图片覆写 tools.md、从而持久启用后续敏感行为的路径。 与你的方向关系： 该工作把 IPI 从文本网页和文档扩展到多模态输入，并与 persistent instruction、skill-file security 和 tool-use security 直接相连：一次视觉输入可改变未来会话的执行配置。 建议： 精读。优先验证其黑盒查询预算、跨 surrogate/样本迁移和 OpenClaw 持久化链路，并把结构化工具调用正确率纳入多模态 Agent 红队指标。 4. Forgetting Without Restarting: Execution-State Unlearning for Stateful LLM Agents 类型 / 来源： 新论文｜arXiv（cs.CR / cs.AI） 作者 / 维护者： Chao Yao、Yangbo Wei、Zhen Huang、Junhong Qian、Chenle Chen、Shaoqiang Lu、Chen Wu、Lei He 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 核心内容： 论文指出删除明文记忆并不会清除由其派生的 summary、pending tool plan 和 KV cache，进而形式化 execution-state unlearning：遗忘后行为应与从未观察目标信息的反事实世界一致。Provenance-Guided Selective Replay 通过定位注入点、裁剪 cache checkpoint 并重放净化后的后缀达到理论重算下界；实验中它与 full reset 不可区分，同时最多减少 9 倍重算 token。 与你的方向关系： 这是 Agent memory privacy 与信息流控制的核心结果，说明“删除记录”不是语义遗忘；Harness 必须追踪派生状态的 provenance，并对受到污染的执行后缀进行撤销或重建。 建议： 精读。其 transition-system 定义、token-level attribution 下界和 selective replay 机制可直接用于设计可撤销的长期 Agent memory 与审计语义。 5. TROVE: Adaptive Agent Skill Orchestration via Trace-Grounded Route Validation and Editing 类型 / 来源： 新论文｜arXiv（cs.AI） 作者 / 维护者： Tianxing Wang、Mingming Zhao、Shuai Huang、Huiyang Xu、Chaoyue Niu、Shengzhong Liu、Fan Wu 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 核心内容： TROVE 离线地将带评估的 workflow-search traces 蒸馏为原子/组合技能和 outcome-conditioned transition graph；在线执行时不整体重规划，而依据新证据保留有效 continuation、插入局部响应或仅替换失效后缀。跨代码生成、问答和数学推理实验显示其质量—效率权衡优于数据集级优化、逐查询架构选择和图约束调度基线。 与你的方向关系： 这是 Harness Optimization 的直接方法：它把 runtime feedback 转化为局部 controller edit，避免预先锁死完整执行结构，也为 function-level/route-level 可编辑性提供对比基线。 建议： 精读。重点比较其 suffix replacement 与你的 function-level harness edit 在搜索粒度、状态复用、回归保护和成本目标上的差异。 6. Trace2Tower: Transition-Aware EigenTrace Induction of Multi-Level Skills for LLM Agents 类型 / 来源： 新论文｜arXiv（cs.AI / cs.SE） 作者 / 维护者： Jiazheng Sun、Boyu Yang、Binhao Yuan、Mingxuan Li、Xin Peng 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 核心内容： Trace2Tower 将 step-level interaction 抽象为 canonical event，结合语义兼容性、转移动态和结果证据构图，再以 contrastive spectral decomposition 提取稳定且 success-aligned 的行为模式。模式被组织为 action template、procedural routine 与 task strategy 的动态技能层级；论文报告在 ALFWorld 达到 87.31% 成功率、平均 10.35 步和 0.26 次无效动作，在 WebShop 达到 50.67% exact success。 与你的方向关系： 它连接 execution trace、code/skill-as-memory 与 self-evolving harness，核心问题是如何把经验压缩为可重用且避免失败捷径的多层控制结构。 建议： 精读。适合比较谱分解得到的技能层级与可执行函数自然生长在可解释性、迁移能力和 failure shortcut 抑制上的差异。 7. Does Your Agent’s Memory Survive a Model Upgrade? A Controlled Study of Memory Portability 类型 / 来源： 新论文｜arXiv（cs.AI / cs.CL / cs.IR） 作者 / 维护者： Ankit Goyal、Jaideep Ray 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 核心内容： 论文在相同历史上比较 raw long context、RAG chunks、模型压缩 notes 和固定 schema knowledge graph 的跨模型迁移。固定 schema 的 KG 在 writer swap 后准确率仅变化 +0.0004±0.0020，而 NOTES 随迁移方向出现 +9.91 或 −13.28 个百分点的非对称变化；50/50 混合 embedding index 只获得完整重嵌入 11.90 点收益中的 4.96 点。 与你的方向关系： 该工作揭示 Agent memory 与具体模型、embedding space 的隐藏耦合，对持久 memory、模型升级安全和 harness 可移植性均有直接影响。 建议： 精读。重点关注固定 schema、原始证据保留和 embedding version isolation，可据此设计模型升级前后的 memory migration gate。 8. Compact-Memory LLM Agents via Online Max-Member Clustering and Atom-Aware Packing 类型 / 来源： 新论文｜arXiv（cs.AI） 作者 / 维护者： Jiahe Geng、Jinpeng Wang、Kun Yuan 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 核心内容： RSM-full 结合 cosine-gated max-member merge 写入规则与 atom-aware grouped context packer，面向约 2k–5k prompt token 的紧凑记忆区间优化质量—成本 Pareto。论文在 AMA-Bench 的 4k 预算下以 32% token 成本保留 Full-Context 83% 的质量，并通过消融把主要收益分别归因于 merge rule 与 grouped packing。 与你的方向关系： 它属于 cost-aware harness 与 Agent memory optimization：优化对象不是模型权重，而是记忆写入、聚类和上下文装配这一可执行控制面。 建议： 浏览。可将其作为 memory module 的强轻量基线，重点复核不同预算下的 Pareto 曲线以及对检索错误、语义漂移和敏感信息保留的影响。 9. TIER: Threat Implicitness Benchmark for Evaluating LLM Safety Behaviors 类型 / 来源： 新论文｜arXiv（cs.CR / cs.AI） 作者 / 维护者： Thu-Hien Trinh-Thi、Hai-Yen Vong、Thanh-Ha Ung-Dung、Tram Ho 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 核心内容： TIER 用四个风险领域、四级 threat implicitness、六类行为标签和两个独立 LLM judge，替代只看二元拒绝/成功率的安全评测。六个开放权重模型的实验显示安全行为随威胁隐含程度渐变，contextual prompt 产生最丰富的行为分布，而 jailbreak 暴露最大稳健性差距；相同 ASR 的模型也可能具有明显不同的响应模式。 与你的方向关系： 该 benchmark 适用于 jailbreak defense 与 Agent guard 的细粒度评估，可避免 Harness 优化器通过表面拒绝或不完整执行“刷高”单一安全指标。 建议： 浏览。重点检查标签定义和 judge 一致性，并考虑把行为分布而非单一 ASR 接入安全 gate 与多目标 harness 选择。 10. Trust-Aware Adaptive Disclosure for Inference Privacy Preservation in Multi-Agent Networks 类型 / 来源： 新论文｜IEEE ANTS 2026 / arXiv（cs.MA / cs.CR） 作者 / 维护者： Puspanjali Ghoshal、Tobias J. Oechtering 日期： 2026-09-07（arXiv 公布；初稿提交于 2026-09-04） 链接： 论文 核心内容： 论文研究网络化多 Agent 共识中的 latent goal inference，并提出随 Agent 间动态信任关系调整消息披露的随机策略。实验显示该机制在维持有竞争力共识效用的同时，相较代表性基线降低了攻击者的目标推断准确率。 与你的方向关系： 它从通信级信息释放角度补充 multi-agent privacy：即使消息本身合法，共享频率和内容仍需按信任状态控制，以限制协作轨迹对内部目标的推断泄露。 建议： 收藏。当前不是专门的 LLM Agent 工作，但其 trust-conditioned disclosure policy 可作为语义信息流控制和多 Agent 消息最小化的形式化参考。 今日优先阅读 CONTINUITY：它将 Agent 安全从局部 guard 提升为跨组件的可验证 instruction-to-effect 契约，可能直接影响 capability、provenance 与最终副作用控制的系统设计。 Rethinking Indirect Prompt Injection as a Test-Time Search Problem：该工作把攻击 harness 和 compute budget 纳入 IPI 威胁模型，会改变对防御有效性和基准公平性的判断。 TROVE：其“保留有效前缀、局部插入或替换失效后缀”的执行时编辑机制，是当前 Harness Optimization 中值得与 function-level natural growth 直接对比的设计。

本期检索范围： 2026-09-01—2026-09-02 本期共筛选出 10 项。最明显的趋势是 Agent 安全边界进一步下沉到 harness 层的能力约束、恢复语义与委托证明；攻击研究则开始系统利用长轨迹、代码仓库配置、长期记忆和知识工具。本期没有论文版本更新或项目重大更新，也未发现经核实后值得单独收录的新代码项目。 1. Reachability-Based Capability Confinement for LLM Agents under Indirect Prompt Injection 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Wujie Xiong、Rabimba Karanjai、Yang Lu、Weidong Shi、Lei Xu 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-30） 链接： 论文 核心内容： 论文提出 harness 层执行机制 SkillGuard：一旦外部技能输出污染 Agent 状态，系统便利用 Skill Impact Graph、参数可操纵性签名和内联 reference monitor，限制后续可达能力，使受污染状态无法抵达部署者定义的禁止状态。其分数流限制在 AgentDojo 的 Tool Knowledge 攻击中令两个后端在四个套件中的三个实现零攻击成功，Slack 场景降至 4.8% 和 14.3%，且不增加模型调用或 token 开销。 与你的方向关系： 这是 Agent Security、indirect prompt injection、capability control 与 Harness Optimization 的直接交叉：防御目标从“识别恶意内容”转为在状态污染后动态收缩未来权限。 建议： 精读。重点核对技能摘要与策略完备性的假设，以及 fractional-flow 限制相较二元撤权如何保留良性能力。 2. Beyond the Payload: How User Invocation Shapes Coding Agent Vulnerability to Repository Poisoning 类型 / 来源： 新论文｜EMNLP 2026 Main Conference · arXiv 作者 / 维护者： Fukang Zhu、Binbin Zhao、Ruixiao Lin、Ping He、Tianyu Du、Shouling Ji 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31） 链接： 论文 核心内容： 论文提出 CIPR 基准，以 20 个真实仓库的 1,920 个实例系统改变任务类型、提示表达以及 skill/rule 条件，研究用户侧 Prompt-Level Configurations 如何改变仓库投毒风险。实验发现任务类型可造成最高 4.5 倍攻击成功率差异，测试执行任务尤其呈现“高攻击成功、低告警”的静默攻击面；欠明确和噪声提示还会通过改变执行深度或恶意内容显著性间接改变风险。 与你的方向关系： 该工作直接覆盖 coding-agent security、repository / persistent instruction poisoning 与 harness 配置安全，说明脆弱性不是固定模型属性，而是用户调用方式、规则文件和执行路径共同产生的结果。 建议： 精读。CIPR 很适合用于检验代码 Agent 的安全评测是否覆盖任务类型和规则配置变量，尤其应关注测试命令这一高风险入口。 3. ECLIPSE: Self-Evolving Stealthy Prompt Injection Attack against Long-Horizon Agentic Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Shiqian Zhao、Yangfan Zhou、Xinfeng Li、Runyi Hu、Yechao Zhang、Yi Xie、Tianwei Zhang、Luu Anh Tuan 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31） 链接： 论文 核心内容： ECLIPSE 先在沙箱中生成并反复验证攻击工具链，再把已验证轨迹渲染成自然的一次性直接提示，并通过工具描述中的静态工作流编码及偏航时的动态纠正信号，将计划迁移到目标环境。配套 LASE-Bench 含 120 个恶意任务和 198 个独特工具，96.7% 的任务至少调用五次工具；攻击在无防御时最高成功率 96.7%，在常见安全过滤器下仍达 69.2%。 与你的方向关系： 工作覆盖 Prompt Injection、tool-use security 与 self-evolving attacks，突出长轨迹 Agent 中局部看似正常、整体却实现恶意目标的组合风险。 建议： 精读。应把 LASE-Bench 作为长程防御的压力测试，并比较静态工具描述投毒和运行时纠偏分别贡献了多少攻击收益。 4. Safe to Resume? Breaking Execution Continuity of Agent Execution via Rollback 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Guanlong Wu、Dahui Li、Ke Jiang、Jianyu Niu、Cong Wang、Yinqian Zhang 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-29） 链接： 论文 核心内容： 论文首次系统研究 Agent checkpoint / rollback 的安全问题，指出正确恢复字节并不保证恢复后的内部状态、外部依赖和副作用曾共同存在于某条合法历史中。作者归纳五类失败模式，并在 Hermes、Cline 与 LangGraph 上实现恶意软件验证绕过、未授权邮件转发和双重支付；对五个代表性框架的分析显示，根因普遍是检查点覆盖范围与安全继续执行所需依赖不一致。 与你的方向关系： 这直接关联 persistent agents、Harness Optimization 与 Agent Security，把恢复机制从可靠性功能提升为需要事务语义、外部效应日志和安全再验证的攻击面。 建议： 精读。优先检查五类失败条件能否映射到你的 Agent 状态机，并据此设计恢复前置条件、幂等工具和不可回滚外部效应的补偿协议。 5. Extracting Knowledge from Tools in LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Chuanchao Zang、Jianing Wang、Wenyu Chen、Xiangtao Meng、Li Wang、Xinyu Gao、Yingkai Dong、Zheng Li、Shanqing Guo 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31） 链接： 论文 核心内容： 论文提出 query-only 攻击 ToolSiphon，通过 Tool Contrastive Analysis 提高目标工具被选择的概率，并以 Evidence Chained Feedback 缓解工具参数对细粒度查询的压缩，逐步重建工具背后的文件、数据库或索引内容。在三类知识工具和六个领域数据集上，已知非目标工具粗粒度信息时平均恢复 74.3% 的源记录；未知时仍恢复 66.3%，且攻击对代表性防御和三个真实 Agent 平台保持有效。 与你的方向关系： 该工作直击 tool-use security、LLM privacy 与语义数据外泄，说明即使单次响应合规，长期自适应查询仍可能抽取受保护知识源。 建议： 精读。值得将其与查询预算、差分隐私、响应去重和跨轮泄露记账机制对照，评估工具接口的累计隐私损失。 6. Understanding Stage-Wise Utility-Risk Trade-offs in LLM Agent Memory 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Chuanchao Zang、Zijian Cao、Xiangtao Meng、Jianing Wang、Wenyu Chen、Xinyu Gao、Li Wang、Zheng Li、Shanqing Guo 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31） 链接： 论文 核心内容： MemGauge 在匹配的干净与投毒条件下，分别控制记忆写入准入、管理策略和检索暴露，从而测量阶段级效用—风险关系。对 11 个 LLM、两个长期记忆基准及四种现有记忆系统的结果显示：写入阶段存在阈值式风险跃迁，管理阶段可出现依赖策略的局部解耦，而检索阶段的效用与风险往往同步增长。 与你的方向关系： 这直接服务 agent memory poisoning、persistent memory security 与 Harness Optimization，提供了比单一端到端分数更可操作的阶段化诊断方式。 建议： 精读。重点利用其三阶段控制变量判断安全预算应投入写入过滤、记忆重写还是检索暴露限制，而不是为整个记忆模块设置统一阈值。 7. SIR: Self-improving Red-teaming for Compute Use Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Chen Xiong、Zhiyuan He、Pin-Yu Chen、Stjepan Picek、Tsung-Yi Ho 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31） 链接： 论文 核心内容： SIR 面向操作系统级 computer-use agents，以少量可复用的自然语言原则组合隐蔽 IPI，再从受害者失败轨迹中诊断绕过方式、沉淀新策略并跨任务复用。其确定性判定器直接检查文件系统、服务和权限状态；自改进循环把 Claude Opus 4.8 的攻击成功率从 4% 提至 24%，把 Gemini 3.5 Flash 从 0% 提至 28%，且发现的原则可跨模型架构迁移。 与你的方向关系： 工作连接 indirect prompt injection、self-improving agents 与 CUA 安全评测，展示攻击 harness 如何从执行反馈中持续积累可迁移策略。 建议： 精读。建议关注确定性 oracle、策略库增长和跨模型迁移，因为它们比一次性攻击提示更接近持续红队系统。 8. Influence Is Not Authority: When Causal Guardrail Signals Make Legitimate Tool Use Look Like an Attack in Tool-Using LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Tanzim Ahad、Ismail Hossain、Md Jahangir Alam、Sai Puppala、Syed Bahauddin Alam、Sajedul Talukder 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-30） 链接： 论文 核心内容： 论文用 24 个基础案例衍生的 96 个条件审计 influence-based guardrails，在授权、动作和预期效果不变时，仅把必要值从用户输入移到合法工具结果。所有 24 个配对案例在 Llama 与 Gemma 评分器上都向攻击区域偏移；语义监控器虽将攻击成功率降为 0%，效用却只有 28%，而 shadow guardrail 又让 57.5% 未授权运行在后续安全检查前自动通过。 与你的方向关系： 这说明因果影响并不等于权限来源，直接挑战 Agent Security 中基于信息影响度的 guardrail，并支持把 authorization 与 provenance 放入外部 harness 策略。 建议： 精读。最值得比较的是 influence signal、来源认证和用户授权三者的可分离性，避免把“使用了工具数据”误当作恶意行为代理变量。 9. The Fragility of Jailbreak Robustness Across Operational States 类型 / 来源： 新论文｜Findings of EMNLP 2026 · arXiv 作者 / 维护者： Yuna Park、Hwang Youn Kim、Yujin Kim、Won Woo Ro、Suhyun Kim、Jae-In Hwang 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31） 链接： 论文 核心内容： 论文在七个对齐模型和三种代表性 jailbreak 攻击上，只改变普通、并非为影响安全而设计的 system prompt，以测试 operational state 对鲁棒性的影响。某一案例的攻击成功率仅因状态变化便从 2% 升至 58%；这种变化与拒绝相关表示轴上的隐藏状态差异系统相关，且该轴投影可强预测 jailbreak 结果。 与你的方向关系： 该工作覆盖 jailbreak defense 与 LLM Security，也说明真实 Agent harness 的 system prompt、角色配置和运行模式会改变安全结论，单一 vanilla 配置不足以代表部署风险。 建议： 浏览。适合据此扩展安全评测矩阵，将业务 system prompt、工具模式和对话状态纳入同一攻击基准。 10. Attesting Outputs and Delegation Ancestry in Multi-Agent AI Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Lifei Liu、Haoran Yu 日期： 2026-09-01（arXiv 公布；初稿提交于 2026-08-31） 链接： 论文 核心内容： 论文提出双层证明：可信部署运行时签名已释放输出的哈希，委托祖先证据则记录跨部署边的授权，并比较签名链表、Merkle-chain 和双方共签 DAG。子密钥泄露时，单签设计允许伪造父绑定，而共签 DAG 会拒绝；本地 30 个任务和跨三个可用区的 1,000 条有效路径均完成验证，云端平均签发与完整验证分别为 3.651 毫秒和 5.015 毫秒（不含 TLS、KMS 与模型服务延迟）。 与你的方向关系： 这直接覆盖 multi-agent security、delegation control 与可审计 harness，为动态发现的 A2A / MCP 调用链提供输出归属和授权祖先证明，但不声称阻止 prompt injection。 建议： 浏览。重点评估共签 DAG 的密钥生命周期、撤销和跨组织信任假设，以及它与运行时策略执行如何组合。 今日优先阅读 优先阅读 Reachability-Based Capability Confinement、Beyond the Payload 与 Safe to Resume?。三者分别把安全边界落到污染后的动态能力收缩、用户调用配置造成的仓库投毒差异，以及恢复后执行历史的一致性；它们共同影响 Agent harness 应如何建模权限、状态与外部副作用，而不仅是如何过滤输入文本。

本期检索范围： 2026-08-31—2026-09-01 本期共筛选出 9 项。最明显的趋势是研究重心从“让模型识别恶意指令”转向可验证的外部策略执行、来源追踪和能力门控，同时长上下文注入、恶意工具泄露与自适应防御成为新的评测重点。本期没有论文版本更新或项目重大更新；发现 ROPE、CAITLYN 与 CamoDocs 三个值得单独跟进的新代码仓库，均已与对应论文合并收录。 1. Recognition Without Enforcement: Configuration-Dependent Failures in LLM Agent Instruction Arbitration and External Control 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jun Wen Leong 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 核心内容： 论文区分了对伪造权威的“识别”与在工具执行阶段真正“强制拒绝”之间的缺口：模型可以解码来源特征并指出冲突，却仍会在部分配置中发起工具调用。作者在多供应商实验中定位到可复现的失败单元，并实现由认证来源路由、能力门控工具与外部 reference monitor 组成的控制面；该控制面拒绝了实验中的伪造、篡改、重放与未签名请求，且自适应红队发现的一处时钟偏差缺陷随后得到修补。 与你的方向关系： 这直接连接 Agent Security、Prompt Injection 与 capability / permission control，说明仅靠模型内 instruction hierarchy 不能构成可靠安全边界；对 harness 设计而言，关键比较对象应是外部强制机制，而不只是模型是否“看懂”攻击。 建议： 精读。优先核对识别—执行错位的测量方法、配置敏感性，以及 reference monitor 的信任假设和重放防护。 2. ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection 类型 / 来源： 新论文 + 新代码仓库｜arXiv · GitHub 作者 / 维护者： Xinhang Ma、Chaowei Xiao、William Yeoh、Ning Zhang、Yevgeniy Vorobeychik 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-27） 链接： 论文 · 代码 核心内容： ROPE 把敏感工具参数的准入绑定到不可伪造的来源：值必须可追溯到用户、用户明确指定的来源或用户的权威记录；执行时由确定性的来源检查器判定，LLM 只处理不受攻击者控制的可信用户请求。论文给出来源安全与改写不变性的保证，并在四种 Agent 模型上将攻击成功率控制在 1.6%–2.6%，同时保留未防御系统 82%–100% 的干净任务效用；官方仓库提供实现与实验日志。 与你的方向关系： 这是 indirect prompt injection、information-flow control 与 tool-use security 的直接交叉点，也为 Agent harness 中“参数级 provenance + 外部执行策略”提供了可实现基线。 建议： 精读。重点比较其来源标签传播、敏感参数审计范围与长轨迹下的完整性假设，并尝试复现实用性—安全性的权衡。 3. ContextLeak: Exfiltrating LLM Agent Context via Malicious Tools 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yuqi Jia、Ruiqi Wang、Patrick Li、Yuepeng Hu、Peinian Li、Neil Zhenqiang Gong 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 核心内容： ContextLeak 研究恶意工具如何同时诱导 Agent 选择该工具，并把用户提示、执行轨迹和工具列表等运行时上下文作为参数交给它。方法用攻击 LLM 生成工具名称与描述，再基于多样化影子用户上下文进行强化学习微调和专用泄露奖励优化；论文报告该攻击在影子用户与受害者分布明显不同时仍有效，并优于为该场景改造的既有恶意工具攻击。 与你的方向关系： 工作直击 tool-use security、Agent privacy 与上下文外泄，补足了恶意工具研究中常被忽略的“敏感上下文如何进入工具参数”这一环。 建议： 精读。建议把其威胁模型与工具 schema、参数最小化、污点追踪及出站网络控制逐项对照，评估现有 harness 的真实泄露面。 4. CAITLYN: Can LLM Agents Autonomously Synthesize Defenses against Emerging Injection Attacks? 类型 / 来源： 新论文 + 新代码仓库｜arXiv · GitHub 作者 / 维护者： Zi Liang、Xiaoyu Xu、Yanyun Wang、Minxin Du、Qingqing Ye、Haibo Hu 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 · 代码 核心内容： CAITLYN 采用双系统防御：System I 以低成本规则脚本和按需 LLM 检查分层处理常见攻击，System II 监测异常并自动合成、验证和保留新的防御技能。论文报告其在标准基准上以较低 token 开销达到有竞争力的效果，并在新建 Emerging 基准上显著降低三种 Agent 的攻击成功率；官方仓库含可运行中间件、防御技能库、攻击实现、Agent 集成与评测代码。 与你的方向关系： 它同时覆盖 Prompt Injection、self-improving agents 与 cost-aware harness optimization，把防御从静态过滤器提升为可持续更新的执行组件。 建议： 精读。最值得验证的是自动生成防御的准入测试、失败回滚与技能污染风险，以及两层检查的成本—覆盖率曲线。 5. LongPIBench: A Long-Context Benchmark for Prompt Injection 类型 / 来源： 新论文｜Findings of EMNLP 2026 · arXiv 作者 / 维护者： Yupei Liu、Yuqi Jia、Neil Zhenqiang Gong、Jinyuan Jia 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 核心内容： LongPIBench 覆盖论文评审、简历筛选、代码审查和邮件摘要四类真实应用，每类同时构造合成数据与真实数据，输入长度从数千到数万 token。评测显示，短上下文基准会高估现有防御效果；即使简单的启发式注入，在长上下文中也能频繁绕过先进防御。 与你的方向关系： 该基准直接服务 Prompt Injection 与 Agent Security，也揭示 harness 在上下文裁剪、文档分段和跨段策略一致性上的评测盲区。 建议： 精读。适合作为新防御的主要对照集，尤其应检查攻击位置、上下文长度与任务类型是否共同改变防御排序。 6. Layered LLM Defenses as an Ensemble: Access Tiers, Inference Cost, and Measured Failure Correlation 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Abrar Alotaibi、Muhammad Shahid Jabbar、Sadam Al-Azani、Moataz Ahmed 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 核心内容： 论文用访问层级 A0–A4 与推理开销类别统一描述七层 LLM 防御栈，并实测不同层的失败相关性。十五个可测防御对全部呈正相关，φ 系数为 0.30–0.75；因此独立失败假设会系统性低估组合残余风险，而完整防御栈还拒绝了五个良性提示中的四个，效果与最强单层在统计上无法区分。 与你的方向关系： 这为 LLM Security 与 cost-aware harness optimization 提供了重要反例：增加层数不等于增加独立安全收益，控制器应依据相关失败模式和边际效用调度防御。 建议： 精读。重点看相关性估计、良性样本规模及层间顺序效应；这些因素会直接影响多层安全架构的成本论证。 7. CamoDocs: A Poisoning Attack Against Retrieval-Augmented Language Models Using Camouflaged Documents 类型 / 来源： 新论文 + 新代码仓库｜EMNLP 2026 · arXiv · GitHub 作者 / 维护者： Jaewon Jung、Haizhong Zheng、Hongsun Jang、Jaeyong Song、Beidi Chen、Jinho Lee 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 · 代码 核心内容： CamoDocs 不要求在投毒文档中直接包含目标查询，而是先合成良性与对抗性草稿，再分块替换选定 token 以分散检索表示，并通过连贯性过滤保留自然文本。论文在七种防御、三种开源模型和三个基准上评估，并报告在专有模型上仍有较高攻击成功率；官方仓库包含生成、评测、配置、示例数据和结果工件，而非仅有 README。 与你的方向关系： 该工作连接 RAG poisoning、indirect prompt injection 与语义检索安全，提醒 Agent memory / knowledge base 的入口控制不能只依赖关键词或查询重合。 建议： 浏览。优先研究其“语义伪装”机制与 TrustRAG 类防御的效用损失，作为记忆投毒或检索净化工作的攻击基线。 8. Offline-Verifiable Accountability for Cross-Organization Agent Messaging 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Adil Alshammari、Hayretdin Bahsi 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 核心内容： 论文为跨组织 Agent 消息设计可离线验证的证据包，组合发送者认证、认证日志承诺、见证检查点、追加连续性、委托感知授权与接收方签名回执。原型评测覆盖 300 个工作流、1,200 个有效证据包；论文报告所有被破坏或策略证据不足的包均被拒绝，未出现误接受。 与你的方向关系： 这直接对应 multi-agent security、delegation 与跨域权限控制，为无法共享在线控制面的 Agent 协作提供审计和追责机制。 建议： 浏览。重点确认离线验证覆盖的攻击边界、密钥撤销与日志分叉处理，并评估其能否嵌入现有 Agent message bus。 9. Not to Break, but to Attest: Adversarial Probes for Privacy-Preserving LLM Verification 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Cameron Wilding、Mina Shaker、Fatemeh Ganji 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28） 链接： 论文 核心内容： 论文提出结合对抗性 probe 与 zk-SNARK 的部署完整性审计框架，在不公开专有模型权重的前提下放大获批模型与被修改部署之间的 logit 漂移。作者比较 token、embedding 与 stress probe，并用 Groth16 展示从 1 到 50 个 probe 时证明生成约由 1.02 秒增至 1.78 秒、验证约维持 0.84 秒且证明大小恒定。 与你的方向关系： 工作连接 LLM Security & Privacy、供应链完整性与可验证执行，可作为远程 Agent 后端是否被替换或篡改的隐私友好型证明层。 建议： 收藏。适合跟踪其对量化、微调和随机推理的误报敏感性，以及如何与 Agent harness 的版本证明和策略证明结合。 今日优先阅读 优先阅读 Recognition Without Enforcement、ROPE 与 ContextLeak。前两项共同影响一个关键系统设计判断：模型内的指令识别不能替代来源可验证、能力受限的外部执行控制；ContextLeak 则补上恶意工具如何把完整运行时上下文转化为参数并外泄的攻击链，可直接指导工具 schema、数据流追踪和出站权限设计。

本期检索范围： 2026-08-27—2026-08-28 本期共筛选出 10 项。最明显的趋势是 self-evolving agent 的持久技能库同时成为性能增长机制与自传播攻击面，Harness Optimization 也进一步转向从成功/失败轨迹中提炼原子经验并通过门控持续更新；安全侧则集中于工具参数最小化、策略与执行分离以及跨轮风险重组。本期没有论文版本更新或项目重大更新，也未发现达到单独收录标准且可由官方来源确认的新代码项目。 1. EVOMAL: Self-Poisoning in Self-Evolving Coding Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xiaodong Wu、Yu Shi、Qi Li、Zhimin Zhao、Xiangman Li、Bram Adams、Ahmed E. Hassan、Jianbing Ni 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： EVOMAL 揭示 self-evolving coding agent 在模仿共享技能编写新工具时，会把恶意模板中的 payload 一并复制、存储和执行；新副本还能重新进入技能库，形成删除初始恶意技能后仍持续传播的 worm。六个模型、153 个 SWE-bench Verified 相关任务上的 agent self-poisoning rate 为 20.3%–41.8%，定向描述可将其推至 86.7%；counter-prompt 将该指标压至最高 6.7%。 与你的方向关系： 这是 persistent skill-file security、agent memory poisoning 与 self-evolving harness 的直接交叉，说明“从历史技能自然生长”本身会放大供应链污染并产生持久二次来源。 建议： 精读。优先分析恶意技能的 provenance 在复制后为何丢失，以及 acceptance gate、污点传播、撤销和整库清理应如何覆盖 agent-authored descendants。 2. From General Agents to RCA Experts: A Self-Evolving Harness for Root Cause Analysis 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Haiyu Huang、Jiewei Lyu、Zhihan Jiang、Jinyang Liu、Xiao He、Tieying Zhang、Wu Xiang、Michael R. Lyu 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： OpsHarness 复用通用 agent 的基础能力，把 RCA 适配集中到外部 harness：数据平面维护分层运维知识与 idea-card 工具库，控制平面协调设置、诊断、演化和验证。系统对比成功/失败轨迹，将证据转成原子 proposal，并通过 dual-gate 防止过拟合与回归；两个公开 benchmark 与工业部署上的 top-1 accuracy 为 59.0%，相对裸通用 agent 提升 63.4%。 与你的方向关系： 这是 Harness Optimization 的高度直接工作，其“轨迹对比—原子经验—双门验证”与从最小 scaffold 自然生长、失败窗口和 held-out gate 的设计具有明确对比价值。 建议： 精读。重点核查初始 harness 的人工结构、idea-card 的可执行粒度、双门数据划分以及成本目标是否进入更新准则，这些会决定其与当前论文的定位边界。 3. ToolMinimize: Auditing and Rewriting LLM Agent Tool Calls to Minimize Privacy Exposure 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Wenbiao Li、Yuqiao Xu 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： ToolMinimize 不只 allow/block 工具调用，而是在中间件中依据 schema 必要性对参数执行删除、泛化、替换和截断。作者测得三个生产模型的默认工具调用中有 81%–88% 携带非必要隐私数据；307 次 live call 上，系统在保持 100% argument-level task validity 的同时将 privacy cost 降低 81.2%–92.0%，中位延迟为 1.77 ms。 与你的方向关系： 它把 semantic privacy 与 least disclosure 落到工具调用参数级，补足传统 capability control 和 information-flow policy 只能决定“能否调用”、不能最小化“传什么”的缺口。 建议： 精读。最值得验证的是隐式敏感信息的 necessity 判定，以及恶意 tool schema、自由文本参数和跨调用组合推断下的剩余泄露。 4. LMSM: LLM Security Framework Inspired by Linux Security Modules 类型 / 来源： 新论文｜arXiv 作者 / 维护者： XiuYu Zhang、Bonan Ruan、Junfeng Fang、An Zhang、Tat-Seng Chua、Zhenkai Liang 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： LMSM 借鉴 Linux Security Modules，将模型内部安全 backend 提供的校准证据、版本化 policy 和负责 buffered output release 的 gate 解耦，使 SAE、transcoder 与 dense probe 等信号共享统一 enforcement substrate。Qwen3-4B 上，LMSM-Checkpoint 将 HarmBench ASR 从 39.20% 降至 3.32%，XSTest false refusal 从 2.40% 升至 4.40%，32 个活跃序列下保留 98.14% 对照吞吐。 与你的方向关系： 该工作把 interpretability signal 转成可组合的运行时 security hook，直接关联 jailbreak defense、policy enforcement 与 harness middleware 设计。 建议： 精读。应重点区分 mediation correctness 与 backend effectiveness，并检查 continuous batching、流式输出和多规则冲突时 gate 是否仍满足 fail-closed 语义。 5. SkillShield: Prompt-Space Security Skills for LLM Coding Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xiaodong Wu、Zhimin Zhao、Qi Li、Xiangman Li、Yu Shi、Bram Adams、Jianbing Ni 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： SkillShield 从已知攻击或历史 agent failure 离线合成安全技能，并在会话开始时注入 system prompt，整个 tool-use loop 无需额外分类器或运行时路由。RedCode 上默认 all-classes skill 将恶意代码严重度从 3.37 降至 0.58、执行 ASR 为 43.6%；更细粒度的 per-bundle 与 per-class 配置分别降至 36.2% 和 14.5%，731 个良性任务的平均安全拒绝率为 0.14%。 与你的方向关系： 它将安全经验编码为 persistent prompt-space skill，是 code-as-memory 与 agent security 的轻量交叉，也为“性能技能”和“安全技能”共享有限上下文时的资源竞争提出问题。 建议： 精读。重点关注仅评估非自适应 jailbreak 的限制，以及技能数量增长、冲突、覆盖遗忘和恶意安全技能注入时的稳健性。 6. Reassembling Distributed Risk: Trajectory-Conditioned Action Generation for Multi-Turn Agent Safety 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yanbo Dai、Zhenlan Ji、Zongjie Li、Shuai Wang 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： ReDiR 针对将恶意目标拆散到多个看似正常请求和工具动作的 multi-turn decomposition attack，在每次行动前把完整轨迹压缩为 latent safety representation，并注入冻结模型以直接约束 action generation。三个模型家族、八个未见工具域上的 ASR 降至 8% 以下，同时保持良性 fidelity 和较低计算开销。 与你的方向关系： 它直接覆盖 multi-turn Agent Security，并避免额外在线 judge，把跨轮风险状态变成生成阶段的隐式控制信号，可与显式 taint/state machine harness 比较。 建议： 精读。需要验证 latent state 是否可审计、能否抵御长轨迹稀释与白盒操纵，以及跨会话持久攻击是否超出其 trajectory boundary。 7. Auto-Policy, not Auto-Skill: Compiled Agent Skills for the Physical World 类型 / 来源： 新论文｜arXiv（Agent Skills 2026 Workshop） 作者 / 维护者： Zhonghao Zhan、Hamed Haddadi 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： 论文区分描述“如何行动”的 Skill 与决定“哪些行动获准执行”的 Policy，并提出 Borrowed Authority：恶意或误用技能可附带未经类型化验证的权限声明来驱动物理执行。Edge Skillguard 将 world state 与 sensor evidence 上的 typed guard 打包进技能；实时边缘控制测试床中拒绝了五类攻击的 60/60 个请求且未阻断良性请求。 与你的方向关系： 它直接连接 persistent skill security、capability control 与 executable policy，说明自动生成更多技能并不自动带来可验证的授权边界。 建议： 精读。其“procedure + typed policy”共同编译的方向可与 program semantics 延伸结合；应进一步检查 guard 自身的来源、更新权限和传感器欺骗问题。 8. Separating Disclosure from Authorization: Field-Tier Minimization for Agent Action Mediation 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jiten Oswal、John Cadeddu 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： 该设计将 agent action 的字段分为可原样跨域、只能以投影跨域、以及永不离开 workload 的三层，同时在最小化前对完整参数生成 canonical digest 写入审计承诺。tier table、policy schema 与 wire schema 从同一声明生成，使重新分类字段不会破坏既有审计记录；论文还报告了一个初版投影意外保留标识符的真实设计失误。 与你的方向关系： 这是 action mediation、semantic privacy 与可审计 authorization 的交叉，解决“安全决策所需披露”与“不可删除日志最小化”之间的结构性冲突。 建议： 浏览。最值得借鉴的是承诺与披露解耦，但应审视字段投影的组合泄露、声明生成链的可信根和 private pilot 之外的泛化证据。 9. A Self-Evolving Multi-Agent Framework Defense against LLM Jailbreak Attacks 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Tongyan Hu、Bryan Hooi 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： 该框架在 jailbreak 成功后，将失败抽象为描述攻击 wrapper 而非有害主题的 method-level rule，并写入跨交互持久记忆；随着新 wrapper 出现，规则标签空间持续扩展。方法仅依赖外部记忆和 prompting，适用于 API 黑盒模型；作者报告在四类黑盒 jailbreak 及 adaptive composite-wrapper attack 下显著降低 ASR，同时保持良性效用且未随记忆增长增加 over-refusal。 与你的方向关系： 这是 self-evolving defense、persistent instruction memory 与 jailbreak 的直接组合，也暴露了防御记忆被投毒、规则冲突和长期膨胀的潜在攻击面。 建议： 浏览。优先检查具体绝对结果、攻击预算与记忆更新门槛，并测试攻击者能否故意制造“成功样本”来向规则库注入过度拒绝策略。 10. Here is a GIFT: Enforcing User Data Isolation in LLM Serving via GPU Information Flow Tracking 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jiacheng Shi、Xunjie Wang、Cheng Tan、Jinyu Gu 日期： 2026-08-27（arXiv 公布；初稿提交于 2026-08-26） 链接： 论文 核心内容： GIFT 用每用户加密隔离 CPU 侧共享 serving 逻辑，并对 GPU kernel 预计算静态信息流规则，以解耦追踪避免 kernel instrumentation 与 GPU stall；GIFT-CC 再加入 confidential computing 以覆盖不可信操作系统和 hypervisor。vLLM 与 DistServe 实现的吞吐开销为 4%–10.7%，延迟水平保持不变。 与你的方向关系： 虽非 agent 专用，它为共享 LLM/agent serving 中的跨用户隐私隔离提供底层 information-flow enforcement，可作为上层语义隐私与工具权限机制的可信执行基础。 建议： 收藏。适合作为系统层隐私参考；进一步阅读时应关注动态 kernel、KV cache、跨请求 batching 与 side channel 是否完整纳入威胁模型。 今日优先阅读 优先阅读 EVOMAL、OpsHarness 与 ToolMinimize。EVOMAL 揭示技能自然生长会形成可自传播的持久污染，OpsHarness 与当前 Harness Optimization 工作在轨迹驱动更新和双门接受上高度可比，而 ToolMinimize 则提供了比 allow/block 更细的工具参数级隐私控制原语。

本期检索范围： 2026-08-26—2026-08-27 本期共筛选出 10 项，最明显的趋势是 Agent Security 正从整段轨迹审计前移到工具执行前的动作级决策，并进一步覆盖浏览器 WebMCP、时序性恶意 MCP server 与多阶段交接中的约束弱化；Harness Optimization 则出现了递归搜索可执行上下文构造器及资源感知工具调度的新工作。没有需要重复收录的论文版本或既有项目重大更新；StepGuard 与 Semantic Overlays 的官方仓库均包含实质代码，其中 StepGuard 尚未发布训练语料与 StepGen 引擎。 1. StepGuard: Learning Step-Level Guardrails with Scalable Supervision and Safety-Utility Balancing 类型 / 来源： 新论文 + 新代码仓库｜arXiv（EMNLP 2026）/ GitHub 作者 / 维护者： Zhijie Zheng、Yu Li、Chen Qian、Yuqian Fu、Yanwei Fu、Lu Sheng、Jing Shao、Dongrui Liu；zheng977 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 · 代码 核心内容： StepGuard 是一个 4B guard model，可在工具调用执行前检查单步动作，也可审计完整轨迹。其 StepGen 构造共享上下文、仅在风险步骤动作不同的安全/不安全轨迹，Balance-GRPO 则依据两类动作的准确率差动态平衡训练；在 AgentDojo 与 AgentDyn 上，平均 ASR 相对无 guard 降低 77.3%，效用下降 2.8 个百分点。 与你的方向关系： 它直接连接 Agent Security、indirect prompt injection 与 pre-action reference monitor，并提供了安全—效用权衡下的动作级训练范式，可与静态内容过滤和轨迹后验 judge 比较。 建议： 精读。重点检查 StepGen 的 paired construction 是否覆盖自适应攻击，以及未发布训练语料与生成引擎对完整复现的影响；官方仓库已包含模型、训练配方、动态/静态评测代码和测试。 2. What Guides the Agent? Adjudicating Unauthorized Behavior via Localizing Behavior-Guiding Instructions 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yichao Gao、Yumo Zhang、Yunhao Yao、Haohua Du、Puhan Luo、Ruiqi Li、Zhiqiang Wang 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： AttnLocate 将真正影响工具决策的 behavior-guiding span 定位建模为注意力矩阵上的一维目标检测：多头多层聚合形成 token 特征，再由 1-D U-Net 与 anchor-free head 预测边界，最后依据内容提供者的 authority policy 裁决调用。十种 agent 配置上的平均 mIoU 为 0.743、AUROC 为 0.956，并覆盖 indirect prompt injection 与 tool poisoning。 与你的方向关系： 该工作不只判断文本是否“像攻击”，而是定位推理时实际改变工具决策的外部指令，再结合来源权限裁决，直接关联 Prompt Injection、tool-use security 和 capability control。 建议： 精读。应重点验证 attention-based signal 在不同推理后端、量化模型与白盒自适应攻击下是否稳定，以及 authority mapping 是否能落到真实 MCP/tool provenance。 3. WebMCP-Phalanx: Enforcing and Characterizing Trust Boundaries for Browser-Integrated LLM Agents 类型 / 来源： 新论文｜arXiv（AAAI 2027 投稿） 作者 / 维护者： Lin-Fa Lee、Yi-Yu Chang、Kuo-Hui Yeh 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： WebMCP-Phalanx 为浏览器页面暴露的工具增加两层防线：浏览器原生 trust anchor 用加密 capability credential 绑定注册主体并传播 provenance，隔离的 Quarantine Agent 则先审查工具元数据、返回值与页面内容，再交给具有调用权限的 Privileged Agent。实验中所有 80 个工具描述注入均被阻断，工具返回注入仅 2/80 成功；白盒攻击仍可利用检查前的恶意工具名，暴露出 call-timing gate 的必要性。 与你的方向关系： 这是 WebMCP、Same-Origin Policy 与 agent capability lifecycle 的直接交叉，将 IPI 防御从纯文本检测扩展到主体归属、工具撤销和调用时序。 建议： 精读。最值得关注的是其显式承认的 TOCTOU 式调用时序缺口，以及 capability credential 与浏览器现有 origin/process isolation 的组合边界。 4. Semantic Overlays: Mitigating Prompt Injection with Annotations Beyond Tokens and Steering Vectors 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Joshua Penman；JoshuaSP 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 · 代码 核心内容： Semantic Overlays 在冻结模型的 prefill 位置向 residual stream 注入小型可训练 adapter，为 span 提供 token 无法伪造的带外语义标注；将不可信区段标为“non-executable”即可抑制其中的指令。论文报告 TensorTrust ASR 从 34.8% 降至 6.6%，PIArena 四类攻击的 compliance 均降至 0%，同时标注区段保持 92.5% exact-copy 可读性。 与你的方向关系： 它把 instruction/data separation 从提示格式或外部控制流推进到模型输入表示层，是 Prompt Injection 与 semantic information-flow control 的新接口，也可与 CaMeL 类架构隔离方案形成互补。 建议： 精读。重点检查需要修改 serving stack 与开放权重模型的部署约束、overlay adapter 本身的供应链风险及白盒攻击对带外通道的可适应性；官方仓库含训练、服务和三套评测实现及已发布 adapter。 5. TrustShiftProbe: Characterizing, Benchmarking, and Defending Staged Trust Attacks on MCP Servers 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Mehrdad Rostamzadeh、Sidhant Narula、Mohammad Ghasemigol、Daniel Takabi 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： TrustShift 将恶意 MCP server 建模为先在 conditioning phase 中表现正常、建立依赖后再于 trust horizon 切换到结构破坏、语义篡改或 scope expansion。其九类攻击在多种闭源与开源模型上取得 69.5% 平均 ASR；零 oracle 的传输层防御 SHIELD 基于清洁窗口学习行为基线，将其降至 42.7%，但无法完全阻断拒绝服务型 defection。 与你的方向关系： 该威胁不来自用户 prompt 或中间人，而来自已被信任的有状态工具端点，直接扩展 MCP security、persistent trust 与运行时 provenance 的研究边界。 建议： 精读。它适合用于检验“安装时扫描一次即可”的假设；尤其应研究渐进漂移、协同多 server 和攻击者针对 SHIELD 基线窗口自适应时的表现。 6. When “Must” Becomes “Maybe”: Constraint Weakening in LLM Agent Workflows 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yiheng Sun、Huifei Wang、Yancheng Zhu、Zhenyu Li、Zebin Zhao、Yifan Yuan 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： 论文区分“语义上仍提到约束”和“约束仍对后续动作具有 binding effect”，研究摘要、计划、handoff note 等中间语言制品如何把硬性安全 blocker 弱化为参考信息。1,296 个受控 episode 中，普通 handoff compression 导致 100% blocker deactivation 与 54.2% forbidden action；保留 prerequisite、authority、fallback 和 consequence 四个字段可恢复到 100% preservation、0% forbidden action。 与你的方向关系： 这是 multi-agent security 与 harness state semantics 的高度相关问题：风险并非注入新指令，而是合法约束在多阶段转换中丢失操作语义。 建议： 精读。其 operational state preservation 概念可直接启发带类型/效果的 handoff IR、程序语义约束与验证门；同时需观察合成任务结论能否迁移到开放环境。 7. RePolicy: Reinforcement Learning for Safety-Policy Invocation in Agent Safeguards 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Houcheng Jiang、Boxuan Zhang、Qiyong Zhong、Junfeng Fang、Xiang Wang、Xiangnan He 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： RePolicy 面向动态 policy library，让 safeguard 针对完整 agent trajectory 调用适用策略，再生成 policy-grounded rationale 与安全判定。作者构造 PolicyTraj-20K 做监督初始化，并使用带可验证奖励和 policy-context perturbation 的 GRPO；六个 agent safety benchmark 上表现出对策略上下文变化的稳健调用能力。 与你的方向关系： 它把安全判定拆成“检索/调用正确 policy”与“依据 policy 裁决轨迹”，直接对应 persistent instruction、policy routing 与可演化 agent safeguard。 建议： 浏览。重点比较其 policy invocation failure 与 judgment failure 的归因方式，并验证策略库被投毒、版本漂移或存在冲突规则时是否仍可靠。 8. Beyond the Mandate: A Systematic Security Analysis of the Agent Payments Protocol (AP2) 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Avital Aviv、Parth A. Gandh、Ron Bitton、Asaf Shabtai 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： 论文分析 AP2 v0.2 的五阶段交易生命周期、五类部署架构与签名 mandate 之前未被保护的 A2A/MCP 上下文。基于 MAESTRO 建模得到 48 个威胁、其中 8 个在至少一种架构达到 High，并用覆盖五类架构的测试床实现对应 proof of concept 与 mitigation；结论是 mandate 签名有效并不保证交易仍符合被操纵前的用户意图。 与你的方向关系： 它展示了权限签名只保护已形成的交易字段，无法自动保护塑造这些字段的 agent context 与工具链，是 Agent Security、prompt injection 后果与 authorization semantics 的具体案例。 建议： 精读。建议将其 pre-authorization context manipulation 与 intent binding、provenance chain 及最小权限执行作对照，尤其关注协议层保证与 LLM 决策层保证之间的断点。 9. VideoHarness-RSI: Recursive Harness Self-Improvement for Long-Video Understanding with Frozen Vision-Language Models 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Guoyang Xu、Hao Chen 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： VideoHarness-RSI 固定 VLM 与接口，只递归搜索负责长视频 context construction 的可执行程序。外层 proposer 根据历史程序、评测结果和 execution trace 生成候选，端到端执行后保留成功变体；从 uniform sampling 或较强手工基线出发均能继续提升，选出的 harness 还能迁移到其他长视频 benchmark。 与你的方向关系： 这是 Harness Optimization 的直接新实例，把搜索对象明确限制为 executable program structure，可用于比较“从弱 scaffold 生长”和“从强手工 controller 局部改进”的初始化偏置。 建议： 精读。最值得核对的是候选保留准则、搜索预算、程序编辑粒度和迁移实验，以判断提升来自真正的 harness discovery 还是特定视频采样启发式。 10. PeakBench: Benchmarking Resource-Aware Tool Invocation in LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zhi-Kai Chen、Xu-Xiang Zhong、Song-Yan Li、De-Chuan Zhan、Han-Jia Ye 日期： 2026-08-26（arXiv 公布；初稿提交于 2026-08-25） 链接： 论文 核心内容： PeakBench 为可执行多工具 workflow 增加依赖标注与实测资源 profile，将逻辑依赖规划和物理资源调度分开评价。结果显示，逻辑规划强并不代表在资源约束下安全高效；显式提供资源信息可以减少可避免的 overflow 并改善利用率。 与你的方向关系： 它把 cost-aware agent optimization 从 token/调用数扩展到并行工具执行的峰值资源与调度约束，为 harness controller 的性能目标和安全失败归因提供新基准维度。 建议： 浏览。优先关注其依赖图、资源 profile 的测量假设与 overflow 指标；论文所列代码链接在本期核查时返回 404，因此暂不把它计为新代码仓库。 今日优先阅读 优先阅读 StepGuard、What Guides the Agent? 与 VideoHarness-RSI。前两项分别把防护前移到动作执行点、把注入检测细化为行为引导 span 与来源权限的联合裁决；VideoHarness-RSI 则为当前 Harness Optimization 论文提供了一个非常直接的“固定模型、仅搜索可执行控制程序”新对比点。

本期检索范围： 2026-08-25—2026-08-26 本期共筛选出 10 项，主要来自 8 月 25 日公布的 arXiv 批次。最明显的趋势是 Harness Optimization 正从提示词搜索转向基于执行轨迹的持久代码更新，而代理安全则同时扩展到记忆注入、技能资源放大和状态化信息流控制；没有需要重复收录的论文版本或既有项目重大更新。Prime Agent 与 SecOPD 提供了包含实质实现、测试或训练评测代码的新仓库；AEGIS 的官方链接仓库当前为空，因此仅按论文收录，AutoSaddler 和 AgentWeave 也未附上无法从官方页面核实的代码地址。 1. AutoSaddler: Automatic Harness Optimization with Durable Updates from Agent Execution Traces 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Sungho Park、Wonjoong Kim、Rongyuan Tan、Jue Zhang、Wook-Shin Han、Pengfei Gao、Chanyoung Park 等 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： AutoSaddler 将 harness 优化建模为离线学习：从 mini-batch 执行失败中进行深度诊断，把 harness 视为代码生成结构化 patch，再通过验证集选择可持久保留的更新。论文在 GAIA2、SWE-Bench Pro 和 Terminal-Bench 2.0 上相对基础 harness 分别提升 9.0、9.6 和 10.0 个百分点，并表明深度调试、定向修改与泛化感知选择均是关键组件。 与你的方向关系： 这是 Harness Optimization 的高度直接工作，搜索空间覆盖 prompt、tool 与 middleware，且其“轨迹诊断—代码 patch—验证选择”流程可与 Meta-Harness、GEPA 以及从空 scaffold 自然生长的路线进行正面对比。 建议： 精读。重点核对初始化 harness、patch 粒度、验证集使用方式与总执行预算；这些细节决定其增益来自真正的控制器结构学习，还是对现有 harness 的局部修补。 2. InjecMEM: Memory Injection Attack on LLM Agent Memory Systems 类型 / 来源： 新论文｜arXiv（COLM 2026） 作者 / 维护者： Hanling Tian、Gengyu Zhang、Zeyang Sha、Jingying Wang、Yuhang Liu、Zhehao Huang、Kun Yang、Xiaolin Huang 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： InjecMEM 只需一次正常交互、无需直接读取或编辑记忆库，即可让后续相关查询被引导到预设输出。攻击把高召回主题线索构造成 retriever-agnostic anchor，并用跨模板、位置与 backbone 优化的 adversarial command 抵抗融合上下文、长提示和记忆漂移；实验覆盖多个记忆系统与基础模型，并保持非目标查询基本不受影响。 与你的方向关系： 它直接刻画 agent memory poisoning 的现实写入入口，并将攻击拆成“保证被检索”与“检索后控制生成”两个可独立优化的阶段，适合与昨日的事实性记忆投毒及 provenance 防御边界进行对照。 建议： 精读。应重点复现跨 retriever、跨 backbone 的迁移，以及记忆压缩、去重和摘要机制是否会破坏 anchor-command 耦合。 3. AgentFlow: A Flow-Centric Policy Language and Framework for Securing LLM Agent Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Basavesh Ammanaghatta Shivakumar、Swarn Priya、Peng Gao 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： AgentFlow 用带标签的运行时边表达敏感数据、工具、sink 与委派关系，支持 flow/path rule、任务级 capability、controlled release 和有状态 taint semantics；reference monitor 执行动作中介，受限策略片段由 SMT verifier 检查。原型的七项安全性质均在 0.5 秒内完成验证；在 949 个 AgentDojo 注入样例中 confirmed compromise 从 33.0% 降至 0%，效用由 46.7% 升至 63.3%，AgentDyn Dailylife 上也将 compromise 从 73.5% 降至 0%。 与你的方向关系： 这项工作把 Prompt Injection 的后果建模为跨步骤 information flow，而非单次恶意文本检测，直接关联 capability / permission control、multi-agent delegation 和 semantic privacy。 建议： 精读。重点检查哪些行为必须显式暴露为 policy-visible edge，以及自然语言任务如何可靠映射到标签与 release 条件；这决定了零 compromise 是否能迁移到开放式代理。 4. SecOPD: Mitigating Adaptive Prompt Injections by On-Policy Distillation 类型 / 来源： 新论文 + 新代码仓库｜arXiv（EMNLP 2026）/ GitHub 作者 / 维护者： Yibo Peng、Long Lian、David Wagner、Sizhe Chen；pppyb 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-21） 链接： 论文 · 代码 核心内容： SecOPD 针对 DPO/GRPO 的序列级反馈无法定位不安全 token 的问题，让学生模型在受攻击上下文中 rollout，再由同初始化的 clean-context teacher 对学生实际采样 token 提供逐 token 蒸馏信号。防御后的 Qwen3.6-27B 在 PISmith 自适应注入上的 ASR 为 9.0%，对比 Meta-SecAlign 的 94.0%；未见训练域的 agentic tool calling 上 ASR 为 4.7%。官方仓库包含训练、评测、配置、测试与模型链接等实质内容。 与你的方向关系： 这是 adaptive prompt injection 防御与安全微调的直接交叉，尤其适合作为“模型内生防御”与 runtime monitor、taint tracking 或 contract enforcement 的组合基线。 建议： 精读。优先验证 clean teacher 的假设、全响应 reverse-KL 对 reasoning token 的作用，以及针对该训练目标重新自适应后的攻击强度。 5. Prime Agent: A Self-Improving RLM Harness 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Seth Karten、Alex L. Zhang、Kevin Thomas、Sebastian Müller、Elie Bakouch、Daniel Auras、Mika Senghaas 等；PrimeIntellect-ai 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 · 代码 核心内容： Prime Agent 用持久 IPython REPL 提供程序化上下文处理与 test-time compute，Continual Harness 跨轨迹保留历史、记忆、skills、prompts 和 subagent 规格，并统一执行、恢复、验证与资源核算。论文报告 ARC-AGI-3 RHAE Best@1 从 30% 提升到 95.5%，并在长上下文编码、GPU kernel、模拟器构建等任务中与多种原生或流行 harness 对比；官方仓库包含 runtime、多包代码、测试、文档与持续开发历史。 与你的方向关系： 它同时覆盖 RLM、code-as-memory、持久 harness 与自改进代理，并把“策略由模型构造、执行语义由 harness 保证”作为清晰的系统边界。 建议： 精读。应区分 persistent state、recursive subagent 与恢复机制各自贡献，并审视跨轨迹保留 prompts/skills 时的投毒、撤销和审计风险。 6. SkillBloat: Token Amplification Attacks via Skill Injection in LLM Coding Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yuanjin Zheng、Jingbang Chen 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-22） 链接： 论文 核心内容： SkillBloat 把 malicious skill 的威胁从数据窃取或越权扩展到经济型资源滥用：第一阶段在多类放大机制中筛选攻击条件，第二阶段用 LLM 引导的全技能文档重写继续优化。真实 skill benchmark 上，不同 coding-agent 配置的平均最佳 token amplification 达 5.4184×–10.1455×，消融显示第二阶段持续优于只做攻击类型筛选。 与你的方向关系： 直接命中 persistent skill-file security 与 cost-aware agent optimization，说明即使最终动作不越权，可信指令通道仍可通过循环、冗余规划或上下文膨胀造成显著成本攻击。 建议： 精读。重点检查放大倍率是否包含失败重试与模型差异，并考虑将 token、wall-clock、工具费用和上下文增长统一为资源预算策略。 7. Beyond Over-Refusal: Defending Indirect Prompt Injection via Latent Instruction Manifolds 类型 / 来源： 新论文｜arXiv（EMNLP 2026 Findings 扩展版） 作者 / 维护者： Jiahao Chen、Rui Yin、Xinfeng Li、Qianli Ma、Tianyu Du、Zhihui Fu、Jun Wang、Zhaoxiang Wang、Shouling Ji 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-23） 链接： 论文 核心内容： 论文从理论与实验两方面主张 LLM 的潜表示能内生地区分 instruction 与 data，并据此提出 AEGIS：提取 instruction-sensitive projectors，再以跨网络深度的多层共识聚合拓扑不同的检测信号。作者报告其在启发式与优化型 IPI 上相对基线兼顾检测与低 over-refusal；官方论文所链 GitHub 仓库当前为空，因此本期不把它计为新代码仓库。 与你的方向关系： 这是一条针对 indirect prompt injection 的 representation-level defense 路线，可与输入分类器、双模型审查和 information-flow enforcement 形成互补比较。 建议： 浏览。最值得验证的是 projector 跨模型、跨层和跨攻击域的稳定性，以及白盒攻击能否直接优化绕过其共识信号。 8. TRACE: A Self-Evolving Skill Bank for Consistent, Limit-Aware LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Wenhao Wu、Menghao Zhang、Xin Wang、Zhi Wang、Kun Shao、Jian Luan 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： TRACE 将工具规则与行为约束组织为可检索 Skill Bank，并在每轮评测后按实际调用的 skill 聚合轨迹，通过成功/失败行为对比持续改写技能；部署时 Actor 每一轮根据状态编排 skill。CAR-bench 上，GPT-5.5 的 Pass³ 从 59.9% 提升到 94.5%，潜在能力与稳定表现的差距缩至 4.0 个百分点；官方隐藏集使用 GPT-5.6-Sol 获得 70% Pass³。 与你的方向关系： 直接关联 self-evolving agents、persistent instruction 与 executable harness learning，也把 pass@k 与一致性 Pass^k 的差别引入 skill 优化目标。 建议： 精读。应检查 skill 更新的接受门槛、回滚与遗忘控制，尤其关注成功/失败对比是否会把偶然轨迹或安全违规固化进持久技能库。 9. SkillAlchemy: Open-World Agent Skill Creation 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Hengjun Wang、Shuyue Wei、Boyi Liu、Jun Yang、Yongxin Tong 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： SkillAlchemy 面向只有模糊 skill brief、缺少人工轨迹的开放世界创建场景，从允许访问的外部材料中通过对比证据发现隐含要求，按证据支持的范围 admission 候选过程，再编译为 grammar-guided skill package。87 个 SkillsBench v1.1 任务上，较无 skill 提升 19.9 个百分点，较最强自动基线提升 8.6 个百分点，并达到接近人工技能的表现。 与你的方向关系： 它把 skill synthesis 的关键问题从生成能力转向 source grounding、scope admission 与结构化编译，既是 Harness Optimization 路线，也为防止来源材料中的间接注入和过度授权提供了新的控制点。 建议： 精读。关注 evidence-supported scope 的形式化程度，以及恶意或相互冲突来源下 admission 是否仍可靠；这可能形成 skill 供应链安全的直接扩展。 10. AgentWeave: Routing Before Reasoning for Efficient Function Calling in Tool-Rich Language Models 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Saurav Singla、Aarav Singla、Advik Gupta、Parnika Gupta 日期： 2026-08-25（arXiv 公布；初稿提交于 2026-08-24） 链接： 论文 核心内容： AgentWeave 在模型推理前用 eligibility、requirement、capability 与 routing 信号构造有界的可见动作空间，而不改动下游模型。其 BFCL-derived routing-pressure 实验在 48 个新多函数任务上取得 6/48 成功，all-tools、随机 top-8 与语义 top-8 均为 0/48；相较全工具暴露，工具数、输入 token 与本地模型平均延迟分别下降 70.18%、61.70% 和 50.95%，但作者明确承认绝对成功率仍低且并非官方完整 BFCL 得分。 与你的方向关系： 这是 cost-aware harness 与 least-privilege tool exposure 的交叉：预路由同时减少 token/延迟和无关工具攻击面，可作为大型 MCP/tool registry 的前置 controller。 建议： 浏览。保留其窄实验结论，重点比较 routing recall、错误拒绝与动态 escalation；在扩大任务和模型之前不宜把 12.5% 绝对成功率解释为通用提升。 今日优先阅读 优先阅读 AutoSaddler、InjecMEM 与 AgentFlow。它们分别代表可执行 harness 的轨迹驱动持久更新、无需记忆库权限的一次性交互投毒，以及跨工具与委派边界的状态化信息流控制，会直接影响当前 harness 论文的定位、Agent Security 威胁模型和实验对比组设计。

本期检索范围： 2026-08-18—2026-08-19 本期筛选出 10 项。最明显的趋势是 Agent Security 正从单次内容检测转向会话级授权、跨技能组合分析和可信执行证据，同时 skill 自演化已同时被用于红队攻击与持久化隐私侧信道。本期均为新论文，没有论文版本更新或项目重大更新；5 项论文附有实质代码或评测仓库，没有发现值得脱离论文单独收录的新项目，IACR ePrint 亦未发现达到中高相关标准的新增内容。 1. Bounded Agents: Delegation Security for Multi-Agent AI Systems 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Xabier Muruaga 日期： 2026-08-16 链接： 论文 · 代码 核心内容： 论文提出 Agentic Principal Chain（APC），把委托权限、历史动作、范围与预算带入每次授权判定，并用六项检查在模型外执行 composition closure。对 3,154 个实例的评测中，APC 将 AgentDojo 四个域的外泄率从 75%–100% 降至 0%，阻断全部 544 个 InjecAgent 数据窃取案例；仓库包含实现、评测、215 项测试和论文数字复核脚本。 与你的方向关系： 这是 capability / permission control 与 multi-agent security 的直接系统化方案，核心观点是 prompt injection 只有在权限允许危险动作时才形成实际风险，因此安全边界必须覆盖委托链和会话历史，而非只检查单次 tool call。 建议： 精读。重点核查其 restriction set 完备性和 serialized admission 假设，并将 Blast Radius Monotonicity、Composition Soundness 与现有 action gate 做形式化对照。 2. CompoSkill: Compositional Skill Chain Attacks from Individually Scanner-Passing LLM Agent Skills 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Mingxiao Liu、Zhoumian Jiang、Jianan Ma、Jian Zhang、Jialuo Chen、Xinhao Deng、Zhen Wang 日期： 2026-08-17 链接： 论文 核心内容： CompoSkill 证明逐个通过扫描的技能仍可在输出、能力和副作用连接后形成危险路径，并分别构造知道已安装技能池的白盒攻击与只知道角色画像的黑盒攻击。其 1,140 条记录 benchmark 覆盖 OpenClaw、Nanobot、五类威胁与六种场景，白盒和黑盒最高 Chain Formation Rate 分别为 83.3% 与 80.6%。 与你的方向关系： 该工作直接挑战 persistent skill-file security 的“逐包认证”假设，把风险从节点属性提升为路径属性；这也说明 harness 的安装器和 planner 需要对组合后的 capability graph 进行审计。 建议： 精读。优先分析 Skill Composition Graph、implicit lure 和三跳后的 hop decay，并与 SkillGate 等单技能检测器做端到端比较。 3. JailbreakSkill: Scaling Automated Red-Teaming with Reusable and Ever-Evolving Skills 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Xiaoyu Wen、Jiajia Li、Zhida He、Peng Yu、Chenxu Wang、Han Qi、Ziyuan Zhou、Cheng Jin、Ying Wen、Xingcheng Xu、Shuyue Hu、Tianhang Zheng、Chaochao Lu、Qiaosheng Zhang；BattleWen 日期： 2026-08-17 链接： 论文 · 代码 核心内容： JailbreakSkill 将既有越狱策略封装为可复用技能，用共享 UCB memory 选择攻击，再从失败轨迹中诊断、细化、组合和发现新技能。演化使 AdvBench 与 HarmBench 的宏平均 ASR 分别增加 17.5 和 13.4 个百分点；仓库已有两阶段运行时、内置与演化技能、三个 benchmark 数据、配置和外部证据技能抽取工具。 与你的方向关系： 它把 jailbreak attack 与 executable harness learning 合并为闭环，展示 skill library 如何从攻击反馈持续增长；同一机制也构成持久化红队资产的治理、审计和滥用风险。 建议： 精读并受控试跑。重点比较 UCB 搜索和 meta-skill 演化与一般 harness optimization 的探索策略、迁移性及污染控制，只在获授权目标上运行。 4. Proof-of-Execution Memory: Defending LLM Agents Against Forged-Reasoning Attacks by Verifying What Actually Happened 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Md Habibur Rahman、Jaeho Kim；bithabib 日期： 2026-08-17 链接： 论文 · 代码 核心内容： 论文展示 FARMA 可向 reasoning memory 写入“安全步骤已执行”的伪造记录，而简单改写即可令措辞检测型 SENTINEL 在全部测试模型上失效。PoEM 不审查记忆文本，而由可信 action layer 写入 HMAC 链式、可防篡改的执行账本；三模型三场景中攻击成功率降至 0%，代码仓库含复现实验、自动攻击器、LangChain 端口和分析脚本。 与你的方向关系： 这是 agent memory poisoning 与 tool-use security 的关键架构分离：不可信语义记忆不能作为已执行副作用的证据，安全决策应依赖独立的 provenance ledger。 建议： 精读。重点评估可信 action layer 的攻击面、账本与真实外部副作用的一致性，以及 PoEM 对未纳入 gate 的行为是否留下旁路。 5. SkillWatermark: An Embedded Skill Watermark of Progressive Privacy Inference via Benign Prompts 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yu Li、Liqi Zhuang、Dong Wei、Jiwen Luo、Hang Zhang、Meng Zhang、Xiaona Li、Weiqing Huang 日期： 2026-08-17 链接： 论文 核心内容： SkillWatermark 在看似无害的 skill description 中嵌入约束，使 Agent 在多轮执行时产生可区分的网络流量模式，从而让被动网络观察者逐步解码用户提示中的私密信息。该方式不直接外传数据或执行显式恶意指令，实验中的变换技能仍能通过现有 LLM 安全审计工具。 与你的方向关系： 它揭示 persistent skill-file security 与 semantic privacy 的新交叉面：技能可通过执行形态而非文本内容或工具参数建立 covert channel，传统 prompt injection 扫描难以覆盖。 建议： 精读。重点检查流量观察者能力、编码容量与误码率，并考虑在 skill 审计中加入跨轮动态信息流、流量整形和最小可观测性测试。 6. What to Remember, What to Reveal: Privacy-Aware Memory for Conversational Agents 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Wenjie Wang、Wenhe Si、Xinyue Xu、Yue Xu；Jensassss 日期： 2026-08-17 链接： 论文 · 代码 核心内容： SP-Mem 将可用于个性化的净化记忆与精确私密值分离存储，并依据任务需求和用户同意选择性恢复私密值，覆盖写入、存储、检索和使用的完整生命周期。论文同时提出联合衡量回复质量、隐私行为和推理成本的 benchmark；仓库含 memory/agent 实现、合成数据和规则式及 LLM judge 评测脚本。 与你的方向关系： 该工作直接面向 agent memory privacy，把“是否记住”和“何时揭示”拆成可执行 controller policy；适合与单纯 PII 删除、语义摘要和 memory capability revocation 做对照。 建议： 精读。重点验证 consent path、私密值 hydration 与 graph/vector retrieval 的隔离是否能抵抗 prompt injection、推断攻击和跨会话权限变化。 7. Governance at the Boundary: How Agent Decomposition Degrades Policy Compliance 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Bowen Li、Guojun Wang 日期： 2026-08-17 链接： 论文 核心内容： Fiducia-bench 不只检查任务完成，还测量金融 Agent 是否按政策升级、拒绝并留下可审计轨迹。626 个 episode 显示，32B 模型在单循环中不丢失已发现的政策事实，但固定 pipeline 和 orchestrator–subagent 架构在约束距离为 2 时分别衰减 56% 与 85%；遗漏既会导致升级不足，也会导致过度升级。 与你的方向关系： 它揭示 multi-agent decomposition 的安全成本来自 handoff 中的 policy-fact attenuation，直接关联 semantic information-flow control、controller 分解和跨 Agent 权限决策。 建议： 精读。可将“约束事实的发现—传递—执行”拆成独立指标，并比较显式 taint、typed handoff 与共享状态是否能减少衰减。 8. A Policy Algebra for Trust-Preserving Agentic AI Execution 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Bhaskar Tripathi、Anurag Kumar、Ramendra Kumar、Bhavesh Gadhe 日期： 2026-08-17 链接： 论文 核心内容： 论文把可靠能力定义为路径属性：身份、工具、数据、记忆、预算、产物、审批和审计约束在整个行动序列中都必须可接受。其 policy algebra 通过 join、intersection、预算收窄、审批继承与证据累积组合运行时义务；实验中干预 94.8% 的违规事件，同时保持 86.9% 的任务完成率，并将审计完整度提升至 98.6%。 与你的方向关系： 这是 Harness Optimization 与 permission control 的形式化相邻工作，尤其适用于让可自修改 controller 在能力增长时仍保持单调收窄的权限和可恢复的预算边界。 建议： 精读。重点审查 algebra 的 least-restrictive 性质、跨 Agent 调用传播和 cost-aware artifact materialization，并确认评测中的政策覆盖是否足以支持强结论。 9. Security Assessment of DeepSeek Harness with A.I.G: Evaluating Resistance to Indirect Prompt Injection 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Zonghao Ying、Xiangfan Wu、Huiyu Wu、Xing Zheng、Huangsheng Cheng、Xiaorong Shi、Jing Guo；Tencent Zhuque Lab 日期： 2026-08-17 链接： 论文 · 代码 核心内容： 研究在保留 DeepSeek Harness agent loop、tool registry、model adapter 和 session-event path 的条件下，用本地 source/sink fixture 完成 14,560 次受控执行，覆盖 16 个间接内容通道、35 种 payload objective 和 12 类攻击。最高观测 ASR 为文本 fake-completion 的 17.0%（LLMJudge）、文件 hidden-Unicode 的 25.5%（RuleJudge）和文件 skills channel 的 16.0%（RuleJudge）；配套 A.I.G 仓库拥有 Agent、Skill、MCP 与基础设施扫描实现。 与你的方向关系： 这是 indirect prompt injection 与 harness-level security 的直接实证，能够定位哪些额外上下文、工具结果和 policy hook 把不可信内容传播到敏感动作。 建议： 精读并复现实验协议。重点比较 deterministic 与 semantic judge 的分歧、不同 carrier/channel 的覆盖，以及 source-to-sink fixture 能否迁移到其他 agent harness。 10. What Does Context Compression Cost an Agent? Interaction Costs Unrevealed by Task-Completion Metrics 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Shuyu Liu 日期： 2026-08-17 链接： 论文 核心内容： 论文在固定 24 轮工具环境中比较丢弃式与事实保留式压缩，并将新增 tool call 拆成重新检索和执行。六组模型—任务对比的 retrieval call 全部增加，而 5× 压缩下完成率均无显著变化；GPT-5.5 的完成率由 80% 变为 85%，但检索调用从 21.0 增至 63.9，说明终态指标会掩盖重获状态的交互成本。 与你的方向关系： 该工作直接影响 cost-aware harness optimization、context compaction 和 code-as-memory：压缩策略若只以成功率为 reward，可能把上下文成本转移为大量工具调用和延迟。 建议： 精读。建议将 reacquisition cost、retrieval/execution 分解和环境依赖性纳入 harness evaluator，而不是只比较 token 数和最终 pass rate。 今日优先阅读 优先阅读 Bounded Agents、CompoSkill 和 JailbreakSkill。前两项分别给出会话级委托权限的外部强制机制和技能组合风险的路径级威胁模型；JailbreakSkill 则展示攻击技能如何形成可执行、自演化的红队闭环，会直接影响 skill/harness optimization 的安全边界与论文定位。

本期检索范围： 2026-08-17—2026-08-18 本期筛选出 9 项。最明显的趋势是 harness optimization 正从单独修改 controller 转向模型—harness—训练数据的闭环协同，同时 checkpoint recovery、skill retrieval 和隐私路由开始成为可独立评价的运行时组件。本期均为新论文，没有论文版本更新或项目重大更新；HELIX 提供了与论文配套的实质代码仓库，但没有发现值得脱离论文单独收录的新项目，IACR ePrint 也未发现达到中高相关标准的新增内容。 1. HELIX: Model-Harness Co-evolution for Recursive Self-Improvement 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Tianyu Fan、Chao Huang；HKUDS 日期： 2026-08-14 链接： 论文 · 代码 核心内容： HELIX 将 agent system 分解为 typed ports、atoms、recipes、product shells 与 runtime policies，使 harness 干预可追踪、可组合并保留轨迹与 provenance。一次 code-repair 演化实验搜索 65 个候选，最佳固定 harness 相对 Pi 增加 4.0% task coverage；候选组合带来最多 58.0% 的额外 verified coverage，并从 200 个 sibling slots 生成 438 条可训练记录。 与你的方向关系： 这是 Harness Optimization 与 executable harness learning 的直接相关工作，尤其值得和“从极简 scaffold 自然增长”的路线比较：HELIX 的搜索空间由来自四个现有 harness 的 1,332 个 atoms 和 96 个标准接口构成，更强调可审计重组与 model–data feedback loop。 建议： 精读。重点比较其受约束的模块重组与开放式函数增长在搜索偏置、intervention identity、回归检测和训练数据构造上的差异。 2. Demystifying Agent Skills: Why They Work—Until They Don’t 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zhiyuan Jiang、Fangrui Huang、Hanwen Xing 等 日期： 2026-08-14 链接： 论文 核心内容： 论文通过跨 benchmark、agent harness 与 LLM 的受控实验，以及 8,135 条 trial record 和配对轨迹分析，将 skill 的作用归纳为三类、十二种使用模式。匹配实验中 skill 比 Workflow Memory 高 6.06 分，65.7% 的案例主要依靠 procedural anchoring；当 skill pool 从 5 增至 100 时，actual-use precision 从 29.6% 降至 3.3%，说明 retrieval 会迅速成为瓶颈。 与你的方向关系： 它为 persistent instruction、code-as-memory 与 self-evolving skills 提供了比总成功率更细的因果解释，也提示自动增长的 skill/harness 必须同时控制检索拥塞、上下文兼容性和陈旧假设。 建议： 精读。建议把十二种 skill-use mode、procedural anchoring 比例与 retrieval scaling 曲线纳入 harness memory 设计及消融实验。 3. P2Skill: Privacy Preserving Skill Distillation for Cloud-Local LLM Inference Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Myunghoon Ryu、Geunpyo Park、Sungjoon Lee、XinYu Piao、Jong-Kook Kim 日期： 2026-08-14 链接： 论文 核心内容： P2Skill 让本地小模型按照可迭代 refinement 的 skill prompts 完成任务分解、PII-aware routing、paraphrasing 与结果重构，只把去除敏感信息后的子请求交给云端模型，不依赖隐私专用微调或额外检测器。作者在四域 benchmark 上报告，其 privacy-preserved inference quality 相对两类基线分别提升 1.69× 与 3.66×。 与你的方向关系： 该工作把 semantic privacy 与 executable skill/harness optimization 连接起来：隐私边界不只是 entity masking，而是由本地 controller 决定信息如何分解、释放和重组。 建议： 精读。重点验证 PII routing 的漏检威胁模型、paraphrase 后的语义泄漏，以及由云端模型迭代 skill 是否会引入新的持久化指令风险。 4. AgentRewind: Recoverable Execution for Long-Horizon LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yu Zhuang、Kefei Chen、Yitong Duan、Shuxin Zheng、Jian Li、Xu-Yao Zhang 日期： 2026-08-14 链接： 论文 核心内容： AgentRewind 同步记录 agent context 与受控环境的 checkpoint，使长程任务在错误扩散后可以回到早期状态，并携带上一轮尝试的信息重新执行。论文同时提出 MettleBench，以一组相互关联的工程需求评价最终完成率和部分进度；跨任务、模型、执行策略与 harness 的实验均显示其优于对照方法。 与你的方向关系： 它将 recovery 作为 agent scaffold 的一等运行时能力，直接关联工具副作用控制、长程状态一致性和安全回滚；对可自修改 harness 而言，checkpoint 还可作为候选更新的 transaction boundary。 建议： 精读。重点关注 context 与 environment checkpoint 如何对齐、哪些外部副作用不可逆，以及恢复后如何避免再次走入同一失败轨迹。 5. Tripwire: Triggering Aligned Refusal via Statistically Certified Safety Neurons 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Wei Zhao、Zhe Li、Peixin Zhang、Jun Sun 日期： 2026-08-14 链接： 论文 核心内容： Tripwire 通过带 false-discovery-rate 控制的逐神经元假设检验与 utility-specificity filter 识别安全专属神经元，再以 trigger-style clamp 激活模型已经学到的拒绝行为。作者给出 detector-gated inference intervention 与 offline bias-patch 两种等价部署方式；在四个安全对齐模型和四类攻击上，平均 ASR 降至不高于 2.0%，MT-Bench utility drop 为 0.5%–5.3%。 与你的方向关系： 这是 jailbreak defense 的模型内部路线，可与 prompt/harness 层 guardrail 形成互补；其 gated intervention 也适合研究安全机制应放在模型、controller 还是 action gate 的哪一层。 建议： 精读。重点检查统计认证是否能跨分布、跨语言和自适应攻击保持有效，以及 detector 错误如何传导为拒绝缺失或过度拒绝。 6. AdsWorldEngine: A Self-Evolving Conversational Advertising Agent through Orchestrator and Tool Coevolution 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Simiao Zuo、Chenhui Xu、Yimeng Jia、Qiang Lou、Jian Jiao、Denis Charles 日期： 2026-08-13 链接： 论文 核心内容： AdsWorldEngine 由 Opportunity Gate、Orchestrator、广告工具与 Evaluator 构成，先以 SFT 和 agentic RL 训练 orchestrator，再利用高低奖励 rollout 构造 preference data 反向训练工具，形成 actor–tool 共演化闭环。作者报告相对线上既有系统，离线 diversity 与 relevance 分别提升 60% 和 80%，线上 A/B test 的 RPM 与广告覆盖率分别提升 22% 和 74%。 与你的方向关系： 虽然场景是广告系统，其“controller 产生轨迹—轨迹训练工具—新工具改变 controller 行为”的闭环是 executable harness learning 的重要相邻范式，并展示了成本敏感 judge 如何参与生产级优化。 建议： 浏览。重点抽取 actor–tool 交替更新、reward leakage 防控和线上指标 gate；领域本身与安全主题关联较弱，可不深挖广告建模细节。 7. Evaluating Agentic Learning Harness Capabilities Without Labels via the Scaling Hypothesis 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Aryan Luthra、Kshitij Jain、Siddharth Arya、Bobby Filar、Anna Bertiger 日期： 2026-08-11 链接： 论文 核心内容： 论文针对安全运营中标签稀缺、陈旧且有偏的问题，让更强 teacher 稀疏提供纠正，并以带 continual-learning harness 的 student 向 teacher 收敛的程度估计 harness uplift。跨安全任务、模型家族与 harness 设计的结果显示 teacher-relative lift 与 held-out gold improvement 相关，而能力相近模型之间的 LLM-as-a-judge 不提供可用信号。 与你的方向关系： 它直接回应 Harness Optimization 的 evaluator bottleneck：当在线反馈缺少可靠标签时，如何判断 memory/retrieval/controller 更新是真改进还是自我强化的假象。 建议： 精读。建议重点审查 teacher bias、稀疏纠正的采样机制和相关性强度，并与 held-out regression gate 的监督成本进行对照。 8. Handover of In-Context Learning State Across Session Boundaries 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Masahiro Kato、Taka Kato 日期： 2026-08-14 链接： 论文 核心内容： 论文把跨 session 交接形式化为 task-relative ICL state 的传递，并区分逐字恢复旧材料与维持目标分布；在 exogeneity 条件下，predictive equivalence 刻画最粗粒度的确定性充分 handover 及其固定比特需求。作者提出三段式记录：精确保留决策和约束，以任务相关统计压缩重复证据，并保留统计量无法替代的原始观察。 与你的方向关系： 该理论直接服务于 agent memory、context compaction 与多 Agent handoff，也为“哪些状态必须写入持久 memory、哪些可被摘要”提供了比经验式压缩更明确的语义标准。 建议： 浏览。值得收藏其 sufficient handover 定义和 memory–prediction error 边界，再判断这些假设能否扩展到有工具副作用和非平稳任务的 agent harness。 9. Repair, Not Improvement: Decomposing Constrained Decoding in Tool-Call Abstention 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Janghoon Lee（Redrob） 日期： 2026-08-14 链接： 论文 核心内容： 论文用 byte-identical prompt 的三种解码条件，把 grammar 对 stop token 和可生成 token 集合的影响拆开，测量 0.6B–4B 开源模型在英语、韩语 tool-call abstention 上的行为。相对无约束解码，六个设置中四个 abstention 指标显著下降，最差为 −29.5 分；被“修复”的 698 个 abstention 中，545 个原本没有可读答案，说明约束主要修复格式而非判断质量。 与你的方向关系： 这是 tool-use security 与 harness decoding policy 的关键负结果：schema enforcement 可能悄然删掉“不调用工具”这一安全动作，因此结构有效不等于 capability decision 正确。 建议： 精读。应把 abstention preservation 加入 tool router 和 constrained-decoding 的回归测试，尤其检查 stop-token 设计与多语言偏差。 今日优先阅读 优先阅读 HELIX、Demystifying Agent Skills 和 P2Skill。HELIX 会直接影响 executable harness optimization 的 novelty positioning；skill 机制分析给出了增长后检索退化的实证边界；P2Skill 则把本地 controller、持续 skill refinement 与语义隐私组合成一个可比较的系统设计。

本期检索范围： 2026-08-15—2026-08-17 本期筛选出 1 项延迟核实补录。最明显的趋势是 agent harness 正在把秘密外发约束、插件来源确认与实例状态隔离落实为运行时边界；本期没有达到标准的新论文或论文版本更新，但确认了 1 项项目重大更新，未发现值得单独收录的新代码项目。 1. OpenClaw 2026.8.1-beta.2 类型 / 来源： 项目重大更新｜GitHub 作者 / 维护者： OpenClaw Foundation、Peter Steinberger 及社区维护者 日期： 2026-08-15 链接： 项目 · 发布说明 核心内容： 该预发布版为共享 secret store 增加精确的 HTTPS 目标主机绑定，并在明文秘密离开进程前对未绑定替换执行 fail-closed；从任意可执行来源安装插件时，也要求显式 --force 确认并显示 provenance 警告。它还强化了 channel ingress 的 claim identity validation、macOS 多实例状态与 Keychain 隔离，以及 SQLite snapshot 的校验和“仅恢复到全新目标”约束。 与你的方向关系： 这次更新直接覆盖 Agent Security 中的 secret exfiltration、capability / permission control 和插件供应链风险，也展示了 harness 如何在工具调用、插件安装、持久状态与恢复流程中建立可执行安全边界，而不是仅依赖提示词约束。 建议： 精读。优先检查 host binding 的匹配与绕过边界、sentinel substitution 的失败语义、插件可信来源分类，以及 beta 功能进入生产环境前需要补充的回归与攻击测试。 今日优先阅读 OpenClaw 2026.8.1-beta.2 值得立即阅读，因为它把 secret egress 和插件 provenance 从政策描述推进为 harness 级强制机制；这些设计会直接影响 agent 工具权限模型、插件安装流程和多实例隔离方案。

本期检索范围： 2026-08-13—2026-08-14 本期共筛选出 9 项。最明显的趋势是 Agent Security 正从模型级安全转向 harness 执行期契约、上下文压缩后的行为约束存活，以及可扩展的间接提示注入环境生成；Harness Optimization 则出现了强模型向弱模型迁移控制结构、机器人 harness 与可编辑长期记忆。本期没有符合“实质内容变化”标准的论文版本更新或项目重大更新；Thea 是唯一值得将论文与新代码仓库合并收录的项目。 1. ToolHazard: Scaling Adversarial Environments for Security Evaluation and Alignment of LLM-based Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yutao Mou、Pengfei Yang、Zhe Yin、Zhangchi Xue、Xiaotian Luan等 日期： 2026-08-12 链接： 论文 核心内容： ToolHazard 用 Environment Simulator、Attacker Agent 和 User Simulator 自动构造可执行、有状态的工具环境，发现可行注入点、生成环境特定 payload，并形成长程任务。基于该框架生成的 ToolHazard-Bench 显示攻击时机与放置位置会显著影响 IPI 效果；生成的 alignment data 同时提升 ToolHazard-Bench 与 AgentDojo 上的安全性，并保持良性任务效用。 与你的方向关系： 这是 Agent Security、tool-use security 与 indirect prompt injection 的直接工作，把安全评测从人工固定注入点推进到可扩展的 stateful environment synthesis，适合用于检验防御是否真正跨域、跨位置泛化。 建议： 精读。重点审查环境模拟器的真实性、攻击者与用户模拟器的闭环偏差，以及训练数据与两个评测集之间是否存在环境或攻击模板泄漏；论文仍标注为 Work in Progress。 2. AI4AI at Test-Time: Strong-to-Weak Capability Transfer via Harnesses 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Cheng Qian、Wenting Zhao、Liangwei Yang、Heng Wang、Jielin Qiu、Heng Ji等 日期： 2026-08-12 链接： 论文 核心内容： 论文让强 builder model 使用 5% 数据作为验证集，多轮构造和改进弱 target model 的 inference-time harness，无需更新目标模型参数。在四个 Theory-of-Mind benchmark 上，平均性能从 0.49 提高到 0.91；增益主要来自把不稳定推理编译为确定性代码、任务路由和严格输出格式，而不是增加采样或推理长度。 与你的方向关系： 该工作直接对应 Harness Optimization、executable harness learning 与“logic-to-code”能力迁移，也为从最小 scaffold 生长 harness 提供了强模型构建器基线和清晰的结构化增益来源。 建议： 精读。重点比较其 5% 验证集反复使用带来的过拟合风险、builder reasoning effort 与 harness 质量关系，以及确定性代码是否真正学习可迁移控制结构，还是编码 benchmark-specific shortcuts。 3. Agent Safety Should Be a Runtime Contract 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Albus W. Ng、Yi Han、Jusheng Zhang、Wenhao Wang 日期： 2026-08-11 链接： 论文 核心内容： 论文主张以 harness 强制的 runtime contract 作为 Agent 安全单元：预防面用 sandbox、permission gate、filter 和 trajectory monitor 阻断危险动作，证据面则要求测试、日志、diff 与引用等可核验完成证据。作者结合 52 起公开事故、31 个无争议 false-completion 案例、12 个 Agent 系统的 trajectory schema 审计及 28,560 篇顶会论文标题审计，提出 Agent Trajectory Schema、Evidence Chain 与组合式 gate 命题。 与你的方向关系： 与 capability / permission control、Agent Security 和安全 harness 设计高度一致，尤其强调“允许什么”与“如何证明正确完成”必须同时成为执行期约束，而不能只依靠 system prompt 或训练期对齐。 建议： 精读。它更接近有数据支撑的立场与研究议程，建议重点验证 incident sampling、false-completion 判定和组合监控命题，并将 preventive/evidential 双契约用于设计自己的 action gate 与 regression gate。 4. AI Guardrail Survival under Single-Cycle Agentic Self-Summarization 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Ted Kwartler、Alan Aqrawi、Arian Abbasi 日期： 2026-08-11 链接： 论文 核心内容： 论文研究长时 Agent 在一次 self-summarization 后安全规则如何失效，指出“文本仍存在”不等于“行为上仍生效”。行为重放中，退化后的规则残留相较完整 welded rule 使违规率分别增加 34 和 57 个百分点；仅与外部 constraint registry 比较可发现规则缺失，却不能确认保留下来的规则是否仍会触发。 与你的方向关系： 直接关联 persistent instruction security、context compaction 与 Agent memory 安全，说明压缩后的约束需要行为级 replay 或外部强制，而非关键词存在性检查。 建议： 精读。重点看规则焊接、压缩预算与 replay protocol，并注意结论只覆盖单次压缩；可进一步扩展到多轮压缩、跨模型摘要与 capability revocation 的生命周期测试。 5. Towards the Harness of Embodied Agents 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Qi Wang、Tianyi Wang、Chengyang Li、Shikun Ban、Yurun Chen、Yizhong Ge等 日期： 2026-08-03 链接： 论文 · 代码 核心内容： Thea 将 coding-agent harness 迁移到具身任务，用 Agent loop 编排可调用的机器人能力，并以 Scene Graph as Context 提供持久符号世界状态，以 Evaluation as Exit Codes 判断动作终止、成功与失败原因。官方仓库已包含 provider-neutral harness、simulation 接口、机器人 port template、工具/技能/记忆与安全模块、安装脚本和文档，而非只有 README。 与你的方向关系： 它扩展了 Harness Optimization 的应用边界，并把 refreshed world state、post-condition evaluator 与低层安全控制明确分离；对 tool-use security 和“可执行控制器应承担哪些职责”也有直接启发。 建议： 精读论文，浏览代码。重点比较 Scene Graph、exit-code evaluator 与软件 Agent 的 trace/state abstraction，并检查真实机器人部署中 model-level gate 与 emergency stop、碰撞避免等独立控制之间的隔离边界。 6. EvoGraph-Mem: Failure-Aware Editable Graph Memory for Long-Term Language Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yuxi Qian、Yuxiang Ren 日期： 2026-08-03 链接： 论文 核心内容： EvoGraph-Mem 用可编辑 insight graph 维护长期 Agent 记忆，每个节点记录正证据、负证据与激活状态；执行后由 graph controller 保留可靠 insight、归档失效内容、修订过时经验并加入新知识。作者的跨 backbone 实验与消融表明 append-only memory 不足，而 evidence-aware retrieval 和图级编辑能改善可靠性与任务表现。 与你的方向关系： 该工作连接 self-evolving agents、memory poisoning/污染与 evidence-guided harness update；其“负证据 + 状态切换 + 修订”机制尤其适合作为 code-as-memory 或失败窗口方法的结构化记忆对照。 建议： 精读。重点检查负证据如何归因、旧 insight 何时归档或重激活，以及 graph controller 会否通过错误反馈放大污染；摘要未给出具体增益数值，应以正文实验表为准。 7. An Empirical Study of Output-to-Input Loops for Black-Box Backdoor Detection in Fine-Tuned Open-Weight LLMs 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Md. Nahid Hasan、Mohammad Arif Hossain 日期： 2026-08-11 链接： 论文 核心内容： 作者提出 self-feeding 黑盒检测：把模型输出连续反馈为下一轮输入，使文本从普通起始 prompt 漂移到微调数据中的隐藏触发分布。对六个 3B–15B、覆盖十一类后门的模型测试时，该方法以 92.0% pooled precision 检出其中五个；单个 prompt 的 recall 仅 19.2%，但多起点累计后模型级检出明显提高，四步链可在其实验中维持 100% 模型级 precision 并减少 60% 查询。 与你的方向关系： 属于 LLM Security 与开源模型供应链安全，也与 Agent loop 风险相关：迭代上下文自身可能成为触发探索机制，可用于部署前低成本筛查下载模型。 建议： 浏览。重点关注后门类型与恶意输出识别器的覆盖边界；低单提示召回、一个完全漏检模型和两个 false positive 表明它适合作为 first-pass screening，而非安全证明。 8. Conformity Mitigations in Large Language Models Lie on a Single Resistance-Receptivity Frontier 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zafar Hussain、Kristoffer Nielbo 日期： 2026-08-03 链接： 论文 核心内容： 论文在 23 个开放模型、19 种条件和三个数据集上进行超过一百万次评分，测量错误多数意见如何覆盖模型原本正确的答案。六种缓解方法的 Resistance 提升通常以 Receptivity 下降为代价，均值落在 R² 为 0.80–0.90 的单一前沿；reflection 在 MMLU 上提高 7.9 点 Resistance，却损失 15.3 点 Receptivity。 与你的方向关系： 与 multi-agent security 和语义信息传播直接相关：防止恶意或错误 peer influence 不能简单地让 Agent 拒绝一切外部信息，否则也会破坏正确协作；这为跨 Agent trust gate 提供了双目标评价。 建议： 精读。建议把 Resistance–Receptivity 前沿加入多 Agent 防御评测，重点核查错误多数构造、agent topology 与 reasoning 例外条件，避免只报告攻击阻断率而忽略有益信息接纳能力。 9. Harnessing Agent Memory to Build Lifelong AI Partners for Materials Scientists 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Siyu Liu、Bo Hu、Beilin Ye、He Cao、David J. Srolovitz、Tongqi Wen 日期： 2026-07-25 链接： 论文 核心内容： 论文将材料科学经验保存为可检查事实与 executable skills，使失败边界、协议和验证规则可检索、修订并跨模型迁移。在 49 个真实工具使用问题的 138 个子任务上，记忆使 GPT-5.2 成功率接近翻倍；波函数初始化案例避免 92% 重复错误，13 个材料模拟工作流到第三轮时 token trace 负担减半、工具调用减少超过一半。 与你的方向关系： 这是 code-as-memory、executable skill learning 与 self-evolving agent 的具体领域验证，展示失败经验如何编译为 pre-execution guardrail，并以较低 token 与工具成本跨轮复用。 建议： 精读。重点比较 inspectable facts 与 executable skills 的写入、修订和迁移机制，并检查减少轨迹成本是否来自任务重复度、记忆命中或真正可泛化的控制逻辑。 今日优先阅读 优先阅读 ToolHazard、AI4AI at Test-Time 与 Agent Safety Should Be a Runtime Contract。ToolHazard 可能改变 IPI benchmark 的环境构造与训练数据生成方式；AI4AI 直接影响 executable harness learning 的基线和论文定位；runtime contract 则把 permission gate、证据链与完成验证统一为可执行的 Agent 安全边界。