Prompt Injection

本期检索范围： 2026-08-12—2026-08-13 本期共筛选出 9 项。最明显的趋势是：Harness optimization 正从开放式自改代码扩展到 verifier-grounded、结构选择和生产级闭环优化；Agent Security 则进一步落到 MCP 身份委托、LLM 到传统 Web sink 的信任边界，以及多智能体中的指令传播。本期均为新论文，没有达到“实质方法或实验变化”标准的论文版本更新或项目重大更新；未发现值得脱离论文单独收录的新代码项目。 1. SBCO: Self-Supervised, Verifier-Grounded Harness Optimization For Planning Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Vivek Kulkarni、Sudipta Paul、Aounon Kumar、Nicholas Tzou、Srinivas Chappidi 日期： 2026-08-10 链接： 论文 核心内容： SBCO 将 Harness 自优化改写为 verifier bank 与 harness policy 之间的近似 block coordinate ascent：固定 meta-agent，利用系统自身的分级反馈学习验证器和策略，不需要人工标签，也不依赖 Agent 递归修改自身代码。作者报告其在两个规划域中达到或超过定制的 self-modifying baseline，同时只使用后者约 1/4–1/5.5 的计算预算。 与你的方向关系： 这是 Harness Optimization 的直接工作，提供了开放式 self-modification 之外、更便宜且更易审计的 verifier-grounded 路线；尤其适合作为 executable harness learning 与有限预算自进化的强基线。 建议： 精读。重点比较 verifier decomposition、策略更新的相互依赖，以及较低计算量是否牺牲跨任务泛化或可执行控制器的表达能力。 2. MESA: Task-Adaptive Multi-Structure Evidence Selection for Long-Horizon Agent Memory 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Beidi Zhao、Yaoqi Chen、Yuru Feng、Menghao Li、Qianxi Zhang等 日期： 2026-08-10 链接： 论文 核心内容： MESA 为长轨迹构建五种互补记忆结构，并依据查询动态选择、融合其中的子集，而不是固定读取全部结构或只路由到单一结构。它以答案级反馈为弱监督，通过 prior-guided search 与 UCB 调度进行 harness optimization；在 AMA-Bench 上较最强基线提高 8.5%，同时比全结构方案少用 41% evidence tokens。 与你的方向关系： 该工作把 Harness Optimization 具体化为“结构级证据选择”，直接关联 Agent memory、cost-aware controller optimization 与长程轨迹压缩，也可作为 code-as-memory 路线的结构化记忆对照。 建议： 精读。最值得检查的是五种结构的互补性、UCB 的信用分配方式，以及选择器在任务分布变化时是否仍能避免证据遗漏。 3. From Prompt Injection to Web Exploitation: Revisiting Classic Vulnerabilities in LLM-Integrated Applications 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Spiros Tsigkopoulos、Christoforos Ntantogian 日期： 2026-08-10 链接： 论文 核心内容： 论文提出 LLM-mediated web attacks，将 LLM2SQLi、LLM2XSS、LLM2SSTI、LLM2CommandInjection、LLM2SSRF 等统一描述为攻击输入经模型变换后进入传统 Web sink 的路径。作者用 Flask 应用 TicketOracle 在五种 LLM2SSRF 场景和七个模型上做案例研究，强调根因通常是应用架构信任模型生成内容，而非模型单独创造了底层漏洞。 与你的方向关系： 这把 Prompt Injection 与 tool-use security 的威胁边界延伸到数据库、HTTP、文件和模板等真实执行组件；“LLM 作为 mediation layer / confused deputy”也直接支持 capability separation 与 sink-level validation。 建议： 精读。建议围绕 source–transformation–sink 数据流重画威胁模型，并重点评估网络层 allowlist、参数化接口和最小权限是否比 prompt-only 防护更稳定。 4. A Gateway Architecture for Enterprise MCP Authentication: Unifying Heterogeneous Auth, Identity Delegation, and the User / Non-User Persona Problem 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Suraj Kumar、Amy Wang、Srinivasan Manoharan 日期： 2026-08-11 链接： 论文 核心内容： 论文报告一个已投入生产的集中式 MCP gateway，用统一聚合层治理数十个内部 MCP server。其认证模型交叉区分交互用户/自动化非用户与多类凭据，支持三种企业 SSO grant、BYOT/GYOT、基于 RFC 8693 的委托 OAuth，以及三条端到端身份流。 与你的方向关系： 这是 capability / permission control 与 tool-use security 的直接工程案例，处理了 Agent 到工具链中的主体身份、token 委托、审计和离职回收问题；也给 MCP server 的最小权限设计提供了可落地边界。 建议： 精读。重点看 persona 与 credential 两轴是否覆盖 autonomous sub-agent、token exchange 的 audience/scope 收缩，以及 gateway 集中化后的故障与信任风险。 5. Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Vassilis Papadopoulos、McNair Shah、Sam Zimmerman、Jack Lindsey 日期： 2026-08-10 链接： 论文 核心内容： 作者用简单进化算法构造会诱导宿主 Agent 继续传播的“mind viruses”，并在协作编码团队与会话间清空上下文的 Agent 链中测试传播。传播率受宿主模型、既有指令、载荷危害性和网络拓扑影响；有害载荷总体较难传播，但并非无效，而简短警告在其实验中接近完全阻断。 与你的方向关系： 该工作将 indirect prompt injection 从外部文档扩展到 agent-to-agent message propagation，直接关联 multi-agent security、持久化指令与信任传播；其传播视角也提醒系统不能只评估单节点攻击成功率。 建议： 精读。应重点复核病毒适应度函数、跨模型迁移和网络拓扑消融，并把“系统提示警告近乎免疫”视为当前实验条件下的结果，而非通用防御结论。 6. GitSkills: A Dataset of Agent Skills on GitHub 类型 / 来源： 新论文｜arXiv / MSR 2027（待发表） 作者 / 维护者： Giuseppe Destefanis、Daniel Graziotin、Matteo Vaccargiu、Marco Ortu 日期： 2026-08-11 链接： 论文 核心内容： GitSkills 汇集 2026 年 7 月从 282,200 个公开仓库发现的 3,797,117 个 SKILL.md 文件，并按内容哈希归并为 1,877,981 个不同内容。单一 SQLite 数据文件保留仓库、路径、全文、front matter、目录内容、仓库元数据及部分文件历史，面向 Agent skill 的采用、复用、维护与安全研究。 与你的方向关系： 它为 persistent instruction / skill-file security 提供了罕见的大规模实证语料，可用于恶意技能检测、复制传播、权限声明缺失和供应链污染分析；也能检验现有 skill benchmark 是否代表真实 GitHub 分布。 建议： 收藏。优先获取数据后评估去重策略、许可证与敏感信息处理，再用它构建真实分布的安全审计基准；论文目前是 3 页数据说明，不必按方法论文深读。 7. Self-evolving Agentic Customer Support System at LinkedIn 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Chih Hui Wang、Mengdie Tu、Qianyun Zhang、Wei Wu、Lili Zhou、Mingqi Shen、Changshuai Wei 日期： 2026-08-10 链接： 论文 核心内容： LinkedIn 将 RAG、evolutionary auto-prompting 与模块化生产评测组合成有版本和 guardrail 的持续优化闭环，无需重训基础模型。两周用户随机 A/B 实验中，集成流程使 QA self-serve、cancellation self-serve 和 routing accuracy 分别提高 9.0、4.8 和 30.6 个百分点。 与你的方向关系： 这是 Harness Optimization 的生产级证据，展示 prompt、retrieval 与 evaluator 如何共同成为可演化控制面；它也为离线优化增益能否转化为线上业务指标提供了难得参照。 建议： 精读。重点核查进化搜索空间、版本回滚与 guardrail 机制，以及 A/B 指标提升中 retrieval、prompt 和 evaluator 各自的因果贡献。 8. Interpreting Language Model Hidden States at Scale 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jordan Pettyjohn、Mansi Sakarvadia、Nathaniel Hudson、Daniel McKenzie、Kyle Chard、Ian Foster 日期： 2026-08-10 链接： 论文 核心内容： OmniLens 用低秩 translator 与 Subset-KL 将 trained lens 扩展到不同宽度、不同组件的隐藏状态；作者报告前者最多减少 98.4% 可训练参数，Top-k Subset-KL 最多降低 70% 峰值训练内存。由此可在 Llama-3.3-70B 上训练 482 个 lens，并在 prompt injection detection、multi-hop memory injection 和 toxicity localization 三个案例中复现既有结果。 与你的方向关系： 它为 Prompt Injection 与 memory injection 防御提供模型内部诊断工具，可帮助区分“行为最可见的组件”和“干预最有效的组件”，补充仅在输入/输出层部署 classifier 的方案。 建议： 浏览。重点关注安全案例的检测协议与 intervention 有效性；若要用于运行时防御，还需核算 lens 推理开销和跨模型、跨攻击迁移。 9. On Understanding, Identifying, and Mitigating Vulnerabilities in Agentic Large Language Models 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Md Jafrin Hossain、Mohammad Arif Hossain、Nirwan Ansari 日期： 2026-08-11 链接： 论文 核心内容： 这项 PRISMA 2020 系统综述从六个数据库筛查 743 条记录并保留 85 篇 2023–2025 年论文，按 perception、brain、action、interaction 四层整理 13 类漏洞。其统计显示攻击研究与防御研究之比为 3.9:1，感知层占 66%，而 action-layer、code execution 和 tool-augmented agent 的研究占比分别仅 4.7%、3.5% 和 12%。 与你的方向关系： 综述为 Agent Security 选题提供宏观缺口证据：prompt injection 已高度拥挤，而工具误用、代码执行、隔离和 containment 与真实权限风险不成比例；可用于校准研究定位和 related-work taxonomy。 建议： 浏览。优先看纳入标准、分类边界和七个开放问题，再核查关键比例是否受检索式、年份窗口和论文去重方式影响。 今日优先阅读 优先阅读 SBCO、MESA 与 From Prompt Injection to Web Exploitation。前两项分别代表 verifier-grounded Harness 自优化和查询自适应的结构级记忆控制，直接影响 Harness Optimization 的基线与 novelty positioning；第三项则把 prompt injection 与传统 Web sink、confused deputy 和最小权限架构连成完整攻击链，会影响 Agent 工具接口的安全边界设计。

本期检索范围： 2026-08-11—2026-08-12 本期共筛选出 10 项。最明显的趋势是安全机制正在从固定 guardrail 转向可演化、可归因的 harness artifact，同时评测也从最终回复扩展到执行轨迹、权限行为和环境元数据。没有论文版本更新或项目重大更新；发现 3 个随论文发布、包含实质代码与评测资源的新仓库，没有值得单独收录的新项目。本批条目的论文原始提交日期为 2026-08-07 至 2026-08-10，并于本期进入最新公开列表。 1. SHE: Trajectory-driven Safety Harness Evolution for LLM Agents 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Wanying Qu、Qinghua Mao、Yu Li、Jiyao Liu、Xin Zhang 等；RainbowQTT 日期： 2026-08-10 链接： 论文 · 代码 核心内容： SHE 将安全 harness 拆为 System Prompt、Rule Bank、Safety Memory 和 Tool Policy 四类职责明确的 artifact，再把 rollout failure 转成结构化诊断并归因到最小责任组件，通过 safety–utility validation 选择更新。作者报告其在 Agent-SafetyBench 上相对静态 SafeHarness 将攻击成功率降低 3.1 倍，同时提升良性任务效用；仓库提供演化、评测、数据划分和 smoke tests。 与你的方向关系： 直接交叉 Agent Security 与 Harness Optimization：安全边界不再是冻结的单一提示，而是由轨迹驱动、局部修改且经验证门筛选的持久控制结构。 建议： 精读并复现实验。重点比较其四类 artifact 分工与通用函数级 harness edit 的表达能力，并核对安全—效用 gate 对未见攻击和跨模型迁移的稳定性。 2. ActBench: Self-Evolving Benchmark of Behavioral Safety in Cowork Agents 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Hongwei Yao、Yiming Liu、Meihui Chen、Jieling Chen、Zikun Chen、Yiling He、Wangze Ni、Cong Wang、Kui Ren；ZJUICSR 日期： 2026-08-10 链接： 论文 · 代码 核心内容： ActBench 用执行轨迹而非最终回复评估 cowork agent 的行为安全，包含 600 个配对案例、213 个场景、15 类风险、六种执行空间和 48 个 Web API，并以 reward-guided beam search 持续优化攻击载荷。论文评估 15 个 LLM、六个开源 Agent、共 24,000 条轨迹；官方仓库公开 300 个可运行任务、mock services、runner、backend adapters 与评分代码。 与你的方向关系： 直接覆盖 prompt injection、data exfiltration、memory poisoning、permission chaining 和 unauthorized tool/API use，且可以用于比较相同模型在不同 harness 下的安全差异。 建议： 精读并收藏基准。优先检查配对任务是否真正保持良性任务等价、dual-evidence scoring 的误差，以及公开任务与论文完整 600 案例之间的覆盖差异。 3. Hierarchical Self-Improvement: A Framework for Task-Specific Evolvable Agent Harnesses 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Tailin Zhou 日期： 2026-08-09 链接： 论文 · 代码 核心内容： HSI 让同一个冻结 LLM 分别充当任务 harness、重写 harness 的 evolver，以及重写 evolver strategy code 的 meta-evolver，并用冻结 outer anchor 限制自修改边界。使用 DeepSeek-V4-Flash-Preview 在 BALROG 上，论文报告 BabyAI、Crafter、TextWorld 和 MiniHack 分别较初始 harness 提升 39.3、33.0、25.0 和 15.0 个 Progress 百分点，同时明确展示 NLE 上受 backbone capability bound 限制而无法改善。 与你的方向关系： 与 executable harness learning、code-as-memory 和自然增长式 scaffold optimization 高度重合；其“harness—evolver—meta-evolver”分层会直接影响相关工作的 novelty positioning。 建议： 精读并运行代码。重点比较固定 task-injection seam、两类持久记忆和 meta-evolution 是否扩大有效搜索空间，以及 held-out 选择是否足以排除 benchmark-specific patch。 4. SkillsMetric: Mapping the Detection Boundary of Static Analysis for Malicious Agent Skills 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xinze Chen、Chi Zhang、Ping Ji、Yimin Liu 日期： 2026-08-09 链接： 论文 核心内容： SkillsMetric 从 pattern density、statistical anomaly、dataflow taint、import anomaly 和 capability mismatch 五个维度静态分析 Agent skill package，并构建覆盖 16 类攻击的 2,266 个对抗 skill，在 SkillMD-138K 上评估。方法取得 0.93 AUC 和 73.4%±0.5% 的五折 F1，但对常见 shell 命令实施的 host destruction 检出率为 0%，对自然语言 prompt injection 仅为 42%。 与你的方向关系： 直接针对持久化 SKILL.md/脚本供应链，量化了静态扫描的有效边界，并为“静态预筛 + 语义审查 + 运行时 capability control”的分层防御提供依据。 建议： 精读。最值得关注的是 16 类攻击的构造方式、capability mismatch 的判定依据，以及与 SkillGate 一类运行时检测的互补关系。 5. Not an A11y: How Android Accessibility Exposes Mobile AI Agents to Indirect Prompt Injection 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Rahul Deivasigamani、Sayeda Faatin Alvi、Derqui Andrea、Kaushal Punjabi、Stjepan Picek 日期： 2026-08-09 链接： 论文 核心内容： 论文指出 MobileRun 与 Mobile-Use 对 Android accessibility tree 和截图的依赖会把未经净化的界面元数据变成指令通道，攻击可导致 goal hijacking、context drift 和未授权设备操作。在汇总实验中，MobileRun 搭配 Gemma4:31B 的攻击成功率为 0.822，Mobile-Use 搭配 Qwen3.6:35B 降至 0.150，但仍未消除上下文漂移和未授权动作。 与你的方向关系： 这是典型的跨模态 indirect prompt injection，说明视觉隐藏不等于语义隔离，harness 必须区分 A11y 数据、用户指令与可执行权限。 建议： 精读。重点查看攻击在 accessibility metadata 与截图通道之间的差异，以及 zero-trust input validation 能否在不破坏无障碍功能的情况下落地。 6. BASIS: Breach-Aware Selective Prompt Injection Shielding with Prefill Attention Probes 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Laiqiao Qin、Tianqing Zhu、Longxiang Gao、Wanlei Zhou 日期： 2026-08-08 链接： 论文 核心内容： BASIS 不把“存在注入”直接等同于“必须拒绝”，而用 Attention Competition Ratio 训练 existence probe 与 breach probe，级联判断注入是否实际突破当前模型和指令。该在线防御不增加额外 LLM 推理；作者在四个任务、六个开源模型上报告近乎完美的注入检测，并显著减少模型本可抵抗攻击时的过度拒绝。 与你的方向关系： 与 Prompt Injection defense 的 utility–security trade-off 直接相关，也提示 harness 可把“污染存在”和“能力边界已被突破”设为不同的控制信号。 建议： 精读。重点验证 attention probe 的跨模型迁移、面对自适应攻击的稳健性，以及闭源 API 无内部激活时的可部署性。 7. Whose Refusal Is It? The Unmeasured Contribution of Black-Box Multimodal Guardrails 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Haoyu Zhang、Xiao Luo、Haowen Xu、Yi Feng、Shibo Zheng、Mohammad Zandsalimy、Shanu Sushmita 日期： 2026-08-09 链接： 论文 核心内容： 论文指出黑盒 guardrail 的安全得分混合了 guardrail 阻断与目标模型自身拒绝，却通常没有分开计量；真实贡献会随 payload channel 以及 harness 传给防御器的内部文本而变化。实验中，文本 guard 面对像素承载的 payload 完全不阻断，而若直接获得未编码攻击请求则会被显著高估；作者给出无需新增推理成本的拒绝归因方法。 与你的方向关系： 直接影响 jailbreak/prompt-injection defense 的评测可信度，也说明 harness 的输入转换和通道选择本身是安全实验中的隐藏变量。 建议： 精读。建议把“guardrail block、model refusal、provider-side block”拆分为独立指标，并复查现有实验是否向防御器泄露了 benchmark 才知道的原始攻击文本。 8. Capability-Routed Guard: Defending Large Reasoning Models Against Reasoning-Centric Jailbreaks 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yiyong Liu、Yixin Wu、Jun Sakuma 日期： 2026-08-08 链接： 论文 核心内容： CRG 将 reasoning-centric jailbreak 防御改写为 capability routing：旁路 controller 从授权任务、活动上下文、安全证据和 capability-transfer risk 构建可信表示，再对高风险请求阻断、模糊请求限权、低风险请求放行。随后 TraceCheck 检查执行与授权任务的一致性，并用受限 fallback 尽量保留良性效用。 与你的方向关系： 与 capability/permission control、trusted active context 和 tool-use security 高度相关；相比只做内容分类，它把安全判断落实到可执行能力的路由与降级。 建议： 浏览后定向精读。重点核查 controller 的可信输入从何而来、capability-transfer risk 如何标注，以及 TraceCheck 是否能抵抗同源语义操纵。 9. Governing the KV Cache: Preventing Timing Side-Channel Leakage in Multi-Tenant LLM Inference 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Tejasvi C. Addagada 日期： 2026-08-10 链接： 论文 核心内容： KVGov 用基于 principal identity 的 HMAC salt 将不同租户的 prefix-cache key 加密隔离，以阻断 PROMPTPEEK、EarlyBird 和 InputSnatch 三类时间侧信道。作者在 A100/vLLM 与 Apple Metal/llama.cpp 上复现缓存时延通道；防御效果主要通过校准模拟评估，并估计在提示分叉边界注入 salt 可保留 93% 的 prefix-cache 收益。 与你的方向关系： 属于 LLM Privacy 与多租户 agent infrastructure 的底层问题：即使上层 memory 和权限隔离正确，共享 KV cache 仍可能泄露私有 prompt。 建议： 浏览 / 收藏。该工作有明确工程原语，但防御主体仍以模拟为主；应重点验证真实 serving stack 中的隔离收益、缓存命中损失和 principal 生命周期管理。 10. The Anatomy of a Prompt Injection: A Component Model for Structured Analysis 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jeremy McHugh 日期： 2026-08-07 链接： 论文 核心内容： 论文把 prompt injection 从不可复用的原始字符串拆为 carrier、delivery vector、concealment、context-break、privilege escalation、payload 和 return channel 七个组件，并给出映射到 cyber threat intelligence schema 的标注规则。其核心主张是按工具目标、数据 sink 与行为效果表达攻击意图，而不是依赖表面措辞匹配。 与你的方向关系： 该结构适合用于生成可控变体、构造组合攻击 benchmark，并把 indirect prompt injection 与传统 kill-chain、权限提升和回传通道统一描述。 建议： 收藏 / 浏览。它主要是分析模型而非新防御算法，价值在于统一实验变量；可尝试将七组件映射到现有 IPI instance 与 harness policy 检查点。 今日优先阅读 优先阅读 SHE、ActBench 和 Hierarchical Self-Improvement。SHE 与 HSI 会直接影响当前 harness optimization 工作的 novelty positioning：前者把安全职责拆成可局部演化的 artifact，后者进一步让 evolver strategy 本身可修改；ActBench 则提供了检验这些 harness 是否真正降低权限违规、记忆投毒和数据泄露的轨迹级基准。

本期检索范围： 2026-08-10—2026-08-11 本期共筛选出 10 项。最新公开批次的主线是：攻击开始从单轮提示扩展到跨页面、跨载体和跨 Agent 的持久化链路；Harness Optimization 则更强调验证门、可撤销记忆与“可演化性”而非单次得分。没有论文版本更新或项目重大更新；发现 3 个随论文发布且包含实质代码的新仓库，没有值得单独收录的新项目。由于 arXiv 周末后的集中发布机制，本期条目的原始提交日期为 2026-08-06 或 2026-08-07。 1. HarnessSafe: Evaluating Safety Across Persistent Carriers in Agent Harnesses 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xiao Zhang、Yusheng Wang、Yuhao Fei、Dongyuan Li、Zian Liang、Liuyu Xiang、Hongxun Gu、Zhaofeng He 日期： 2026-08-07 链接： 论文 核心内容： HarnessSafe 提出 Persistent-Risk Lifecycle，用 328 个可执行案例覆盖七类持久载体，并沿“攻击进入—跨载体或系统边界持久化—后续良性任务触发—可观察违规”追踪风险。实验显示，端到端攻击成功率会掩盖生命周期中的传播位置，而且防护效果高度依赖具体载体及 harness–model 组合。 与你的方向关系： 直接连接 Agent Security、持久化 prompt injection、memory/skill-file security 与 harness-dependent evaluation；其分阶段 trace 指标适合检验安全控制究竟在哪一层失效。 建议： 精读。优先核对七类 carrier 的威胁覆盖、阶段判定规则，以及是否能迁移为 harness 回归测试门。 2. StepJack: Benchmarking Computer-Use Agent Safety Against Multi-Step Indirect Prompt Injection 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Zhuoxin Zhan、Akbar Rafiey、Avery Ma、Leila Pishdad、Layla El Asri；BorealisAI 日期： 2026-08-06 链接： 论文 · 代码 核心内容： StepJack 将一个恶意目标拆成分布于相互链接页面的多个表面无害子步骤，构造 480 个样例并评估六种 computer-use agents。在固定分解深度下，三种 Agent 的攻击成功率最高增加 31.2 个百分点；仓库提供数据、自动分解、桌面环境、Agent 适配与实验脚本，而非仅有 README。 与你的方向关系： 这是 indirect prompt injection 从“单页恶意文本”升级为“跨页面组合攻击”的直接证据，要求 harness 对跨导航历史做意图聚合与信息流追踪。 建议： 精读并复现实验。重点比较分解深度、页面链接结构与 action gate 的关系，并测试现有注入检测器能否识别组合后才显现的恶意目标。 3. SynChain: Inducing Computer-Use Agent Systems to Construct Their Own Attack Chains 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Fuyao Zhang、Jiaming Zhang、Che Wang、Boyang Chen、Yurong Hao、Xiongtao Sun、Guowei Guan、Blaise Delattre、Yang Cao、Wei Yang Bryan Lim 日期： 2026-08-07 链接： 论文 核心内容： SynChain 把恶意影响嵌入 Agent 自主生成的 skill、memory 与 artifact 的结构冗余中，使系统在后续任务里自行拼接出攻击链。作者构建含 30 条良性任务链和三类攻击目标的 CUAChain，并在 OpenClaw、Codex、Claude Code 及四种防御下评估；休眠载荷可在没有新恶意外部输入时再次激活。 与你的方向关系： 工作直接覆盖持久指令、code/skill-as-memory 与 self-evolving agent 的供应链风险，说明“由 Agent 自己写入”不能作为可信来源判据。 建议： 精读。重点检查 payload 在合成、存储和复用阶段的可见性，以及可否通过 provenance、capability manifest 和写入前审计切断链路。 4. An End-to-End Agent Auditing Engine 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Haoning Wang、Mingxun Zhang、Chenyue Yu、Yingjun Shang、Xia Hu、Guanchu Wang、Na Zou；DataMLLab 日期： 2026-08-07 链接： 论文 · 代码 核心内容： A²E 通过 Agent Task Protocol 连接不同 benchmark 与 harness，自动采集标准化 LLM/tool execution traces，并从正确性、效率、工具使用、规划和错误恢复等维度审计。官方仓库包含任务适配、监控、评估、服务端和可视化 UI，支持多类 agent framework 与 benchmark；论文观察到不存在跨任务始终占优的单一 model–harness 组合。 与你的方向关系： 它为 Harness Optimization 提供统一的过程级观测与对比基础，也可承载安全属性、权限违规和提示注入传播的自定义 evaluator。 建议： 精读论文，试跑代码。最值得验证的是 ATP 的适配成本、trace 完整性，以及加入安全回归门后能否稳定比较 harness 变体。 5. EMAS: Stabilizing Multi-Agent System Evolution through Evidence-Guided Revision 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Chao Fei、Qingyi Si、Kaihua Liang、Yanghua Xiao、Panos Kalnis、Hongcheng Guo 日期： 2026-08-07 链接： 论文 核心内容： EMAS 在不更新模型权重的情况下修改多 Agent 拓扑和提示：先把失败轨迹转成带操作与目标的结构化诊断，只在同类诊断跨样本重复出现时生成候选，再通过与当前系统成对验证决定是否接受。论文在四个 benchmark、两个 LLM 上报告最高任务加权准确率，并展示准确率提升与 token 成本下降可以同时出现。 与你的方向关系： 这是 scaffold/controller optimization 的强相关方法，尤其贴近证据聚合、有限编辑和 held-out regression gate；它也让多 Agent 架构演化更可审计。 建议： 精读。重点比较“重复诊断触发”与历史经验蒸馏的差异，并检查成对验证是否足以防止局部过拟合和安全回退。 6. SkillProx: Self-Evolving Agent Skills via Proximal Textual Gradient Descent 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Mingxuan Zheng、Yujin Zhou、Chuxue Cao、Boqin Yin、Yuyao Zhang、Jiapeng Sun、Shuaishuai Gong、Sirui Han、Yike Guo 日期： 2026-08-07 链接： 论文 核心内容： SkillProx 用前向—后向框架稳定 skill 演化：前向阶段在同一批次重执行诊断驱动的编辑并回滚退化，后向阶段把 skill 拆为可审计知识单元，用冻结的 leave-one-out utility audit 决定合并、降级或移除。作者报告其在 ID/OOD、多种 backbone 设置下较最强 textual-gradient 基线平均提升 3.0 个百分点。 与你的方向关系： 与 executable harness learning、持久 skill 优化和 self-evolving agents 直接相关；知识单元审计与回滚机制也为“增长但不累积无效规则”提供了实现参考。 建议： 精读。关注 proximal 约束如何落实、同批重执行是否引入选择偏差，以及 leave-one-out 审计在大规模 skill 库中的成本。 7. When Context Bites: Detecting RAG Poisoning via Document-Level Attention Collapse 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub（SIGIR 2026） 作者 / 维护者： Yingtao Ren、Ziyi Zhao、Yiwei Fu、Xiao Luo、Yu-Cheng Chang、Chin-Teng Lin 日期： 2026-08-07 链接： 论文 · 代码 核心内容： 论文发现 RAG 中毒输出可能具有更低困惑度，导致基于输出不确定性的检测产生“虚假自信”；相反，攻击会让注意力集中到中毒文档并形成 document-level attention collapse。D-SCAN 监控该内部信号，即使攻击未成功改变最终答案也能检测到异常；仓库提供数据、内部状态收集、特征计算和分析流程。 与你的方向关系： 该方法针对检索内容驱动的间接提示注入与知识库污染，把检测点从输出搬到上下文信息流内部，可作为 tool/RAG ingress guard 的互补信号。 建议： 精读并浏览代码。需重点验证跨模型、长上下文和注意力不可见 API 场景的可迁移性，并与文档 provenance 检查组合评估。 8. TEPA: Revoking Stale Memories for Conflict-Robust Language Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yan Zhou、Yue Ouyang、Kaiyang Zheng、Suncheng Xiang 日期： 2026-08-07 链接： 论文 核心内容： TEPA 将 observation 表示为 keyed precedent，新证据在同一 key 下发生冲突时撤销旧 precedent，使检索只使用当前有效证据，同时保留撤销历史供审计。在 50 个随机种子的完全反转实验中，TEPA 得分为 0.950，而 append-only、last-write-wins 和无记忆分别为 0.210、0.210、0.309；文件执行环境复现了相同趋势。 与你的方向关系： 与 agent memory lifecycle、语义冲突和持久化状态治理直接相关；显式 revocation 也为记忆投毒后的隔离、恢复与 capability revocation 提供了基础原语。 建议： 精读。重点区分“过期事实撤销”与“恶意记忆识别”，并评估 key 冲突判定、多跳依赖和被撤销内容再激活的安全边界。 9. BONSAI: Evolvability-Guided Tree Search over Skills 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yash Priya Shastri、Anand Eswaran、Adnan Qidwai、Pankaj Thorat、Sachin Joshi 日期： 2026-08-07 链接： 论文 核心内容： BONSAI 不只按当前 skill 得分搜索，而把其变异邻域的平均表现作为“可演化性”估计，并在 Monte Carlo tree search 的 UCB 中同时使用个体 fitness 与 neighborhood fitness。使用冻结的 30B Agent 在三个 benchmark 上，作者报告 held-out 表现较无 skill 提升 23.13 个百分点，并分别领先 GEPA 和 SkillOpt 3.87、3.97 个百分点。 与你的方向关系： 这是 Harness Optimization 中搜索目标设计的重要相邻工作：它把“未来可改进空间”纳入选择，可用于避免早期收敛到难以继续生长的局部最优 scaffold。 建议： 精读。建议重点复核 evolvability 估计是否真正免费、树搜索预算如何分配，以及对安全约束和代码级编辑能否扩展。 10. When Coordination Becomes a Threat: Communication Attacks in LLM-Controlled Multi-Robot Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zhen Huang、Zhihuang Liu、Weijia Shi、Yifan Yang、Weishang Wu、Zhiping Cai 日期： 2026-08-07 链接： 论文 核心内容： 论文定义 External Entry Point Attack 与 Privileged In-System Attack，并在三种多机器人通信架构、三个 LLM 和五类具身任务上测试恶意声明如何转化为不安全动作。攻击在各架构均能传播；作者提出 Claim Provenance and Verification Gate，在其实验中把违规率从 70.0% 降至 36.6%。 与你的方向关系： 这是 multi-agent security、跨 Agent 信任传播和 tool-use safety 的具身实例，强调已进入系统的消息不能因“来自同伴 Agent”而自动获得权限。 建议： 浏览。重点收藏 CPV gate 的声明来源与验证接口设计，并与 semantic taint、不可逆 action gate 做横向比较。 今日优先阅读 优先阅读 HarnessSafe、StepJack 和 SynChain。三者共同把威胁模型从单点 prompt injection 推进到跨载体、跨页面和由 Agent 自行构造的持久攻击链，会直接影响 Agent 安全 benchmark 的任务设计、上下文 provenance 策略以及 harness 中 action/memory/skill 写入门的位置。

本期检索范围： 2026-08-07—2026-08-08 本期筛选出 10 项，最明显的趋势是 Harness Optimization 开始形成专门评测与训练范式，同时自演化 Agent 的轨迹投毒、技能污染和写入前验证成为新的安全主线；多模态 Prompt Injection 也进一步进入机器人与智能家居等物理环境。本期均为新论文，其中 2 项同时发布了具备实质代码、文档或测试的官方仓库；未发现值得重复收录的论文版本更新、项目重大更新或独立新项目，IACR ePrint 亦无符合标准的新条目。 1. HarnessOpt-Bench: Evaluating LLMs at Harness Optimization 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Varun Ursekar、Apaar Shanker、Yash Maurya、Shehab Yasser、Vijay S. Kalmath、Veronica Chatrath、Yuan Xue 日期： 2026-08-06 链接： 论文 核心内容： HarnessOpt-Bench 将 harness 优化定义为受固定目标评测预算约束的端到端任务：优化器根据种子 harness 与带分反馈反复修改系统，但不能访问 held-out test。作者通过可信执行环境计量资源、保存版本并隔离测试，在 5 个前沿优化模型、两类 coding harness、4 个任务和 111 次计分运行上发现，优化器模型差异通常大于 coding harness 差异，原生 harness 也并非稳定占优。 与你的方向关系： 这是 Harness Optimization 的直接评测基础设施，尤其适合检验开放式 controller edit 在昂贵、随机反馈和有限预算下是否真正泛化，而非只适配可见样本。 建议： 精读。重点比较其目标函数、预算计量、版本保留与 held-out 隔离是否足以形成你所需的 regression gate。 2. EvoHarness-RL: Learning Self-Evolving Runtime Harness for Long-Horizon LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xuying Ning、Dongqi Fu、Tianxin Wei、Hanqing Zeng、Yuanchen Bei、Bingxuan Li、Zihao Li、Qifan Wang、Xiang Shen、Yifan Wu、Jiayi Liu、Hong Li、Yinglong Xia、Xiangjun Fan、Hanghang Tong、Jingrui He 日期： 2026-08-05 链接： 论文 核心内容： EvoHarness-RL 学习一个运行时 harness policy，以 Belief–Progress–Experience 状态组织长程轨迹，并决定何时读取、更新或压缩经验。方法先用 SFT 学习动作空间与状态构造，再以 cost-aware GRPO 优化决策；作者报告 Qwen3-8B 在 ALFWorld 上达到 96.9% 成功率，并观察到 harness annealing 与演化现象。 与你的方向关系： 它把 Harness Optimization 从离线 prompt/scaffold 搜索推进到运行时策略学习，直接关联可执行记忆、成本控制和自演化 Agent。 建议： 精读。重点核查状态表示、写入动作、成本奖励和长期稳定性，并与固定配置搜索及直接代码演化进行对照。 3. When Experience Becomes Instruction: Trajectory Poisoning in Self-Evolving Agent Skill Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jialuo Chen、Lingqi Jiang、Xinhao Deng、Xiaohu Du、Jianan Ma、Yunhao Feng、Yuqi Qing、Zhihao Yuan、Linkang Du、Jingyi Wang 日期： 2026-08-06 链接： 论文 核心内容： 论文提出黑盒轨迹投毒攻击 PoisonedEvolution，使少量攻击者提供的成功记录在后续技能蒸馏中被提升为持久指令。在 SkillClaw 的六个 LLM evolver 上，10% 攻击者支持时 SkillClaw 嵌入目标行为 546/600 次（91.0% SER），Trace2Skill 为 369/600 次（61.5% SER）；受控实验中，30 条轨迹里的 3 条一致恶意记录即可造成明显污染。 与你的方向关系： 该工作直接连接 Agent memory poisoning、持久化指令安全与 self-evolving harness，指出“经验成为代码或技能”时 evidence promotion 本身就是安全边界。 建议： 精读。最值得验证的是攻击对轨迹排序、来源信誉、去重和跨轮蒸馏规则的敏感性。 4. When Self-Evolution Backfires: Pre-Commit Gating against Skill Contamination in LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Linfang Shang、Ming Xu、Yiding Sun、Tianle Xia、Lingxiang Hu、Lan Xu、Ning Zheng 日期： 2026-08-06 链接： 论文 核心内容： 作者将自演化中的错误积累描述为 capability contamination：缺陷技能一旦被提交，便会成为后续蒸馏来源并引发跨轮、难逆转的污染。提出的 VaG 在写入前联合结构有效性、行为无害性与语义一致性三个 critic，再以边际收益选择技能子集；在 Terminal-Bench 2 上达到 72% pass@1，同时将技能池缩小约 5 倍，并在四种 backbone 和第二个 benchmark 上验证迁移性。 与你的方向关系： 这是 Harness Optimization 与 Agent Security 的交叉防线，把安全检查放在持久状态提交前，而不是等污染进入长期记忆或技能库后再修复。 建议： 精读。可重点比较三类 critic 的独立贡献、误拒成本，以及是否能充当可执行 harness 修改的 pre-commit gate。 5. SkillHEX: Improving Agent Skills via Hypothesis-Driven Autonomous Exploration and Exploitation 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yuru Feng、Yaoqi Chen、Beidi Zhao、Qianxi Zhang、Xinjiang Wang、Jianan Lu、Zhirui Wang、Shusen Xu、Zengzhong Li、Qi Chen 日期： 2026-08-06 链接： 论文 核心内容： SkillHEX 将失败分析转化为可证伪假设和可执行测试，再以 evidence-guided tree search 在探索新修复方向与利用已有证据之间分配预算。作者在 87 个 SkillsBench 任务、5 次迭代预算下，报告 GPT-5.3-Codex 与 Claude Opus 4.7 的平均通过率分别为 55.9% 和 57.9%。 与你的方向关系： 它提供了一种从失败证据生成结构化搜索分支的 Harness Optimization 路线，与历史经验蒸馏、code-as-memory 和有限预算下的 scaffold 演化高度相关。 建议： 精读。重点看假设如何落地为测试、树搜索是否避免过拟合，以及跨任务复用的技能是否设有回归验证。 6. Activity Frames: Deterministic Screen-Activity Compilation for Agent Memory and Replay 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Nossa Iyamu 日期： 2026-08-06 链接： 论文 · 代码 核心内容： Activity Frames 以零模型、确定性编译方式把屏幕活动转化为带类型、边界和证据指针的 frames，用于 Agent 记忆查询与可重放例程。作者在单一专业用户 51 天、128,756 个 frames 上报告 68 毫秒内实现 86 倍压缩，问答准确率 98.4%，高于 LLM 摘要的 66%–80%；满足 guard 的重复流程可在命中时实现零模型 token 重放。 与你的方向关系： 该工作将 code-as-memory 和 executable harness learning 落到可审计、可重放的结构化表示，同时通过证据指针和 guard 限制语义摘要带来的漂移风险。 建议： 精读论文，浏览代码。仓库包含 Python 包、MCP 工具、CLI、测试与研究材料，适合验证 replay guard、隐私边界及跨用户泛化。 7. Robust Context-Aware Detection of Malicious Instructions in Text 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Buzhao Liu、Xinhang Ma、Yevgeniy Vorobeychik 日期： 2026-08-05 链接： 论文 · 代码 核心内容： 该工作把恶意指令检测建模为依赖用户查询与上下文的句段级判断，而非对整段文本作静态分类，并结合特征空间对抗训练和 LLM 改写样本提升鲁棒性。实验强调检测效用与对抗鲁棒性之间存在权衡，最优阈值和训练方式随领域变化，不能依赖单一通用配置。 与你的方向关系： 它直接面向 indirect prompt injection，适合作为工具输出、网页内容或文档进入 Agent 上下文之前的细粒度过滤层。 建议： 精读并试跑。官方仓库虽提交历史较短，但已包含训练与评测源码、脚本、输出和预训练分类器；应重点复测自适应攻击与跨域误报。 8. Hijacking Robots with a Piece of Paper: A Systematic Study of Physical Prompt Injection in VLM-Controlled Robots 类型 / 来源： 新论文｜arXiv 作者 / 维护者： S. M. Bhagya P. Samarakoon、M. A. Viraj J. Muthugala、W. K. R. Sachinthana、Mohan Rajesh Elara 日期： 2026-08-06 链接： 论文 核心内容： 论文系统评估纸面文字对 VLM 控制机器人的物理 Prompt Injection，覆盖 20 种攻击、3 种布局、3 类指令形式和 5,670 次试验。GPT-4o、Gemini 2.5 Flash 与 Qwen3-VL-32B 的攻击成功率分别为 27.0%、29.4% 和 5.0%，且成功入侵几乎总会被模型明确承认；提示防御、两阶段验证和视觉遮罩可显著降低攻击，但可能影响正常标签读取。 与你的方向关系： 这是 indirect prompt injection 从网页与文件扩展到物理环境的直接证据，凸显 VLM Agent 在感知输入、指令权限和动作执行之间缺乏可信边界。 建议： 精读。重点关注攻击成功的判定标准、防御对正常任务效用的影响，以及能否用 capability gate 替代纯输入清洗。 9. PromptShield Home: Ambient Multimodal Prompt Injection Defense for Smart-Home Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： He Zhang、Feilong Li、Dingning Long、Yilin Cui、Peijun Zhang、Yuewen Zhang、Qianyao Xu、Xinyi Fu 日期： 2026-08-06 链接： 论文 核心内容： PromptShield Home 构建智能家居多模态注入试验，覆盖说话对象歧义、屏幕与音频注入、误触发及多人共处，并比较轻量检测器、MLLM 与多 Agent 防御层。作者强调仅“全部阻断”即可取得 82% 表面分数，因此分别衡量危险执行与安全任务完成；各层正确样本明显互补，oracle router 达 94.1%，高于最佳单层的 76.5%，但尚未实现实际路由器。 与你的方向关系： 该工作把 Prompt Injection 防御与 smart-home Agent 的权限控制、用户归属和多模态工具执行联系起来，也揭示只看攻击阻断率会掩盖可用性退化。 建议： 浏览。值得收藏其评测拆分和互补错误分析，但在实际 router、延迟与设备权限机制补齐前，不宜把 oracle 结果视为可部署防御。 10. Post-Hoc Trajectory-Risk Certification for Modular LLM-Based Security Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zhenpeng Li 日期： 2026-08-04 链接： 论文 核心内容： 论文研究模块化安全 Agent 的轨迹级风险认证，指出各阶段独立的 split-conformal 保证不能自动组合，并比较 Bonferroni、生成树组合与直接轨迹审计。两阶段入侵检测管线覆盖 6 个开源 LLM 和 2 个数据集；样本充分时直接审计比 Bonferroni 平均紧 13.7%，在 α=0.10 时平均轨迹覆盖率为 92.7±2.4%，而跨数据集单步 miscoverage 甚至可达 100%。 与你的方向关系： 它为 multi-agent / modular-agent security 提供了输出之后的统计风险界限，并提醒局部模块准确率不能替代端到端轨迹安全保证。 建议： 收藏 / 定向精读。重点核查交换性假设、审计样本需求，以及认证能否与运行时 action gate 和分布漂移检测结合。 今日优先阅读 优先阅读 HarnessOpt-Bench、EvoHarness-RL 与 When Experience Becomes Instruction。前两项直接影响 Harness Optimization 的评测基线、训练范式和论文定位；第三项则揭示自演化系统把经验提升为持久技能时最关键的攻击面，会实质改变数据来源、写入审批和回归测试的系统设计。

本期检索范围： 2026-08-06—2026-08-07 本期共筛选出 9 项。最明显的趋势是 Harness Optimization 与 Agent Security 正在汇合：一方面，系统通过持久状态、角色化控制和验证门实现运行时自演化；另一方面，攻击也开始沿搜索轨迹、技能接口和工具选择链路积累影响。本期均为新论文，没有符合标准的论文版本更新或项目重大更新；关联代码尚未形成可单独收录的高质量 GitHub 项目，IACR ePrint 亦未发现需优先推送的新增工作。 1. Argus: A General-Purpose Agentic Runtime for Long-Horizon Reasoning 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Boxiu Li、Zimo Wen、Yijia Fan、Junxiang Lei、Sufeng Guo 等 日期： 2026-08-05 链接： 论文 核心内容： Argus 将长程任务拆成由 Manager、Planner、Engineer 和 Reviewer 执行的有界 mission，并在持久项目状态中保存记忆、技能、程序、验证器、路由决策与被否决路线；这些内容只有经过角色所有者审查和任务原生验证后才被接纳。论文报告在 731 个 SWE-Bench Pro 任务上约 78% 的解决率，对照 Direct Copilot 约 59%，但总 token 为其 1.41 倍；成熟阶段相较启动阶段每题 solve-input token 减少 21%，主动工作流时间减少 15%。 与你的方向关系： 这是 Harness Optimization、executable harness learning 和 self-evolving agents 的直接核心工作。它把“增长”限定为固定模型之上的持久运行时状态与控制策略，并以 review/admission gate 管理经验进入长期记忆，适合作为开放式 harness code growth 的强对照。 建议： 精读。重点比较其 mission boundary、持久状态 admission、回滚与 escalation 机制，并核查跨七类任务的评测是否足以支撑通用 runtime 的定位。 2. Breadcrumbing Search Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xuebin Li、Hanqing Zhao、Siyuan Liang、Kejiang Chen、Weiming Zhang、Dacheng Tao、Nenghai Yu 日期： 2026-08-05 链接： 论文 核心内容： 论文把搜索 Agent 的间接提示注入从“单个恶意页面”扩展为跨查询、跨页面协调的长程证据操纵：受控搜索中介每次只追加一个结果，也能持续影响后续查询与最终结论。Authority-Chain Hijack 在完整 SafeSearch 测试集达到 55.9% ASR、83.3% MaxN ASR；Trace-Guided Strategy Evolution 从执行轨迹自动改进攻击策略，在 held-out 设置中最高达到 71.4% / 95.0%。 与你的方向关系： 该工作直接覆盖 indirect prompt injection、tool-use security 与 search-agent security，说明逐页面过滤无法处理跨轨迹形成的“伪造佐证链”。它对语义 provenance 和信息流控制提出更高要求：安全标签必须随证据链传播，并在多源交叉验证时防止同一攻击者伪装成独立来源。 建议： 精读。重点检查搜索中介的控制能力、ACH 的 authority-chain 构造方式，以及 defense 是否能识别跨查询的共同来源与语义协同。 3. AgentAntibody: An Adaptive Immune System for Defending LLM Agents against Prompt Injection 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Shihao Weng、Yang Feng、Xiaofei Xie、Jiongchi Yu 日期： 2026-08-04 链接： 论文 核心内容： AgentAntibody 将用户逐步显露的安全边界表示为持久化 antibody library，使 Agent 能从既往注入事件中学习哪些任务完成方式虽满足字面目标、却违背用户真实预期。作者在三个 benchmark 和四个 backbone LLM 上报告其能比现有防御更好地阻止有害动作，同时保留合法任务完成能力。 与你的方向关系： 它同时连接 Prompt Injection、persistent memory 和 self-evolving defense，把安全策略从静态 system prompt 推进到跨会话经验积累。关键风险也非常贴近你的关注点：antibody 本身会成为高权限持久指令，因此需要 provenance、污染隔离、冲突处理和可撤销更新。 建议： 精读。重点验证 antibody 的生成、匹配和更新规则，以及攻击者能否通过伪造反馈或对抗性经历毒化防御边界。 4. SafeCommit: Certifying When Memory-Grounded Agents May Safely Act 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Mayur Akewar、Ravi Ranjan 日期： 2026-08-04 链接： 论文 核心内容： SafeCommit 在 Agent 推理与外部副作用之间加入风险控制层，从记忆、观察、工具输出、provenance 和 policy constraint 构造一组校准后的可能世界；只有当 conformal action certificate 证明动作在所有保留世界中都安全时才允许提交。无法认证时，系统选择低副作用探针以消除阻塞世界，或返回保守 fallback；在校准覆盖假设下，不安全认证提交的概率由目标水平 α 上界。 与你的方向关系： 该工作直接对应 memory uncertainty、capability/permission control 和 irreversible action gate，把“是否已有足够证据执行”变成 harness 级可认证决策。它可与语义 taint 或 capability system 组合：前者生成候选风险世界，后者执行不可绕过的提交约束。 建议： 精读。重点看 world proposal 的覆盖假设、表示误差项和 probe 成本；如果候选世界遗漏了被污染记忆所隐含的攻击意图，理论保证会如何退化尤其关键。 5. Behavioral Skill Reconstruction: Reconstructing Hidden Functionality from LLM Agent Skills 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Peichun Hua、Haoxuan Xu、Mengyuan Li 日期： 2026-08-04 链接： 论文 核心内容： 论文提出 Behavioral Skill Reconstruction：攻击者不读取隐藏 skill 文件，而是通过合法任务请求和可观察响应恢复其功能。SkillClone 从公开说明形成接口假设，执行结构化良性探测，合成可执行副本，再用与目标 skill 的差分验证迭代修复；在涵盖规则、表格、流程和算法的 30 个技能上，若干目标可在 held-out 输入上被完整或部分复现。 与你的方向关系： 这是 persistent skill-file security 与 semantic privacy 的新威胁模型：文件机密性和防 prompt leakage 并不能阻止功能语义从普通使用中被累积提取。对 code-as-memory 或可执行 harness 服务同样适用，系统需要限制查询预算、输出可辨识度和跨会话信息聚合，而不仅是隐藏源文件。 建议： 精读。重点看不同 skill 类型的可克隆性、查询复杂度和差分修复收益，并思考 capability API 如何在保持效用的同时降低功能指纹泄露。 6. Diagnosing Tool-Selection Reasoning in LLM Agents with Canary Tools 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Atul Anand、Sourav Chattaraj 日期： 2026-08-05 链接： 论文 核心内容： 论文在 MCP 工具集中植入专门诊断单一弱点的 canary tools，把“选错工具”细分为 semantic decoy、parameter trap、capability mirage、prerequisite blindness、temporal decoy 和 granularity trap 六类。作者对八个模型完成 8,640 次主实验和 2,880 次 subtlety ablation，发现模型间每任务 canary susceptibility rate 相差约 36 倍，且易感性与任务失败呈负相关（Spearman ρ=-0.34）。 与你的方向关系： 该工作对 tool-use security、MCP capability selection 和 harness evaluation 很有工程价值，可用于判断 Agent 是被工具描述诱导、忽略前置条件，还是误判权限与粒度。Canary 也可扩展为安全回归测试，检测新增工具或 skill 是否改变 controller 的选择边界。 建议： 浏览。建议收藏其 taxonomy 和评测设计；若用于安全结论，应进一步验证 canary 是否覆盖恶意工具描述、跨工具组合和带副作用的真实权限冲突。 7. Trident: How to Break Deep Reinforcement Learning Cyber Defenses (Agentic) 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Ryozo Masukawa、Ian Bryant、Armita Kazeminajafabadi、Sanggeon Yun、Hyunwoo Oh 等 日期： 2026-08-05 链接： 论文 核心内容： Trident 为自主网络防御构建动态红队框架，包括覆盖 CybORG CAGE 4 与 CyberWheel 的隔离 sandbox、超过 13,000 条红蓝交互轨迹，以及 Log Summarizer–Planner–Coder 组成的 Code-as-Policy RLVR 架构。一个可训练的 7B Planner 从压缩日志生成完整攻击策略，冻结 Coder 将其翻译为可执行 Python policy；论文报告其使蓝队表现相对静态红队基线平均下降 522%。 与你的方向关系： 该工作同时属于 agentic AI security、multi-agent security 和 executable harness learning，展示了攻击策略如何从轨迹压缩、计划生成到可执行代码形成闭环。其动态红队比固定 attack script 更适合检验防御 controller 是否会被自适应策略绕过。 建议： 精读。重点检查 522% 指标的定义、sandbox realism、奖励解析器与自修复循环，并比较 Planner/Coder 解耦与通用 code-as-memory 的可审计性。 8. OneDayAgent: Towards a Long-Horizon Harness for Autonomous Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jingsheng Zheng、Xinyuan Fang、Jintian Zhang、Zhengke Gui、Huajun Chen、Ningyu Zhang 日期： 2026-08-04 链接： 论文 核心内容： OneDayAgent 将开放式请求转化为受管理的长程执行流程，通过有界子任务分解、上下文压力下的 execution memory，以及最终交付物验证与修复来联合处理 goal drift、state loss 和 context overflow。作者在 104 个 AgentIF-OneDay 任务上报告 GLM-5.2 后端总分 0.821，并在三个模型家族的五个后端上使用同一 harness 而无需调参。 与你的方向关系： 这是 long-horizon harness、controller portability 和 memory-aware execution 的直接基线，尤其适合比较固定 scaffold 与可自增长 harness 在跨模型泛化上的差异。其公开仓库目前仍以“releasing soon”为主，未达到可作为实质代码项目单独收录的标准，因此本条仅链接论文。 建议： 浏览。先看 AgentIF-OneDay 的任务定义、失败分解和后端一致性；待完整代码发布后再评估其 memory、verification 与 repair 是否可复现。 9. A Multimodal Automatic Redteaming Evaluation based on Atomic Jailbreak Strategy Decoupling and Combination 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Shiji Zhao、Yuxuan Zhou、Chen Xiong、Dongxian Wu、Yang Bai、Xun Chen 日期： 2026-08-03 链接： 论文 核心内容： 论文把文本—图像 jailbreak 策略拆分为结构、语义和句法三个层级，并在六维策略空间上由跨模态 planner 选择和组合原子策略，再由统一 executor 生成攻击指令。其 Hierarchical Atomic Combination Attack 在五个主流 MLLM 上报告平均 95.48% 攻击成功率。 与你的方向关系： 该工作直接属于 jailbreak attack and defense，也提供了“原子策略空间 + planner + executor”的可执行红队 harness。它说明多模态输入会扩大 prompt injection 的组合空间，防御评测不能只覆盖单一文本模板或人工构造攻击。 建议： 浏览。重点参考其策略分解和自动组合框架，同时核查 ASR judge、攻击预算、目标模型版本及对自适应防御的评估是否充分。 今日优先阅读 优先阅读 Argus、Breadcrumbing Search Agents 和 SafeCommit。Argus 会直接影响自演化 harness 的 novelty positioning；Breadcrumbing 揭示跨搜索轨迹的间接注入如何形成伪造证据链；SafeCommit 则提供了把记忆不确定性转化为不可逆动作认证门的具体形式化路径。

本期检索范围： 2026-08-05—2026-08-06 本期共筛选出 10 项。最明显的趋势是 Agent 安全研究正在从输入文本过滤走向内部表征检测、跨阶段防御、运行时证据与系统级形式化语义；同时，持久化 memory/skill 已成为兼具完整性、隐私和身份冒用风险的独立安全边界。本期均为新论文，其中 3 项同步提供了有实质实现的代码仓库；没有符合标准的论文版本更新、项目重大更新或值得单独收录的新项目，IACR ePrint 也未发现需优先推送的新增工作。 1. Your Agentic LLMs Secretly Encode Latent Signals of Indirect Prompt-Injection Exposure 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Jianshuo Dong、Yiming Liu、Maosen Zhang、Nan Deng、Xu Peng、Xiaoping Zhang、Tianwei Zhang、Jie Zhang、Han Qiu 日期： 2026-08-01 链接： 论文 · 代码 核心内容： 论文发现六个模型在生成前的 hidden states 中已经编码 IPI exposure 信号，线性 probe 在未见攻击、Agent 指令和任务套件上取得 90% 以上 AUROC，并在自适应攻击和跨语言设置下保持较强鲁棒性。基于“识别到了风险但未转化为安全行为”的 recognition–action gap，AGRI 只在 probe 触发时加入抗注入推理；在困难 AgentDojo 设置中，Qwen3.5-27B 的 ASR 从 34.6% 降至 0%，同时大体保持干净任务效用。 与你的方向关系： 这是 Prompt Injection 与 Agent Security 的直接核心工作，也为你正在考虑的 CaMeL / program semantics 扩展提供了一个互补层：program-level policy 可以负责执行约束，latent probe 则可提供“当前外部数据已携带指令性风险”的动态标签。仓库包含 trace collection、风险标注、hidden-state featurization、probe 训练评估、AgentDojo 补丁和测试，不是仅有 README 的占位仓库。 建议： 精读。优先核查 probe 标签究竟对应 exposure、可见性还是实际遵从，并思考如何把 AGRI 的软推理触发替换为 CaMeL 式不可绕过的语义权限门。 2. Formal Verification of Agentic Systems over Operational Data 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Alejandro J. Mercado、Alessio Lomuscio 日期： 2026-08-04 链接： 论文 核心内容： 论文把单个 LLM、tool-orchestration harness 与关系型 operational data 组成的部署形式化为 Stateful Tool-Enabled Agentic Deployments（STEADs），给出系统语义并以 FO-CTL 表达工作流与数据演化要求；一般验证问题不可判定，在有限域限制下则为 PSPACE-complete。作者识别出“重命名不透明标识符时，所选工具调用必须相应重命名”的等变性条件，并构造 canonical deployment wrapper，使任意基础 Agent 满足该条件且保留原本已等变的行为。 与你的方向关系： 这项工作与 program semantics、capability control 和 tool-use security 高度契合：它不只约束 Agent 接口，而是对 LLM、harness、工具调用和持久数据的联合状态转移给出语义。对 CaMeL 扩展尤其有价值，可用于区分“数据值如何变化”与“模型生成的控制决策如何随标识符变化”，并把 policy enforcement 转化为可验证 wrapper。 建议： 精读。重点看 STEAD 的 transition semantics、FO-CTL 可表达的 security property，以及 canonicalization 是否能扩展到动态工具集、非关系数据和间接提示注入的污点标签。 3. $S^3$: Improving Agent Safety through Multi-Stage Defense 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Zibo Xiao、Haoyu Wang、Jun Sun 日期： 2026-08-03 链接： 论文 · 代码 核心内容： $S^3$ 将输入、记忆、规划、工具选择、执行和工具观察阶段的异构防御统一表示为带显式 stage semantics 的 Stage-Specific Safety Skills，并由独立 guard agent 按阶段编排。作者还构建 Multi-Stage Risk Benchmark，报告完整框架在安全有效性与良性任务保留上优于单技能及代表性多阶段基线；仓库包含 27 次提交、GuardAgent、六类攻击、技能实现、数据与批量评测脚本。 与你的方向关系： 它直接覆盖 Agent Security、memory poisoning、observation prompt injection 与 persistent skill-file security，并把“安全控制放在哪个生命周期阶段”提升为一等接口。对 harness 研究而言，它是把安全模块组合进 controller 的强工程基线，也暴露了 guard LLM 与主 Agent 共享认知弱点时的潜在单点失效。 建议： 精读并试跑。重点比较 stage-local skill 与跨阶段信息流约束，检查 recovery 是否会在后续阶段重新引入已净化风险，以及 SKILL.md 语义是否足够支持静态验证。 4. WeClawArena: An Auditable Sandbox and Benchmark for Cross-User Agents Collaboration and Security in Human-Centered Agent Networks 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Prince Zizhuang Wang、Aojie Yuan、Haiyue Zhang、Xiyang Hu、Yue Zhao、Shuli Jiang 日期： 2026-08-04 链接： 论文 核心内容： WeClawArena 面向由不同用户拥有、各自维护个人 workspace 与策略的 Agent 网络，提供可审计 runtime sandbox 和跨用户协作 benchmark。它包含六个领域的 124 个基础任务，并为每项扩展一个良性对照与四种攻击变体，共 620 个场景；系统记录 peer message、tool call、资源操作、治理决策和最终 workspace 状态，分别报告 utility 与 ASR。 与你的方向关系： 该基准直接连接 multi-agent security、跨用户权限边界、隐私泄露、poisoned evidence 与 invalid authority path，避免只从最终文本判断攻击是否成功。它适合检验语义 taint、delegation capability 和跨 Agent 信息流控制是否真正限制了对他人资源的影响。 建议： 精读。重点关注四类攻击的 authority model、运行时证据如何判定成功，以及是否能加入你关心的跨设备或跨账户 capability revocation 实验。 5. MutMem: Cryptographically Authorized Mutation in Persistent Agent Memory 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Walid Saidi 日期： 2026-08-03 链接： 论文 · 代码 核心内容： MutMem 在 persistent memory engine HOM-AIMOS 中保留原始记忆内容，用签名的正负 outcome evidence 更新可检索权重，并将每次非平凡变化提交为 housekeeper 授权、不可分叉的 transition；数据库 writer 与独立 verifier 都执行 Ed25519 验证。N=100 的 PoisonedRAG 适应实验中，恢复签名标签策略后攻击目标的 top-5 检索中为 0/100 poison，而绕过该策略时为 94/100；作者明确限定该机制证明完整性、授权与历史连续性，而不证明内容真实。 与你的方向关系： 该工作把 agent memory poisoning 与 cryptographic provenance、授权变更和可撤销信任状态结合起来，适合作为“持久记忆既可学习又可审计”的具体系统。它与 code-as-memory 也有直接类比：若 harness code 会持续自我修改，同样需要不可分叉的变更链、授权主体、旧新状态承诺和独立验证器。 建议： 精读。重点区分内容真实性与变更授权，并评估单一 housekeeper identity、签名标签误判和长期 key rotation 对安全性的影响。 6. When Agents Learn to Be You: Benchmarking Privacy Leakage, Impersonation Risk, and Defenses in Persona Skills 类型 / 来源： 新论文｜arXiv / 项目页 作者 / 维护者： Yongli Xiang、Zhifang Zhang、Bojun Yang、Ziming Hong、Lei Feng、Miao Xu、Tongliang Liu 日期： 2026-08-04 链接： 论文 · 项目页与数据集 核心内容： AntiSkillBench 研究把个人交互历史蒸馏成可移植、可执行 persona skill 后产生的隐私泄露与冒用风险，包含 50 个丰富 persona 的 7,500 条对话轨迹、三种 skill distillation 策略，以及属性披露、沟通风格和行为模仿评测。三种前沿 Agent 上风险均跨 backbone 与蒸馏协议持续存在，四种在线或事后防御的效果依赖具体蒸馏策略且难以泛化；项目页已提供数据集，代码仍标注为 coming soon。 与你的方向关系： 该工作把 LLM Privacy 从单条记忆泄露推进到“碎片化个人信号被编译进持久技能”的语义隐私问题，也直接对应 persistent instruction / skill-file security。它提示 capability 声明不仅要描述工具权限，还应描述 skill 可推断、模仿和对外披露的 persona 属性范围。 建议： 精读。重点查看 skill-level 与 agent-level 泄露如何区分，以及 provenance protection 为何不能稳定阻断行为风格与隐式属性的再现。 7. SparSEEty: Extracting Tokens from Sparsity-Exploiting LLM Serving Systems via Deterministic Side Channels 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yongwan Jo、Jinyoung Park、Euihyun Lee、Dokyung Song 日期： 2026-08-04 链接： 论文 核心内容： SparSEEty 利用稀疏推理中由输入决定的 neuron weight access，先从 confidential VM 暴露的侧信道构造 neuron-activation oracle，再把部分二值激活轨迹反演回 token。针对 Intel TDX 内 LLM serving 的实验可同时重建 prompt 与 response，在多模型和数据集上 BLEU 均高于 0.95，监控开销为 3.7%–7.2%。 与你的方向关系： 这是 LLM Security & Privacy 的高强度系统攻击，说明机密虚拟机并不能自动消除由优化策略引入的语义相关访存泄露。对 Agent 部署尤其重要：长期 memory、私有 tool result 与系统 prompt 都可能经过同一 serving path，因而需要把稀疏优化纳入端到端隐私威胁模型。 建议： 精读。重点核查攻击者的观测权限、不同 sparsity scheme 的可迁移性，以及常数时间访问、噪声注入或固定稀疏模式的性能—隐私权衡。 8. AI Security Leaderboard: Methodology, Results and Minimal Standard 类型 / 来源： 新论文｜arXiv / FAR.AI 作者 / 维护者： Jasper Timm、Lukas Struppek、Ziwei Xu、Grace Cheong、Oscar Mata、Dan Zhao、Mick Yang、Isadora De Andrade、Xiaojun Jia、Yiming Li、Samuel Bauer、Heather McIntyre、Adam Gleave、Edward Yee、Kellin Pelrine 日期： 2026-08-04 链接： 论文 · 在线榜单 核心内容： 论文提出 Minimal Standard for Safeguards v1.0，整理 67 种公开静态 jailbreak 技术并通过组合搜索，在 360 个 CBRNE 与 offensive cyber 目标上寻找能对同一领域超过 75% 目标产生合规回答的 universal jailbreak。四个前沿模型的 cost-to-jailbreak 相差超过百倍：随机搜索在 Grok 4.5 与 Gemini 3.1 Pro 上分别找到 63 和 18 个 universal jailbreak，而 Claude Fable 5 与 GPT-5.6 Sol 在两种搜索策略下均未出现此类结果。 与你的方向关系： 该工作为 jailbreak defense 提供了比单一 ASR 更接近真实攻击预算的成本指标，并强调组合技术的大搜索空间。它可用于校准 Agent guardrail 的最低安全线，但其模型级结果不能替代对 tool use、memory 与 indirect injection 的系统级评测。 建议： 浏览。重点参考 technique taxonomy、right-censored cost 指标与搜索协议，不要把榜单排序直接外推为 Agent runtime 的整体安全性。 9. ToolLIFT: Lifting Tool-Specific Trajectories into Function-Level Graphs for Generalizable Tool Planning 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xiuhui You、Jiayi Luo、Zichao Shen、Qingyun Sun、Ziwei Zhang 日期： 2026-08-04 链接： 论文 核心内容： ToolLIFT 不直接把历史轨迹固化为特定工具图，而是提升为 function-level workflow graph，把跨工具共享的功能结构与具体 tool selection 解耦。它进一步使用 source-gated 与 skill-specific RL rewards 保持跨调用信息流可追溯；在两个 ID 与三个 OOD benchmark 上均优于论文所比较的现有基线，并展示对未见工具集的泛化。 与你的方向关系： 该工作直接关联 Harness Optimization、function-level controller abstraction、trajectory reuse 与 executable workflow learning。对 Natural Growth 的启发是：函数级结构可成为跨工具迁移的中间表示，但预先定义的功能聚类与图结构也可能重新引入你试图避免的 controller bias。 建议： 精读。重点比较 FWG 的节点/边如何归纳、source gate 的安全语义，以及开放式代码增长与固定 function-level graph 在表达能力和审计性上的差异。 10. BAP-SQL: Budget-Aware Observation Planning for Agentic Text-to-SQL 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Chong Peng、Pin Qian、Su Wang、Yihang Chen、Varun Sah 日期： 2026-08-03 链接： 论文 核心内容： BAP-SQL 把 observation formation 视为独立的预算控制阶段：策略估计查询风险、必要时改写 SQL，而硬限制交给独立 runtime shield，避免宽查询先耗尽 context 与数据库工作后再做无效压缩。主 BIRD 衍生设置中，它相对 matched SFT 提升 3.4/3.6 个百分点并减少 4.5/5.0% token；收益随模型能力和预算增加而减弱，在最宽松预算下反转，且没有减少数据库工作。 与你的方向关系： 这是 cost-aware harness optimization 的干净实例，把“模型可见的规划策略”与“不可绕过的运行时预算门”分离，适合作为成功优先、成本次级的 controller 对照。它也提醒只优化 token 并不等价于降低外部工具成本，应分别核算 context、API、数据库与延迟预算。 建议： 浏览。重点看 runtime shield 与 learned planner 的责任边界，以及宽松预算下负收益是否说明优化器需要按任务与预算动态停用策略。 今日优先阅读 优先阅读 Your Agentic LLMs Secretly Encode Latent Signals of Indirect Prompt-Injection Exposure、Formal Verification of Agentic Systems over Operational Data 和 ToolLIFT。前两篇能直接影响你从 program semantics 扩展 CaMeL 的研究设计：一篇提供动态 IPI 风险信号，另一篇提供系统级语义与可验证 wrapper；ToolLIFT 则会影响 Natural Growth 在 function-level abstraction 与开放代码搜索之间的 novelty positioning。

本期检索范围： 2026-08-04—2026-08-05 本期共筛选出 9 项。最明显的趋势是：Harness Optimization 正从人工规则与离散配置搜索转向“从失败轨迹学习可执行补丁”，而 Agent Security 的风险边界正沿持久化记忆、MCP 工具和跨 Agent 委派链路扩张。本期均为新论文，没有达到收录标准的论文版本更新或项目重大更新，也未发现值得单独收录的新代码项目。 1. Harness-R1: Learning to Edit Executable Runtime Harnesses from Agent Failure Trajectories 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Shuai Shao、Kangning Zhang、Qingyao Li、Shijian Wang、Hao Wang、Wenxiang Jiao、Yuan Lu、Yi Guo、Weiwen Liu、Weinan Zhang 日期： 2026-08-03 链接： 论文 核心内容： Harness-R1 将“根据失败轨迹编辑现有可执行 runtime”训练成独立能力：一个 9B harness engineer 把成批失败转化为经验证的代码补丁，并用冻结目标 Agent 的新鲜重跑结果作为在线 GRPO 奖励。作者报告在 WebShop、ALFWorld 和 DBBench 上把 vanilla Qwen3.5-9B 的平均成功率从 44.3% 提升至 53.6%，目标模型微调后再由专用 engineer 从 59.2% 提升至 64.2%。 与你的方向关系： 这是 Harness Optimization 与 executable harness learning 的直接核心工作，也把优化对象从 prompt、memory 或固定 controller 参数扩展到生命周期级运行时代码。它尤其适合作为 code-as-memory、failure-conditioned edit 和 harness/agent co-evolution 的强基线。 建议： 精读。优先核查补丁验证门、同批次重跑是否造成过拟合，以及 engineer 对未见任务和不同 harness 结构的迁移能力。 2. Salami Attack: Stealthy Collusive Memory Poisoning against OpenClaw 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zheng Lin、Yuzhe Huang、Zhenxing Niu、Xianmin Ye、Haichang Gao 日期： 2026-08-03 链接： 论文 核心内容： MemCollusion 把一个恶意目标切分成多条单独看似无害、组合后才触发危险行为的持久化记忆，并以四项约束、五类策略和微调生成器自动构造“记忆联盟”。在 MoltLab 的跨会话 OpenClaw 场景中，两种 backbone、48 个场景下，最强记忆保存设置的平均 Memory Save Rate 为 81.3%，Attack Success Rate 为 75.0%，且对良性记忆稀释和 memory-level defense 仍有效。 与你的方向关系： 该工作直接覆盖 agent memory poisoning、persistent prompt injection 与组合式间接注入，说明逐条审核“无害”并不能保证聚合后的记忆安全。它也对语义信息流控制提出更强要求：防御必须追踪跨记录、跨会话的联合意图。 建议： 精读。重点比较 coalition 构造约束、保存阶段与执行阶段的攻击成功拆分，以及现有 memory sanitizer 为什么无法识别组合语义。 3. Exposed by Design: A Dynamic Security Assessment of Internet-Facing MCP Servers at Scale 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Nicolás Padilla 日期： 2026-07-31 链接： 论文 核心内容： 论文结合 11 个被动发现来源与含 34 个测试模块、覆盖 10 类 MCP 漏洞的 Corvus，对互联网暴露的 MCP 服务进行动态测量；四轮测量确认 640 个生产服务并审计其中 414 个，发现 68 个可报告漏洞。样本中 91.8% 缺少 OAuth，确认服务上有 687 个工具实例暴露无访问控制的 shell 执行能力，且相邻三天内 41.6% 的确认服务消失。 与你的方向关系： 这是 tool-use security、capability control 与 MCP 部署风险的高价值实证研究，把抽象的工具投毒与权限问题落实到真实互联网服务、认证缺失和高危执行能力暴露。结果支持在 harness 层实施最小权限、服务身份验证、工具能力清单和调用前动态审计。 建议： 精读。优先看动态测试的安全边界、漏洞确认与负责任披露流程，以及样本发现偏差是否会放大未认证服务比例。 4. A False Average: Chain-of-Thought Monitors Collapse Where They Are the Only Defense 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Shikhar Shiromani、Leo Richter 日期： 2026-08-01 链接： 论文 核心内容： 攻击只把 Agent 的 reasoning 改写成看似善意的工程叙述，同时原样复制命令和输出、保持 exploit 不变；在“只有 CoT 暴露恶意意图”的子集上，held-out monitor 的捕获率一次无梯度改写后从约 95% 降至不足 11%。攻击可跨 monitor family 与 Agent 模型迁移，纯 trace 防御只能部分恢复，而引入 trace 外信息才有明显改善。 与你的方向关系： 这项工作直接挑战把 CoT monitor 当作 Agent Security 最后一道防线的设计，也说明汇总准确率会掩盖关键条件子集上的系统性失效。对 harness 设计而言，安全判定必须结合权限、环境状态、实际 action effect 与独立 provenance，而不能只审查模型自述。 建议： 精读。重点审查条件子集的构造、calibrated monitor 下的结果，以及哪些外部信号真正提升了因果可控性而不只是检测率。 5. Learning What to Remember and What to Internalize in LLM Self-Evolution via Adaptive Memory-Parameter Coordination 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Tianyun Ji、Zhenya Huang、Jiayu Liu、Zirui Liu、Yu Su、Hongbin Pei 日期： 2026-08-02 链接： 论文 核心内容： COVE 联合 harness-based 与 parameter-based learning，用 task-aware routing、stage-aware scheduling 和 knowledge optimization 决定哪些经验写入可编辑 memory/skill，哪些内化到模型参数。论文报告在多类任务与变化环境中优于单通道演化策略，目标是在快速适应性与更深层能力提升之间动态分工。 与你的方向关系： 它为 self-evolving agents 提供“外部可执行知识与内部参数更新协同”的系统框架，直接关联 Harness Optimization、skill/memory growth 与持续学习。其路由准则也可作为研究 code-as-memory 何时应固化、何时应继续外置的比较对象。 建议： 精读。重点核查路由监督信号、阶段调度的消融，以及外部知识被内化后是否仍具备可审计、可撤销和回归测试能力。 6. From Monoliths to Swarms: A Study of Attack Surface Evolution in the Transition to Multi-Agent Web Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yashaswi Malla、Sandra Siby 日期： 2026-07-31 链接： 论文 核心内容： WebMASLab 固定用户任务、工具面和浏览器底座，对单 Agent 与多 Agent Web 系统进行架构对照，并提出利用跨 Agent 委派形成循环的 Telephone Loop 攻击。该攻击对单 Agent 无效，却在四个前沿模型中的三个多 Agent 配置上生效，基线平均攻击成功率为 80%；prompt hardening 的收益随模型大幅波动，未形成通用防御。 与你的方向关系： 工作直接刻画 multi-agent security 与 delegation boundary：能力分解不仅改变性能，也创建单体系统不存在的控制流攻击面。它提示 harness 需要为委派图设置身份、深度、环路、预算与终止条件，而不是只加固每个子 Agent 的 prompt。 建议： 精读。建议重点复核 SAS/MAS 控制变量、循环检测规则与不同模型的差异，以判断风险究竟来自角色语义、消息协议还是调度器。 7. Safety Invariants for Agents Orchestrating Irreversible State Transitions: A Four-Dimensional Formalism Evaluated on Public Ledgers 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zhaoming Yin 日期： 2026-08-01 链接： 论文 核心内容： 论文将不可逆外部操作形式化为状态转移，并用七项 safety invariant 保证 execution fidelity：实际结果要么为空，要么与向用户预览的有限状态转移完全一致且只执行一次。N=60 的对抗测试中，该栈对两种倾向写操作的模型相对 naive ReAct 提升约 74 个百分点，但对谨慎模型仅提升约 3 个百分点；失效分类还由 8 条链上的 108 次生产写操作支撑。 与你的方向关系： 这是 capability/permission control 与 action gating 的形式化相邻工作，把预览、幂等、重试和委派调用整合为可验证的 harness invariant。它尤其适合用于不可逆 tool use 的 commit protocol、human confirmation 与 exactly-once semantics 设计。 建议： 精读。重点区分“执行与预览一致”与“预览符合用户意图”，并检查故障模型是否覆盖恶意工具、提示注入和跨会话权限陈旧问题。 8. Shared Prefixes, Better Credit: Adaptive Routing for Multi-Agent Reasoning 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yiqing Liu、Zihao Wang、Hantao Yao、Wu Liu、Yongdong Zhang 日期： 2026-08-03 链接： 论文 核心内容： TreeCredit 从相同中间状态扩展不同协作算子，构建 shared-prefix tree，再按终局正确性与后续累计成本为每个 state–operator pair 分配 suffix credit。结构化 credit 被转为局部偏好以训练轻量 pairwise router；六个推理 benchmark 上，论文报告在小幅提升准确率的同时显著降低推理成本。 与你的方向关系： 该方法与 cost-aware agent optimization、multi-agent controller learning 和可执行调度策略直接相关，核心价值是把粗粒度 trajectory return 改造成状态匹配的局部 credit。它可作为 harness 搜索中“哪个编辑或算子在当前状态真正有用”的对照机制。 建议： 浏览。重点查看成本定义、共享前缀带来的采样节省，以及 router 是否会在分布外状态上错误固化局部偏好。 9. Skillsets on the Chain: A Blockchain-based Zero-Trust Framework for Agentic AI Networking 类型 / 来源： 新论文｜arXiv / IEEE TCCN 接收 作者 / 维护者： Yayu Gao、Yong Xiao、Hao Hu、Xubo Li、Zhiwei Liu、Yingyu Li、Guangming Shi、Ping Zhang 日期： 2026-07-31 链接： 论文 核心内容： TrustAgentNet 用全局 Chain of Skillsets 管理第三方 skill 元数据生命周期，并以链下 Agent 审计配合轻量链上共识；任务执行时再建立临时 Chain of Collaboration。原型在 40 个诚实与 10 个对抗 skillset 上实现 100% 验证准确率，并在来自 171 个 ClawHub skills 的 1,478 个特征上取得 83.91% 准确率和 0.85 F1。 与你的方向关系： 该工作直接触及 persistent skill-file security、capability attestation 与 multi-agent zero trust，尤其关注“声明的能力”和“实际行为”不一致。即使不采用区块链，其 skill 生命周期、可验证元数据和协作链身份边界仍可迁移到 Agent harness 的安装、授权与撤销机制。 建议： 浏览。重点评估链上机制是否真正必要，并核查对语义隐蔽、跨 skill 组合攻击和运行时行为漂移的覆盖范围。 今日优先阅读 优先阅读 Harness-R1、Salami Attack 和 Exposed by Design。前者直接改变可执行 harness 自演化工作的 novelty positioning 与基线选择；后两者分别揭示跨记录组合记忆攻击和真实 MCP 部署中的能力暴露，会影响持久化信息流、防护粒度与工具权限边界的系统设计。

本期检索范围： 2026-08-03—2026-08-04 本期共筛选出 10 项。最明显的趋势是安全边界开始从“模型是否拒绝”转向 harness 对 typed tool return、来源权限和持久化记忆的系统级约束；另一条主线是用非生成式记忆、轨迹复用和有状态 tokenization 降低 Agent 的持续运行成本。本期包含 9 项新论文（其中 2 项同步提供实质代码）和 1 项项目重大更新；没有论文版本更新，也未发现值得单独收录的新代码项目。 1. CAGE: Certified Authorization under Typed-Return Uncertainty for Tool-Using Agents 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Blaise Delattre、Cong Wang、Yang Cao；tdsai-lab 日期： 2026-07-31 链接： 论文 · 代码 核心内容： CAGE 研究 typed tool return 的来源绑定或数值出现小幅误差时，候选动作是否仍在整个联合扰动邻域内获得授权。论文证明分别认证类别字段和数值字段并不能组合成安全保证，并通过离散分支精确枚举加连续扰动认证，消除 pointwise gate 在预算内出现的 false allow。 与你的方向关系： 这是 capability / permission control 的直接进展：它把权限检查放在 tool return 之后、action 执行之前，并明确将不可信文本排除在授权输入之外。对 Agent Security 和 executable harness 而言，它提供了比 LLM judge 更可审计的 typed action gate，以及对来源错绑、缓存陈旧和 read-then-act race 的统一建模。 建议： 精读并试跑。仓库包含策略 oracle、混合攻击、认证后端、真实 harness 集成、测试和逐表复现映射；重点验证其扰动预算如何从实际 adapter fault 校准，以及 learned gate 的 policy-fidelity 假设。 2. Memory Provenance Laundering in LLM Agents: A Non-Amplification Firewall for Persistent Memory 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jinghan Xu、Yiyong Xiao、Wanru Shao、Hankai Liu、Xinjin Li 日期： 2026-07-31 链接： 论文 核心内容： 论文识别出 memory provenance laundering：外部低信任观察在 LLM consolidation 后被改写成类似用户历史或工作流依据的记忆，攻击触发仍保留，但来源权限已被抹去。PPMF 由平台维护不可由模型重写的 provenance、confirmation 与 risk label，并按 action risk 与相关记忆的 authority 匹配工具调用权限。 与你的方向关系： 它把 memory poisoning 从内容检测推进到信息来源与权限的 non-amplification 约束，直接连接持久化 Prompt Injection、Agent memory security 和 capability control。对 self-evolving harness 来说，经验压缩或 code-as-memory 的重写过程同样不能提升原始证据的授权等级。 建议： 精读。重点比较 PPMF 与 semantic taint / IFC 的差异，并检查平台 provenance 在跨会话合并、摘要和多 Agent 转发后是否仍可完整传播。 3. Zero-Mem: Zero-Token Memory Operations for LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yilin Xiao、Zhehan Zhu、Yujing Zhang、Jin Chen、Zijin Hong、Luyao Zhuang、Qinggang Zhang 等 日期： 2026-07-31 链接： 论文 核心内容： Zero-Mem 在最终问答之外不调用 LLM，也不为记忆操作消耗 LLM token，而是保留原始交互轨迹，并用 entity–context graph 与 temporal hierarchy 两种视图完成检索和关系扩展。论文报告在相同 reader 与上下文预算下保持竞争性表现，并相对最快对比基线降低 57.6% 的记忆操作时间成本。 与你的方向关系： 该工作直接对应 cost-aware Harness Optimization：把反复发生的 memory write、summarization 和 retrieval mediation 从生成式调用迁移为确定性结构操作。它也保留原始证据，减少摘要导致的 provenance 丢失，因而与记忆安全存在重要交叉。 建议： 精读。重点比较双视图 memory 与可执行 controller code 的表达能力、encoder 成本的核算方式，以及 conflicting-evidence calibration 是否会引入不可见的安全偏差；官方仓库目前仅为代码预告，未作为代码条目收录。 4. Reusing Past Repairs Through Hierarchical Trajectory Abstraction for Coding Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yisen Xu、Jiayuan Zhou、Ruiqi Pan、Tse-Hsun Chen 日期： 2026-07-31 链接： 论文 核心内容： STAIR 将历史修复轨迹抽象成从细粒度诊断动作到高层策略的多级树，并为新 issue 检索、适配为可执行计划。论文报告在 SWE-bench Verified 上与 Lingxi 组合达到 81.2% Pass@1；同一计划无需修改代码即可把 mini-SWE-agent v2 从 75.8% 提升到 81.0%，且多粒度组合优于单层或原始轨迹。 与你的方向关系： 这是 harness experience reuse 与 code-as-memory 的高相关相邻工作：它不直接重写 controller，而是把过去的执行轨迹蒸馏成可迁移计划注入后续运行。它可作为 Natural Growth 中“可执行函数增长”与“层级计划记忆”两种长期经验表示的强对照。 建议： 精读。重点核查 trajectory abstraction 的生成成本、跨任务检索是否使用测试信息，以及计划增益在 held-out repository 和不同 Agent 上的稳定性。 5. GitHub Agentic Workflows v0.84.3 类型 / 来源： 项目重大更新｜GitHub 作者 / 维护者： GitHub、pelikhan、lpcox 等维护者 日期： 2026-08-03 链接： 项目 · v0.84.3 发布说明 核心内容： v0.84.3 默认引入对 workflow run steps 的 ShellCheck linting，新增 jobs.agent.needs / jobs.agent.if gating，并仅在配置 allowed-refs 时把 dispatch_workflow.ref 暴露到工具 schema。安全更新还移除或禁用多个带未修复高危 CVE 的容器镜像、修补 brace-expansion 漏洞，并把基础镜像固定到已修复 digest。 与你的方向关系： 这是 Agent harness 如何同时约束命令执行、工作流触发和供应链依赖的真实工程案例。相较上一版本的参数注入修复，本次进一步把权限边界前移到编译期 lint、agent-job gate 和 schema-level ref allowlist，适合作为 capability control 的实现参考。 建议： 精读。重点比较 allowed-refs 与上一版本 per-call ref 的组合语义、ShellCheck Docker fallback 的可信边界，以及被移除 MCP 镜像对工作流可用性的回归测试。 6. Alignment Is Local: A Paired Diagnostic for GUI Agents under User-Side Persuasion 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Haoxin An、Yunpeng Song、Zihao Bai、Zhongmin Cai、Guojun Xiong、Chenhao Lin、Wentao Chen、Feng Wei、Chao Shen 日期： 2026-07-31 链接： 论文 核心内容： 该工作用 paired diagnostic 测试三个前沿 GUI Agent 在 screen-grounded、用户侧说服情境下的动态安全性。单行 guardrail 在单轮显式请求中最多降低约 40 个 ASR 点，但四轮 escalation 在所有模型上又将 guarded ASR 提高约 20 点，且隐藏意图在加 guardrail 后反而更具优势。 与你的方向关系： 它说明 jailbreak / harmful-action defense 不能只用单轮 refusal 评价，harness 必须在长交互中累积 intent evidence，并在高风险 GUI action 前重新授权。虽然没有环境侧 IPI，该结果对多轮权限漂移和 action-time confirmation 具有直接启发。 建议： 精读。重点看 paired design 是否控制任务难度和模型状态，并将 multi-turn escalation 指标与 prompt injection benchmark 的可执行伤害终点对齐。 7. Reproducing LightMem: Naive RAG Is Just as Good for Memory Management 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Yongjie Zhou、Shuai Wang、Bevan Koopman、Guido Zuccon；ielab 日期： 2026-07-31 链接： 论文 · 代码 核心内容： 复现实验发现，固定 LightMem store 仅更换 retriever 就会使回答准确率从 58.1% 变化到 75.5%，而直接从原始用户轮次检索的 Naive RAG 在匹配 retrieval depth 时通常更好。LightMem 的优势主要出现在回答 token 预算紧张时，且 memory construction 会删除部分与答案有关的信息。 与你的方向关系： 这是对 Agent memory 与 context optimization 的重要负结果：复杂记忆构建并不天然优于原始轨迹检索，检索器和 token budget 可能才是主导变量。它也支持在 harness 优化中分别消融 representation、retriever、reranker 与 reader，而不是把增益归因于整体 memory 模块。 建议： 精读并复现。仓库包含 LightMem、Naive RAG、full-context 和 oracle 流水线，以及多 retriever / budget 配置；重点复核 judge 依赖、H100 资源假设和构建成本是否公平计入。 8. TokTier: Exact Stateful Tokenization for Agentic LLM Serving 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Zhenyu Zhang、Zhichao Cao 日期： 2026-07-31 链接： 论文 核心内容： TokTier 针对 coding agent 每轮只追加少量 tool result、却反复重分词完整长上下文的问题，通过稳定边界检查做增量修复，失败时扩大窗口或回退到完整 tokenization。作者在 17 个 tokenizer family、超过 93,000 个 Agent step 的回放中报告零 token divergence，并使 vLLM median time-to-first-token 降低 16–34%。 与你的方向关系： 它属于 Agent scaffold / serving harness 的系统级优化，不改变模型或任务策略，却显著降低长轨迹反复提交的固定成本。对 cost-aware harness 研究，它提醒应把 tokenization、prefix-cache 命中与模型 token 费用分开计量。 建议： 浏览并收藏。重点关注 exactness fallback 的最坏情况、session identity 与隔离边界，以及性能收益在不同 compaction 策略下是否仍成立。 9. OpenLLM: Modular and Scalable zkSNARKs for Verifiable LLM Inference 类型 / 来源： 新论文｜IACR Cryptology ePrint 2026/1578 作者 / 维护者： Yunbo Yang、Yupeng Ren、Changtong Xu、Rui Zhang、Xuanming Liu、Jin Tan、Tao Wei、Bingsheng Zhang、Kui Ren 日期： 2026-08-03 链接： 论文 核心内容： OpenLLM 将大模型推理拆成可复用原子算子，为非线性函数设计可组合的非交互零知识证明，从而构建与具体模型架构解耦的端到端验证流程。作者报告其在证明大小、验证成本、数值精度和模型扩展性上优于既有端到端方案，并消除交互式协议的通信轮次。 与你的方向关系： 该工作覆盖 LLM Security 中的远程推理完整性：它验证服务端确实按承诺模型执行，而不是只依赖 API 声明。对 Agent harness，这可作为高价值模型调用的可验证后端，但不直接解决 Prompt Injection、工具权限或输出语义正确性。 建议： 收藏 / 定向精读。重点检查被证明的算子集合、近似非线性导致的精度—证明成本权衡，以及对真实大模型自回归解码的端到端开销。 10. GoldenRetriever: Non-Interactive Homomorphic Encrypted Retrieval for Privacy-Preserving RAG 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yang Gao、Gang Quan、Scott Piersall、Qian Lou、Dongdong Wang、Liqiang Wang 日期： 2026-07-31 链接： 论文 核心内容： GoldenRetriever 用 CKKS 在密文上完成相似度评估，并以 threshold selection 代替昂贵的加密 top-k ranking，将相对语料规模的计算复杂度从二次降为线性。precision-stable mask polarization 用于把近似密文计算稳定映射回文档选择，且不泄露查询、分数或选中文档索引。 与你的方向关系： 它属于 LLM Privacy 与 RAG / Agent memory retrieval 的密码学相邻方向，可保护用户查询和私有知识库的访问模式。与语义隐私或权限控制不同，它提供内容层强机密性，但需要权衡阈值选择、召回率和密文计算成本。 建议： 浏览 / 收藏。优先看 threshold 对结果数量与信息泄露的影响，以及方法能否扩展到动态 Agent memory、频繁增量写入和多租户检索。 今日优先阅读 优先阅读 CAGE、Memory Provenance Laundering 和 Zero-Mem。CAGE 直接给出 tool-use authorization 的可认证 harness 边界；后两篇分别从“权限不能在记忆重写中被放大”和“记忆操作不必持续调用 LLM”出发，可能同时影响 Agent memory security 与 cost-aware harness 的系统设计。若正在强化论文 related work，建议随后对照阅读 STAIR。

本期检索范围： 2026-07-31—2026-08-03 本合并版共收录 8 项。最明显的趋势是 harness 正同时成为性能优化对象、可抽取的知识产权和需要细粒度权限控制的安全边界；Agent memory security 也从污染检测扩展到版本化恢复。内容包含 7 项新论文（其中 1 项同步发布新代码仓库）和 1 项项目重大更新；2026-08-03 当日没有额外达到中高相关标准的新条目。 1. Agent Harness Distillation: Inference-Time Harness Extraction and Exploitation in Autonomous Multi-Agent Systems 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yu Cui、Wuli Yang、Yirui Shi、Junhao Xia、Hui Jiang、Lei Gao、Chenfu Bao 日期： 2026-07-30 链接： 论文 核心内容： 论文首次将 autonomous multi-agent system 的 inference-time harness extraction 形式化为安全与知识产权泄露问题。AHD 先从目标 Agent 的黑盒响应推断编排行为并构造初始 harness，再迭代对齐其行为模式；作者还提出 deception-based defense，在保持正常效用的同时向抽取过程暴露误导性 harness 信息。 与你的方向关系： 它直接连接 Harness Optimization 与 Agent Security，并提出一个值得警惕的新结论：优化所得的 controller topology、角色分工和协作策略可能从输出轨迹中被蒸馏。对 Natural Growth 而言，这意味着除了性能与成本，还需要考虑 learned harness 的可识别性和可复制性。 建议： 精读。重点核查其 harness leakage 定义、抽取保真度指标和 threat model；论文明确标注仍为 work in progress，因此实验结论宜谨慎引用。 2. Piggybacking on Perception: Stealthy Concurrent Audio Prompt Injections against Multimodal LLM Agents 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Mingxiao Liu、Yitong Li、Haoren Zhao、Yaoxiang Bian、Jianan Ma 等 日期： 2026-07-30 链接： 论文 · 代码 核心内容： 该工作研究恶意音频指令与用户语音同时出现时的 Prompt Injection，通过 instruction augmentation 和 scenario concealment 将攻击隐蔽地搭载在正常交互中。AudioAgentSecurity 覆盖 8 类真实任务、10 种攻击模式和 11 个 Agent；论文报告对 Gemini 3 Pro 的平均 ASR 为 69.10%，而结合声源分离与跨模态一致性分析的 CADV 防御在多类攻击上的检测成功率超过 90%。 与你的方向关系： 这是 Indirect Prompt Injection 从文档、网页进一步扩展到连续感知通道的实例，说明输入来源与指令权限不能仅在转写后的文本层判断。它支持在 harness 中引入 source-aware provenance、跨模态一致性验证和 action-time confirmation。 建议： 精读并试跑。官方仓库包含攻击入口、数据构造、CADV 实现、评测脚本和结果日志，但当前仅 3 次提交，复现时应首先验证数据路径、judge 稳定性和真实环境音频设置。 3. ChronoMem: Version Control and Semantic Rollback for Large Language Model Agent Memory 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Yongye Su、Wujiang Xu、Chaoji Zuo、Elisa Bertino 日期： 2026-07-30 链接： 论文 核心内容： ChronoMem 将 Agent 长期记忆建模为可版本控制的状态：每次写入创建 whole-memory snapshot，并通过 lexical-semantic retrieval、rank fusion 与 reranking，把自然语言“撤销”请求映射到具体历史版本。其 post-exposure protocol 进一步测试 Agent 在已接触后续信息后，能否像这些信息从未出现一样回答问题和总结历史。 与你的方向关系： 它为 memory poisoning 和错误经验积累提供了系统级恢复原语，也与 self-evolving harness 的 rollback 设计直接相关。相较只删除可疑条目，global snapshot 能更清楚地定义恢复后的状态一致性，但尚不能自动解决外部工具或环境中的副作用。 建议： 精读。重点比较 semantic version selection 与确定性 restore 的边界，并评估其完整性检查能否扩展为恶意记忆写入后的安全恢复机制。 4. GitHub Agentic Workflows v0.84.2 类型 / 来源： 项目重大更新｜GitHub 作者 / 维护者： GitHub、pelikhan 等维护者 日期： 2026-08-01 链接： 项目 · v0.84.2 发布说明 核心内容： v0.84.2 修复了 git archive fallback 路径中的参数注入漏洞（CWE-88），并加固 PR Description Updater，避免 one-shot safe-output 被提前耗尽；版本同时修复 external threat detection 的模型配置传播以及 Agent memory limit 的 front matter 解析。权限与执行方面，新版本支持 dispatch_workflow 的 per-call ref、显式 auto-merge strategy，并为 Docker 依赖增加 Dependabot supply-chain coverage。 与你的方向关系： gh-aw 将 coding agent 置于 sandbox、read-only default 和受净化的 safe-output 写入边界内，是研究 executable harness、capability control 与 tool-use security 的高质量工程样本。这次更新展示了一个重要系统设计问题：即使 Agent 只能经受控输出写入，底层 fallback command、输出配额和运行时 branch target 仍可能形成权限绕过或注入面。 建议： 精读。重点查看 CWE-88 修复、one-shot safe-output exhaustion 的触发条件，以及新增 per-call ref 是否配套限制 Agent 可指定的 branch；这些变化可直接用于建立 harness security 的攻击面分类。 5. Safeguards Based on Copyable Context Cannot Provide Reliable Safety for LLMs 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Pingyu Wu、Lingyao Zhu、Weiming Zhang、Nenghai Yu 日期： 2026-07-30 链接： 论文 核心内容： 论文区分模型释放的 capability 与 safeguard 用于判断下游用途的 evidence，并证明当这些证据可被攻击者复制时，在保留有用回答的前提下，攻击者可获得的帮助存在不可消除的最坏情况下界。作者据此提出 Useful Capability、Reliable Safety 与 Open Access 不可同时满足的 trilemma，并讨论 trusted credential 如何引入难以复制的授权信号。 与你的方向关系： 这为 capability / permission control 提供了理论依据：聊天历史、角色声明和“我是安全研究员”等上下文不是可靠授权凭证。真正的权限控制需要由模型外 harness 绑定不可伪造身份、资源能力和具体 action scope。 建议： 精读。最值得核查的是定理成立的 threat model、copyable evidence 定义，以及 trusted-access 条件能否映射到 capability token 或细粒度工具授权。 6. AISPA: User-Centric System Prompt Auditing for Large Language Model Applications 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Xiangning Lin、Shenzhe Zhu、Shu Yang、Zhenyu Zhang、Haoqian Zhang 等 日期： 2026-07-30 链接： 论文 核心内容： AISPA 提出面向用户利益的 system prompt 审计框架，沿 8 个维度将具体指令标为 protective 或 problematic。作者审计了 88 个商业 AI 产品中的 3,249 条指令：98.9% 的产品至少包含一条保护性指令，但仅 24% 覆盖全部维度，约 40% 至少包含一条不利于用户利益的指令。 与你的方向关系： 该工作关注 system prompt 本身的治理与问责，而非 Prompt Injection 的抗攻击性；它可作为 harness specification audit 的上层补充。对安全 harness 来说，开发者配置的隐含目标、操纵性规则和数据处理指令同样需要被审计。 建议： 浏览。适合借鉴其 span-level taxonomy 和 human–LLM auditing workflow，但不应把“保护性指令数量”直接解释为运行时安全强度。 7. ARES: Adaptive Reasoning-Effort Steering for PPA- and Cost-Aware RTL Optimization with LLM Agents 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Stef Cuyckens、Mihaela Jivanescu、Jun Yin、Chao Fang、Marian Verhelst 日期： 2026-07-30 链接： 论文 核心内容： ARES 在 RTL 优化循环中联合报告 FoM 与标准化美元成本，并在低 reasoning effort 的进展停滞后才升级推理强度。作者发现精心构造的跨设计 memory 相对相同经验的直接拼接没有稳定收益；在三个未见测试设计上，自适应策略以相同成本取得 23–27% 的 FoM 降幅，并以 Dr. RTL 约 12% 的 token 达到更深优化。 与你的方向关系： 虽然任务域是硬件设计，它提供了很清晰的 cost-aware controller：不是固定每次调用的模型努力，而是根据 optimization stagnation 动态分配推理预算。这可作为 success-first、cost-aware harness optimization 中 call-level effort routing 的相邻基线。 建议： 精读。重点比较 patience-based escalation 与按失败类型或轨迹不确定性分配预算的优劣，并注意其测试集只有三个 unseen designs。 8. SKIMIX: Multi-Agent Harness-Time Scaling with Skill Mixture for Dynamic Harness Engineering 类型 / 来源： 新论文｜arXiv 作者 / 维护者： Jia Luo 日期： 2026-07-30 链接： 论文 核心内容： SKIMIX 让携带不同 skill portfolio 的多个 Agent 通过 iterative refinement 协作，并结合 embedding retrieval、submodular anti-dilution routing 与 adaptive skill evolution。六个推理 benchmark 显示，协作对开放式数学任务有明显帮助，但对多选题收益有限或为负；Agent 数量扩展也并非单调，主要增益集中在第一轮 refinement。 与你的方向关系： 它从 skill selection 与组合角度研究 dynamic harness engineering，并提醒“更多 Agent / 更多 skill”并不自动带来更好 controller。anti-dilution routing 对大型 skill library 中的上下文污染和无关指令竞争尤其相关。 建议： 浏览。目前为单作者论文且未提供官方代码，优先理解其 routing objective 和负结果，不宜仅依据摘要中的性能描述采用为强基线。 今日优先阅读 优先阅读 Agent Harness Distillation、Piggybacking on Perception 和 ChronoMem。第一篇可能改变 learned harness 的 threat model 与论文定位；第二篇为多模态 IPI 提供可运行的攻击—防御评测链；第三篇则把 memory poisoning 后的恢复从 prompt suppression 推进到可定义、可验证的状态回滚。若更关注工程落地，可将 GitHub Agentic Workflows v0.84.2 作为 capability control 与 safe-output 设计的配套案例。

本期回看范围： 2026-07-24—2026-07-30 本期筛出 10 项。整体趋势非常集中：Harness self-evolution、持久化记忆安全，以及跨 Agent 的语义信息流控制正在快速升温。以下均为“新论文”，只有第 10 项属于“论文版本更新”；关联代码已合并到对应条目，没有发现值得单独列出的高质量新项目。 1. DREvo: Distilling Recalibrated Historical Experience for Harness Self-Evolution 类型 / 来源： 新论文｜arXiv 作者： Hanghui Guo、Weijie Shi、Zhangze Chen 等 日期： 2026-07-29 链接： 论文 核心内容： DREvo 研究历史轨迹为何不能稳定指导 harness 演化，提出 function-level evidence anchoring、state-dependent recalibration 和 role-conditioned search-intent distillation。作者报告其在五个 benchmark 上均取得最高准确率，在 domain reasoning 和 agentic tasks 上平均领先基线 16.2% 与 14.2%。 与你的方向关系： 与 Natural Growth、函数级 harness edit、历史失败证据和有限优化预算高度重合；尤其值得比较它如何判断旧经验对当前 harness 是否仍然有效。 建议： 精读。重点看 evidence recalibration、搜索方向生成方式，以及是否设置 held-out regression gate。arXiv 摘要与结果 2. Living-Harness Is an Interactive-Agent Evolver 类型 / 来源： 新论文｜arXiv 作者： Yuetian Du、Yucheng Wang、He Xu 等 日期： 2026-07-29 链接： 论文 核心内容： 将每条完成轨迹和 evaluator 信号转化为有界的持久化 harness 更新，分别写入 episodic memory 与记录 repair transition 的 state graph。工具和基础上下文保持冻结，在 τ²-Bench 与 MultiWOZ-2.4 衍生环境上，Pass@1 分别提升约 10.07 和 9.91 个百分点。 与你的方向关系： 这是 Natural Growth 的直接相邻工作，但它主要“增长”结构化记忆和状态图，而不是通用可执行 controller code；这一差异可能成为你论文 positioning 的关键。 建议： 精读，并加入 related-work 对比表。方法与实验摘要 3. SafeFlow: Semantic Information-Flow Control for Blocking Malicious Propagation in Multi-Agent Systems 类型 / 来源： 新论文｜arXiv 作者： Haowen Dai、Zonghao Ying、Wenfeng Li 等 日期： 2026-07-28 链接： 论文 核心内容： 将多 Agent 中被拆分、局部看似无害的恶意目标建模为 semantic information-flow 问题。SafeFlow 为根请求附加结构化语义 taint，在动态协作图中传播，并在不可逆操作前重构全局风险上下文。 与你的方向关系： 与你此前考虑的跨设备 Agent 权限边界、间接提示注入和“单个 Agent 看不到全局恶意意图”高度一致；也提供了从传统标签式 IFC 扩展到语义 taint 的具体实例。 建议： 精读。重点检查 taint schema、传播规则、不可逆 action gate，以及面对语义改写时的稳定性。论文页面 4. MemSecBench: Tracking Agent Memory Poisoning from Persistence to Consequence and Repair 类型 / 来源： 新论文 / Benchmark｜arXiv 作者： Xuanze Chen、Xukang Xie、Wentao Fu 等 日期： 2026-07-29 链接： 论文 核心内容： 提出包含 310 个案例、48 种真实场景的 Write–Execute–Forget 测试协议，覆盖两个 harness、四种 memory backend 和三个 LLM。实验中恶意记忆持久化率达 84.2%，完整 Write–Execute 攻击成功率为 50.3%，不同 memory stack 的攻击与修复能力差异明显。 与你的方向关系： 同时连接 memory poisoning、持久化 prompt injection 和 harness-dependent security；其“相同攻击语义跨生命周期追踪”的评价方式比单轮 ASR 更完整。 建议： 精读，可考虑借鉴七个 lifecycle checkpoints 与 selective repair 指标。论文与实验数据 5. Isolated but Exposed: Persistence-Based Memory Extraction Attack on LLM Agents 类型 / 来源： 新论文｜arXiv 作者： Xinyu Gao、Wenyu Chen、Xiangtao Meng 等 日期： 2026-07-26 链接： 论文 核心内容： SPORE 利用 Agent 把长期记忆内容写入工具调用参数这一通道，在不突破用户级 memory isolation 的情况下由恶意工具抽取隐私。它将攻击指令持久化到短期记忆、用语义纯净的 retrieval anchor 探索嵌入空间，并通过持久化 reactivation payload 跨会话继续攻击；论文报告最高 80% 的记录抽取率。 与你的方向关系： 直接说明“存储隔离”并不等于“信息流隔离”，威胁边界应覆盖 memory → LLM → tool arguments 的完整链路。 建议： 精读，尤其关注工具参数污点追踪和跨会话 capability revocation。论文正文 6. A Control System, a Dataset, and a Recipe for Making Frozen LLM Agents Learn a Domain 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub 作者 / 维护者： Debjyoti Paul 日期： 2026-07-28 链接： 论文 · 代码 核心内容： 不允许 Agent 任意重写代码，而是在 729 个可解释 harness 配置组成的固定空间中，用 contextual bandit 或 REINFORCE 选择 prompt、memory、planning、verification 和 step budget。奖励联合考虑成功率、验证分数、policy compliance、成本、延迟和 unsupported claims。 与你的方向关系： 它代表“离散配置策略学习”，可作为你从 minimal scaffold 进行开放式代码增长的强对照。仓库已有核心库、三个任务域、测试和分析脚本，但目前仅 5 次提交、0 stars，实验成熟度需要自行验证。 建议： 精读论文，浏览代码；重点比较固定动作空间与开放代码搜索的表达能力和审计性。代码结构与运行说明 7. SkillGate: Cost Efficient Runtime Malicious Skill File Detection in Coding Agents 类型 / 来源： 新论文 + 新项目｜arXiv / GitHub 作者： Rui Yang、Michael Fu、Kla Tantithamthavorn、Chetan Arora、Joey Chua 日期： 2026-07-28 链接： 论文 · 代码 核心内容： 将 Agent skill 文件视为供应链中的持久化指令注入载体，使用 regex prefilter 与仅检查命中片段的 LLM judge。SkillsBench 上取得 F1=0.817、FPR=1.13%，相较整文件 LLM 检查减少 77% 输入 token。 与你的方向关系： 非常贴近 harness engineering security：可安装的 Markdown skill 实际上拥有改变后续 Agent 行为的能力，却通常缺少签名、权限声明和安装前审计。 建议： 精读并试跑；但要仔细检查数据集中的合成样本比例，以及对语义隐蔽、跨文件组合攻击的召回率。论文结果 8. ALIBI: Adaptive Agentic Attacks on LLM-Based Vulnerability Detectors via Adversarial Code Comments 类型 / 来源： 新论文｜arXiv 作者： Zixuan Wu、Cristina Nita-Rotaru 日期： 2026-07-27 链接： 论文 核心内容： 攻击 Agent 在引入真实漏洞的同时插入不改变程序行为的对抗性注释，并根据检测器反馈迭代优化。四种 LLM 漏洞检测系统在 125 个真实空指针漏洞上的攻击成功率均超过 90%；prompt-level defense 效果有限，而注释清洗和架构隔离更有效。 与你的方向关系： 这是典型的间接 prompt injection：不可信自然语言与可信程序证据被放入同一推理上下文。它也支持“安全边界应由 harness 架构执行，而不能只靠 system prompt”的论点。 建议： 精读，特别关注伪造工具结果类注释和 architectural isolation 消融。论文与结果 9. Bits and Memories: Measuring Verbatim Extraction Across LLM Quantization 类型 / 来源： 新论文 + 代码 / 数据｜arXiv / GitHub 作者： Akshay Sasi 日期： 2026-07-28 链接： 论文 · 代码 核心内容： 直接测量不同精度下训练数据的逐字抽取，而不是只使用 membership inference。量化确实比模型能力更快地降低逐字记忆，但四比特模型仍保留大部分已知记忆序列，且模型越大，量化后幸存的记忆比例越高。 与你的方向关系： 对 LLM privacy 的评价指标选择很有价值：membership signal 的下降不能等价为语义或逐字泄露风险下降。 建议： 浏览论文，收藏代码和数据；可用于支撑“隐私评价必须对齐实际泄露目标”的论述。论文及代码说明 10. ELLMo: Packing- and Depth-Aware Encrypted Transformer Inference 类型 / 来源： 论文版本更新｜IACR Cryptology ePrint 2026/198 作者： Seyda Nur Guzelhan、Lohit Daksha、Carlos Agulló Domingo 等 更新时间： 2026-07-28 链接： ePrint 论文 核心内容： 面向 FHE Transformer inference，提出降低 ciphertext rotation 的矩阵乘法方案，并用 Statistical-max Softmax 与 DelayNorm 减少非线性层深度和 bootstrapping。更新版本报告在 encrypted BERT-Tiny 上相对基线约 1.4× 加速，bootstrapping 最多减少 46%，准确率损失为 0–1.5%。 与你的方向关系： 属于 LLM prompt confidentiality 的密码学相邻方向；相比语义隐私，它提供更强的内容机密性，但仍受模型规模、交互延迟和密文计算成本约束。 建议： 收藏 / 定向精读；如果研究重点仍是 Agent 与 harness，可只关注其 threat model 和 deployability trade-off。IACR 更新记录 今日优先阅读 DREvo、Living-Harness、SafeFlow。 ...