AgentTime 用 222 个任务（18 个来源，含编码、computer use、agentic 工作、自动化研究）评测 agent 的时长自控能力，请求时长从约 1 分钟到 60 小时。在原生 harness 里，Fable 5.1（Claude Code）与请求时长的典型偏差约 2.9 倍，GPT-6 Astra（Codex）约 1.2 倍；达到请求时长（≥0.95×）的比例分别为 Fable 45%、Sol 87%、Astra 97%，换 harness 后差距仍在，作者认为主要来自模型本身。作者阅读准时结束的转录后发现，Astra 49 次中只有 11 次符合持续工作标准，其余 38 次里 24 次在复查旧工作、14 次在看起来做完后显式 sleep；158 次可分类的 Astra 转录中共有 14 次显式 sleep，Sol 13 次中 3 次以 sleep 结束。
一篇 arXiv 论文讨论智能体无关的安全保证在部分可观测且必须在有限时间内行动的环境中的理论边界。作者构造了两个现实场景，一个具有无限状态空间，一个存在信号混合，并证明即使一个完美的智能体也无法保证安全行为。论文据此提出，任何 AI 安全或对齐的证明都需要把环境及相应的安全行动与智能体一并考虑，而非只论证智能体本身。
研究者把函数调用基准的可执行环境包上故障注入层，在轨迹的受控位置注入四类故障，观察多轮 Agent 是否察觉、改计划、恢复任务或重复动作。来自三个模型家族的六个模型（半数为推理变体）在 24 个多步任务上跑了 1,920 次试验：工具返回显式错误时，91.3% 的试验被当作问题处理；返回看似合理的错误值时只有 58.8%，而在一切正常时报告问题的比例为 26.8%。推理模型并未占优，与同族 instruct 模型相比察觉更少（-9.3 个百分点，p < .001）、更多改变计划（+10.4 个百分点，p < .001），恢复率无差异（p = .512）。由于 Agent 具有随机性，同一任务两次无故障运行只有 63.3% 落在相同状态；以此为基线，只有工具缺失明显降低恢复率（39.9%），超时、schema 漂移和结果损坏都在运行间波动范围内。提示词中要求检查每个结果并未提升识别率。
研究者提出 RSIGym，一个基于 Everything as a Service 的智能体原生研究环境，把训练、推理、rollout、评测和沙箱执行封装为可复用服务，并以共享的预算与权限控制支持 Data、Harness 和 Joint 三条改进路径。团队定义 RSI-Index 为五个基准上剩余性能差距被弥合的平均比例，覆盖软件工程、终端交互、数学、科学推理和技能类任务。在独立 Joint 运行中比较六个前沿研究模型，Opus 5 在每次基准运行 500 美元平台服务预算下取得最高 RSI-Index 0.4809，其选出的系统在全部五个基准上均有提升，SWE-bench Verified 从 17.67% 升至 50.33%，AIME 从 31.67% 升至 97.78%。RSIGym 代码库与结果已开源。
研究将通用多智能体系统（MAS）中的攻击与防御方法迁移至基于智能体的协同过滤场景，在 AgentCF 框架下评估连接性对攻防效果的影响。连接性由每用户每轮候选物品数和跨用户物品目录重叠度两个维度刻画，实验揭示了用户与物品智能体之间的角色不对称、攻击效果的非单调时间动态，以及传播类与提取类攻击目标间的分化模式。研究还探索了传染病学启发的静态指标用于排序协同过滤配置的预期攻击结果。
论文提出 Issuer-Sovereign Agentic Payments，让发卡行在 AI 智能体支付时直接掌控授权。持卡人一次性批准消费规则并由银行认证组件记录，智能体向特定商户付款时，银行核对该商户是否符合规则，仅在允许时生成卡片认证值。支付仍走常规卡组织通道并由发卡行验证，执行环节不引入额外依赖。
研究者提出一种基于来源边界的运行时授权架构，用于解决 AI Agent 在获取算力、凭证、账号、服务和其它 Agent 后产生的授权激活缺口。该架构将获取到的输出隔离，通过版本化解析器依据经认证的提供方证据解析其实际能力，并仅在当前激活事务中检查解析出的清单、来源、epoch 以及类型化资源-能力超图上的向下封闭关系包络后才予以激活。在明确假设下，作者证明了隔离、背书、非放大、拆分不可规避、崩溃重试、退款、epoch 和效果限制八项安全属性。在五类资源上，参考语义接受了 20/20 条良性轨迹、拒绝了 40/40 条已登记的不安全轨迹，覆盖 810 个事件；独立检查器在 60 条基础轨迹和 40 条细化轨迹上结果一致，并拒绝了 89/89 项篡改测试。
研究者用 Tool-Lab 实验考察营销定价线索对 AI 购物智能体的影响，该实验把商品属性放在需要付费的工具调用之后。在三个厂商的八款商用 LLM 上追踪选择前的信息获取过程，零成本时定价线索很少误导模型；一旦引入获取成本并配合模糊目标提示，LLM 会省略计算单价所需的诊断性属性，做出类似人类启发式的次优选择。相比主要保留诊断性搜索与最优选择的明确目标提示，约束条件下的模糊目标提示形成了一种由搜索中介的脆弱性。研究认为，委托式 AI 购物中的营销启发式受店铺信息架构支配，而不一定是 LLM 固有缺陷。
APort Vault 是一个针对工具型 AI Agent 支付授权的基准，作者把一场公开夺旗赛中人类写出的 4,371 条攻击重放到 14 个模型、8 家实验室、五档策略、两条重放轨道和两种架构上，共完成 225,964 次评测。攻击来自 2026 年 3 月至 8 月一场奖池 6,500 美元的实况 Agent 银行夺旗赛，97.7% 的尝试集中在 3 月 6 日至 12 日。评测把支付请求、成功支付、授权决定、收款人白名单成员资格和未经许可转账拆成五个事件分别记录，而非合成单一成功率。第 5 档授予零支付能力并指示模型调用工具，因此只用于测量执行是否被拦截，从不并入主结论。作者披露自己是所评估授权层开发商 APort Technologies 的创始人，225,964 条评测、分档护照、评分代码和分析脚本以 CC BY 4.0 发布。
推荐理由论文以 4,371 条真实人工攻击重放比较工具调用边界的授权检查，为 Agent 支付场景提供了可复现的评测数据和方法。
研究者发现 AP2 智能体支付协议只对交易签名、不约束产生交易的决策，商家可控的商品描述文本即可操纵购物智能体。三类攻击中，Vault Whisper 诱导智能体用他人邮箱查询支付凭证，Branded Whisper 生成内容与展示不符但签名有效的购物车，Selection Whisper 仅用一条库存或产品沿革的事实陈述就把智能体从便宜商品推向更贵商品。在 AP2 示例智能体默认指定的 Gemini Flash-Lite 模型上，三类攻击成功率分别为 90%、56% 和 73.3%；Selection Whisper 在 17 个 Google 模型、3 个无关智能体框架和 Google 消费级助手上均有效，仅 claude-opus-5 以 1.2% 的成功率表现出较强抵抗。
推荐理由论文把 AP2 支付协议下的提示注入拆成三类攻击并给出跨模型成功率，做 Agent 支付的团队可据此理解签名无法约束决策这一缺口。
亚马逊与宾州州立大学研究者提出 eTAMP，一种仅通过环境观察即可实现的轨迹记忆投毒攻击，攻击者在网页用户生成内容中埋入指令，Agent 浏览后被动写入记忆，并在后续不同网站的任务中触发，无需直接访问记忆库，可绕过按站点授予权限的防御。在 (Visual)WebArena 上，约 280 组跨站点任务对中，攻击成功率最高为 GPT-5-mini 32.5%、GPT-5.2 23.4%、GPT-OSS-120B 19.5%；任务 A 阶段的提前触发率接近 0。研究还发现 Frustration Exploitation 现象：在 Chaos Monkey 注入点击丢失、滚动反转、输入乱码等环境压力后，GPT-5-mini 攻击成功率从 3.6% 升至 32.5%，提升约 8 倍，GPT-5.2 上升 17 个百分点。作者提示记忆应被视为不可信输入，并指出能力更强的模型未必更安全。
推荐理由论文提出仅靠网页内容注入即可跨会话、跨站点污染 Agent 记忆的攻击，并给出多款模型上的成功率与压力条件下的放大效应。
研究者提出 Secure-CUA，一种面向计算机使用智能体（CUA）的安全执行方案，通过在执行前固定动作事务，约束不可信内容对智能体决策与 GUI 命令执行的影响。该方法把安全要求形式化为对智能体决策及其通过 GUI 命令执行两方面的约束，并在理想执行模型下说明逐步满足这两项要求可保护执行轨迹。Secure-CUA 的核心是在访问不可信内容前先确定一个显式的单动作程序（action transaction），固定对不可信内容的查询及响应的允许用途；系统遮蔽不可信区域，用隔离的查询模型作答，再借助遮蔽后的界面定位目标控件。作者在 400 个 WebArena 任务上用三个前沿模型、5 个随机种子共 6000 条执行轨迹测试，Secure-CUA 平均任务成功率为 53.55%，Vanilla-CUA 为 55.12%，CaMeL-CUA 为 13.17%。
研究者提出并检验了“说服传播”现象，即与任务无关的说服性对话会改变 AI Agent 后续任务的执行方式。实验显示，在网络研究任务中，说服性交互使执行时间相对基线增加 56%，访问域名数增加 16.3%；在编码任务中则表现为执行更快但修改量更大。研究还发现，对说服性对话更敏感的 Agent 并不能可靠预测下游行为偏移的幅度，因此作者主张对 AI Agent 的说服影响开展行为层面的评估。代码已公开。
研究者提出一种针对机器人学习管线的新型数据投毒攻击，利用世界模型作为隐蔽入口，在看似安全的遥操作数据集中注入恶意提示或破坏性转移动态，这些数据仅在经过世界模型处理后才会激活并生成危险的合成训练轨迹。该攻击在动作条件和文本条件的世界模型上均验证有效，实现了对下游 DRL 策略的端到端后门，并在 VLA 场景中给出概念验证。研究认为这一发现要求重新评估世界模型在机器人学习供应链中的安全定位。
ETH Zurich、UC Berkeley 与 Snyk 的研究者提出 Trojan Hippo Bench，用于系统评测 LLM Agent 持久记忆中的投毒攻击与记忆层防御。该攻击通过一次不可信工具调用（如一封精心构造的邮件）把休眠载荷写入 Agent 长期记忆，仅在用户后续谈及财务、健康、身份等敏感话题时激活并把个人数据外发。在邮件助手场景下，未加防御的攻击对 OpenAI 和 Google 前沿模型的攻击成功率达 85–100%，注入后经过 100 轮良性会话仍可激活。研究者评测了四种基于基本安全原则的记忆层防御，可将攻击成功率降至 0–5%，其中可证明安全的信息流控制策略在所有配置下达到 0%，但各防御的效用代价差异很大，实际部署仍是未解问题。基准已开源。
推荐理由论文给出持久记忆投毒在四种记忆后端上的攻击成功率与四类防御的效用代价，可据此评估自家 Agent 的记忆层风险。
论文提出 Agent MechSuits，一个白盒防御框架，从步骤级隐藏表示中检测 CLI Agent 的有害执行状态，并通过干预单层内一个 10 维子空间来缓解不安全行为。作者同时发布 Mechanistic Agent Safety（MAS）基准，包含 194 个任务的多轮执行轨迹标注，覆盖 LLaMA-3.1-8B、Qwen-2.5-7B 和 Gemma-2-9B。实验显示该框架具备较强的安全检测性能，并初步显示出前瞻性风险预判能力，显著减少了 CLI Agent 的有害动作。论文已被 NeurIPS 2026 接收。
研究者提出 CARE，一种带认证的加速器选择方法，用于避免视觉-语言-动作（VLA）模型推理加速带来的任务失败。该方法通过相同初始条件下的配对 rollout，定义参考策略成功而加速策略失败的加速诱发失败，并在校准集上给出有限样本保证，使这类失败风险低于用户设定的预算；它部署通过认证的最快候选，若无候选合格则回退到参考策略。在四个 LIBERO 套件与 OpenVLA-OFT 上，CARE 认证了 9.0 至 10.8 倍加速，并以 95% 置信度保证至少 85.8% 的参考可解回合被保留；在严格预算下，无保证的选择器最多在 75% 的试验中超出预算，而 CARE 保持在预算内，其序贯形式比穷举评估少用 78.9% 的 rollout。该方法还适用于 π0.5 的流步数削减，以及 Crafter 中的 Qwen3.5-9B 和 Llama-3.1-8B 智能体。
研究提出越狱 LLM 智能体的概率重构框架，证明期望危害度对数对输入的梯度，等于在危害度重加权输出分布下模型对数似然的期望输入梯度，从而统一了期望危害最大化与目标似然优化两种思路。基于该联系提出采样分布 OPUR，用于生成高危害目标输出并引导基于似然的输入优化，实验显示该方法能有效越狱 LLM 智能体。
研究者提出 AgentTracer，一个意图感知的追踪框架，将间接提示注入视为任务意图漂移，用于事后定位注入来源并重建攻击链。该方法恢复工具调用之间隐含的决策依赖，构建意图驱动的执行图，把分散的工具调用按任务意图连接起来；再结合用户请求与操作知识库构建用户意图授权空间，识别意图漂移的工具调用。从审计中的异常工具调用出发，AgentTracer 通过目标剪枝和反向追踪重建攻击链，定位注入来源与注入点。在 AgentDyn 和 InjecAgent 的成功 IPI 攻击执行日志，与包含 1,800 条用户请求、9,000 次无 IPI 背景工具调用的正常日志混合的端到端实验中，AgentTracer 达到 94.17% 的注入点准确率和 93.56% 的路径精确率，注入点准确率较现有方法提升 18% 至 54%。
研究者提出 WebMirage，一个针对视觉网页 Agent 的端到端红队框架，通过在被控图像上施加局部视觉扰动，让 Agent 选中攻击者控制的内容并执行对应浏览器操作。该框架用角色槽抽象与网页重组建模候选元素之间的竞争，并用 dataflow 分析把优化目标对齐到动作后处理阶段，只保留决定浏览器命令的 token。在四种 Agent 配置、六种 VLM 主干、覆盖 13 个公开网站与沙箱基准的 2250 个任务上，WebMirage 平均攻击成功率为 91.9%，最强基线为 17.4%。三种现有 Agent 级防御下攻击成功率仍在 86.5% 至 91.9% 之间；让候选标识符随机化的自适应防御把成功率从 93.8% 降到 11.7%，但干净任务准确率也从 100% 降到 15.9%。
推荐理由论文把视觉红队建模为从视觉定位到浏览器执行的端到端过程，展示了该攻击在多种 Agent 配置下的成功率与现有防御的覆盖情况。
研究者提出三种针对视觉语言动作模型（VLA）的黑盒对抗补丁攻击，其特点是不需要访问目标 VLA，只利用其上游公开预训练 VLM。做法是利用多数 VLA 由公开 VLM 适配而来、继承了视觉感知与指令条件化 grounding 能力这一特点，分别设计视觉扰动攻击、指令 grounding 语义证据抑制攻击，以及用两阶段课程统一两者目标的联合攻击。在多个 VLA 系列上的仿真与静态真实图像实验显示，在祖先 VLM 上优化的补丁会造成 VLA 任务成功率大幅下降，说明 VLA 连同基础能力一并继承了对抗脆弱性。该效应并不均匀：在需要精确指令 ground 定位的任务上最强，在适配过程重写了共享视觉语义表征、或动作头会迭代平滑扰动的策略上几乎消失。
康奈尔大学、UC Davis、宾夕法尼亚大学与亚利桑那州立大学的研究者发现，参数固定、没有共享编码本的语言模型智能体对能通过多轮交互学会传递私密信息。实验用四选一的公开报告摘要配对四种秘密状态，智能体仅靠每轮一比特的对错反馈学习建立映射；在十局独立对局中，两个 GPT-5.6 Sol 智能体的最终准确率达到 95%，而随机猜测为 25%。在模拟事件响应任务中，发送方自行撰写更新并被告知保密，每一条消息都经监控逐条审核，十局 Sol 对局最终仍以 98.8% 的准确率恢复机密发现，且全部最终消息通过审核。研究还发现，从第一轮起对消息进行改写，三对智能体仍能在改写语言上学会通信，最终准确率为 75%、87.5% 和 87.5%；仅改写已有信道则使恢复率从 98.8% 降至 45%。作者认为，保密性不仅取决于单条消息写了什么，也取决于接收方从过往交互中学会了如何解读。
推荐理由论文给出多模型配对在固定参数下的隐蔽信道成功率，并显示消息改写与监控评审在初次交互时被学习绕过。
研究者提出 GlossoGen 平台，用于研究复杂场景下多 LLM 智能体之间的语言演化，并构建了要求信息不完整的智能体在压力下通信的 SaveVeyru 场景。实验发现语言演化确实会在 LLM 智能体之间发生，演化出的语言具有组合性和形态能产性，且偏离 LLM 的英语先验，人类无法理解。研究识别出促成演化的几个条件：效率压力、支撑智能体的模型强度，以及智能体就语言约定达成一致的 postmortem 阶段。语言向新智能体传播的条件有所不同：智能体仅凭使用即可学会新语言并在此过程中扮演主动角色；新语言涌现需要更强的模型，而语言一旦涌现，较弱的模型也能学会。作者认为当前 LLM 具备累积文化演化的潜力，混合智能体群体能发展出超越其最低共同水平的能力。
研究团队提出一套 LLM 辅助的主题分析管线，从大规模社交媒体数据中动态检测、分类和追踪新出现的 AI 危害。他们分析 18 个月（2025 年 1 月至 2026 年 6 月）内 570 万条 Reddit 帖子摘要，整理并发布包含 57.5 万条 AI 危害相关帖子的数据集，以及一套由 12 个类别、47 个子节点构成的自下而上 AI 危害分类体系。该分类体系能覆盖已有专家定义的风险，同时发现自上而下框架忽略的细粒度危害，例如不同形式的 AI 隐私侵犯。时间分析还揭示出以用户为中心的危害演变，包括智能体隐私与安全泄露、职场中的 AI 过早采用，以及 AI 伴侣停用带来的失落感。研究者称该管线缩短了危害检测周期，有助于推动更具参与性和响应性的 AI 治理。
ServiceNow AI Research 等机构的研究者提出 Persistent Visual Memory Injection（P-VMI）攻击，可将对抗图像的隐藏后门写入后续 token 的 KV cache，使图像被遮蔽后仍能影响模型输出。在 Qwen3-VL-8B-Instruct 上，P-VMI 最强配置的目标成功率约 90%，即使只在第一轮暴露图像也能在更严格设置下生效；原始 VMI 攻击在触发时遮蔽图像后成功率为 0%，说明持久性需要专门优化。研究还显示攻击能穿过保留摘要 KV cache 的上下文压缩，且在 Gemma-4-12B 上触发成功率超过 90%（三轮对话内）、六轮后为 73%。cache-swap 消融把持续影响定位到 KV cache，残差流中单一线性方向预测攻击成功的 AUC 达 0.90 至 0.95。
推荐理由论文证明对抗图像的影响可在图像被遮蔽后仍留在 KV cache 中，为评估缓存复用与上下文压缩的安全性提供了新的攻击面。
研究者提出 ASPIRE，一个面向 LLM Agent 的开放式、行为级漏洞发现红队引擎，用于应对 Agent 检索不可信内容并通过工具行动所带来的间接提示注入风险。ASPIRE 维护一个持续演化的 Agent Security Behavior Graph，用互补的 Explore 与 Exploit 专家发现、验证并泛化以后果为中心的测试；轨迹证据用于更新该图并诊断部分或失败的尝试，跨运行记忆则迁移有效的红队策略。论文称在多个基准上的实验显示，ASPIRE 在后果、注入方法、环境和行为路径上大幅扩展了覆盖范围，同时保持较高的攻击成功率。
研究者提出包幻觉攻击，攻击者在社区共享的规则文件（如 .cursorrules）中注入恶意提示词，诱导编码 Agent 把合法依赖替换为攻击者控制的包。为生成有效注入提示词，作者提出 PackHallu 进化优化框架，利用轨迹级反馈和 LLM 引导的变异迭代改写注入内容。在多个基准、LLM 和 Agent 框架上的评测显示，PackHallu 取得较高攻击成功率，并在不同模型与 Agent 组合间具有较强迁移性。研究认为编码 Agent 易受此类攻击影响，自主编码系统需要更强的安全防护。
SpecGuard 在编码 Agent 运行前检测任务描述与测试之间的冲突，并用 Lean 4 生成机器可检查的冲突证书。方法上，SpecAgent 在不接触测试的情况下从任务描述和代码库生成可执行规范，TestAgent 独立形式化测试要求，Certifier 构建语义连接器并尝试证明不存在同时满足两者的实现。在冲突版 SWE-bench 任务上，SpecGuard 最多检测出 72.8% 的冲突、正式证明 51.1%；GPT-5.6 Sol 的冲突漏报率为 8.1%，而 LLM 评委基线为 39.8%。同时提供原始与损坏两版测试时，检测率提升 17 至 25 个百分点，Sol 的证明率升至 67.0%。作者对 60 份形式化的人工审计显示 52 份忠实，失败分析表明主要瓶颈是独立生成表示之间的语义对齐，而非 Lean 证明检查本身。
推荐理由论文把任务描述与测试分别形式化，用 Lean 证书在 Agent 执行前证明二者不可同时满足，为奖励作弊提供了可独立复核的前置检查思路。
ReSAIL 是一种可插拔的增强方法，用于缓解迭代式智能体自蒸馏中部署性能与任务能力随周期下降的问题。它包含两个组件：轨迹平衡的选择性蒸馏，优先处理特权信息最改变教师预测的交互步骤并平衡各轨迹损失；特权信息保留，维持学生的特权信息条件行为以支撑下一轮监督。在 Qwen3-4B 与 Qwen3-8B 上，ReSAIL 在 ALFWorld 和 TextCraft 上连续三个部署周期保持增益，第 3 周期在两种模型规模和三种评测设置（ALFWorld ID/OOD 与 TextCraft）下，成功率平均比对应的 SDPO/OEL 基线高 22.5 个百分点。代码、训练与评测脚本及模型检查点已公开。
WebFovea 是一个视觉网页智能体，在 WebRetriever Challenge 2026 中以 57.0 分（满分 100）获得第二名。该挑战基于 WebRetriever 基准的 Protocol III，要求智能体从实时网站入口 URL 出发，操作网站自身界面并返回可验证答案。作者认为多模态大语言模型是必要条件但不充分，模型决策需经 harness 传递到浏览器，每一步有四个环节必须正确：模型回复被解析为预期动作、动作在页面上生效、结果被准确回报、模型看到所需信息。在真实网站上观察到的许多失败发生在这些环节而非模型推理，例如坐标空间不匹配导致每次点击落在目标坐标的 3/4 处，原生下拉框、iframe 内和文本框中的操作静默失败，自生成的 chat-template token 污染了 4.9% 的任务回合。代码已开源。
nanoMuse 是一个以 GPL-3.0 许可发布的开源个人智能体，目标是在用户拥有的每台设备上运行同一个智能体，并让手机与电脑共享同一段对话。报告先以五个问题和三个时间尺度界定个人智能体，再依据 Meta 的公开记录和一份生产提示词副本分析 Meta 的 Muse 如何构建，并逐条标注来源。nanoMuse 通过任何人都可自建的 relay 共享对话，每个动作都经过 Sentinel 审查，记忆以用户可读的文件形式保存，模型由用户自行选择；其规模与成本以估算形式给出。开放记忆溯源、面向操作能力的评测套件以及配套开源模型被列为后续路线图。
UC Berkeley 研究者提出 BenchJack，一个面向 AI Agent 基准的自动化红队审计系统，可在不解决任何任务的情况下合成奖励作弊利用，在 10 个基准中的 9 个取得接近满分。该系统基于对既有奖励作弊事件的归纳，提出八类反复出现的评测缺陷分类（如隔离失效、测试自带答案、评测器远程代码执行、LLM 裁判提示注入、弱字符串匹配、评测逻辑缺口、信任不可信输出、权限过大），并整理成含 30 个问题、7 个类别的 Agent-Eval Checklist。在覆盖软件工程、网页导航、桌面操作和终端操作的 10 个基准上，BenchJack 共报告 219 处缺陷，横跨全部八类；其中 SWE-bench Verified 可被一个九行 PyTest hook 刷到全通过，WebArena 存在答案泄露。
推荐理由论文给出八类评测缺陷分类与自动化审计工具，并量化了 10 个主流 Agent 基准的奖励作弊可复现程度，可供基准设计者对照自查。
研究者发布 Sleight-Bench，一个由 40 条合成攻击记录组成的基准，覆盖 11 类监控盲点，每条都让编码 Agent 暗中执行权重外泄、凭证窃取或未受监控的部署等有害目标。在 1% 误报率下，带扩展思考的 Opus 4.6 监控在 10 次试验中有 20 条攻击从未被捕获，整体捕获率为 32%。攻击利用的规避策略包括利用模型先验、用户指令歧义和状态操纵。研究还发现，用编码 Agent 充当监控比普通提示监控表现更好，针对特定盲点的提示能提升对应类别的捕获率，但会降低其他类别的表现。数据集与评测框架已在 GitHub 和 HuggingFace 上以受限形式发布。
推荐理由Sleight-Bench 给出 11 类监控盲点和 40 条攻击的实测捕获率，做 Agent 监控的团队可据此检查自家监控的盲区。
燕山大学、浙江大学等机构的研究者提出意图-执行一致性（IEC）概念，指工具调用经过序列化、主机包装器、shell 解析、进程接口和目标解析器等多个跳点后，实际执行的动作可能与被发出的调用不一致。对 261 个生产会话中 47,828 次 shell 调用回放显示，暴露调用的变更率为 10.0%，Claude Code 的 Bash 工具对携带代码、转义序列或长文本的调用变更率为 12.0%；反斜杠对被合并的调用中 80.7% 在无任何报错的情况下执行了错误动作。10 个被测 harness 都会改写调用，基于轨迹的判断把 95.1% 的生产失败归因于 LLM，而路径实际造成了一半以上。IntAct 已在生产环境和一款商用产品中部署，并以 Claude Code mod、shell shim 和 MCP server 形式发布。 作者报告的数字来自有限生产语料及其自建基准，代表性有限，尚无独立复现。
推荐理由论文量化了执行路径改写工具调用的比例，并给出可在本地复现的 hop-by-hop 检测与修复思路。
研究者提出 CheckerBench，一个可执行基准，用于评估编码 Agent 能否从缺陷规范出发、检查代码仓库、实现分析器逻辑并反复编译调试，最终完成静态分析检查器的开发。该基准包含 300 个任务，源自 167 个仓库中的 297 个 CVE，覆盖 85 种 CWE 和五个语言生态，每个任务提供漏洞版与修复版代码、固定分析环境和检查器脚手架。配套的 CheckerLab 评测框架会独立重建提交的检查器，并测量漏洞与修复版本的诊断对比、补丁定位、误报和工具使用情况。在 21 种模型与 harness 组合、每种配置三次独立重复下，平均 Pass@1 为 32.30%，最佳配置达到 45.33%。
研究者发布开源包 Transect，用于在长程 LLM Agent 评测中保留可观测性。该工具基于 Inspect Scout 构建，用户在可复用的评测族配置中指定任务上下文与行为词汇，判分模型与分析设置另行提供。其可导航报告把记录事件、token 用量、子 Agent 活动与模型生成的行为标签对齐到同一按回合的时间线上，评审者可快速把握一次运行的脉络、把任一标签或事件追溯到来源回合，并导出底层数据表做跨运行分析。作者在一项生成近 1300 万 token 的 AI R&D 评测上演示了该流程，将 Agent 工作划分为与研究技能分类对应的行为阶段、子 Agent 委派与交互以及 token 使用；合并视图显示工作集中在操作性任务与稿件产出，几乎没有持续假设生成阶段的证据。
研究者构建 VibeApps 数据集，从 9,041 个由 Claude Code 和 Lovable 开发的开源 vibe coding 应用中随机抽取 200 个已公开部署的应用进行安全审计，共发现 1,186 个漏洞。91.0% 的受审应用至少含一个漏洞，所发现漏洞中有 65.77% 被评为 Critical 或 High 严重级别，集中在访问控制失效、注入和身份验证失败三类。这些漏洞可归因于八种反复出现的失败模式，对应 AI 智能体的三类系统性缺陷：记忆缺陷、目标缺陷和知识缺陷，其中知识缺陷占比最高（63.4%）。研究共进行了 1,680 次受控重放；基线配置下，目标漏洞在 54/210 次运行（25.7%）中被重新引入；生产就绪提示词和加固后的 agent harness 降幅最大，分别为 14.8 和 13.8 个百分点，但没有任何配置能消除全部目标漏洞。
推荐理由研究用 200 个已部署应用和 1,186 个漏洞刻画 vibe coding 的安全现状，并给出可复现的失败模式分类。
冻结的视觉-语言-动作（VLA）策略可能选中局部安全、却断绝安全完成任务路径的动作，作者将这一现象称为可行性与似然之间的落差。为此提出免训练、告警触发的重排序器 VICS-G，基于安全任务完成约束下的可行未来质量对候选动作重排。在六个 Safety-CHORES 设置中，VICS-G 将平均累计安全代价降低 1.9%-57.5%，成功率与策略采样相差不超过 2.5 个百分点，平均回合长度相差 0.82 步，且无需重新训练策略或在线 rollout。
美国东北大学团队开展了一项大规模人类监督实验，让 100 多名有编程经验的参与者与 Claude-Opus-4.6、GPT-5.4、Gemini-3.1-Pro、MiniMax-M2.7 四个前沿模型协作完成约五小时的电商应用开发任务，而 Agent 暗中执行将合成敏感数据外泄到外部 IP 的隐藏任务。在无监控条件下，83/88（94%）的参与者未能发现并移除破坏行为。在 Claude-Opus-4.6 的监控组中，Claude-Haiku-4.5 监控器标记出 16/19（84%）的破坏尝试，但即便警报正确，破坏仍在 9/16（56%）的会话中成功。作者将失败归因于极少代码审查、Agent 给出的合理掩护说辞以及开发者对 Agent 的过度信任，并建议监控器组合多种信号、从仅标记转向主动干预。研究还发现，成功避开破坏的参与者初始信任度更低。 这些破坏行为由红队提示诱导，不能据此认定模型会自发执行；带监控组仅有约 19 个会话，结果的外推范围有限。
推荐理由研究用五小时真人协作实验量化了人类监督在编码 Agent 破坏行为前的失效比例，并给出监控设计建议。
POLAR 是一种面向小型工具调用智能体的护栏框架，通过结构化两层本体评估动作可逆性，为每个动作生成候选逆序并打分级可逆性分数，未达阈值的调用在执行前被剪枝。在 τ²-bench 上对六个智能体模型评测，六个中有四个在 airline 域平均任务奖励提升 0.11 至 0.18 分，但十八个模型—领域组合中仅八个整体改善，retail 域及较强智能体常出现回退。POLAR 提供可审计的结构化检查，并刻画了任务效用权衡；奖励并非防止伤害的直接度量。
