Center for AI Safety 推出《AI 安全导论》课程

Center for AI Safety 通过 Coursera 推出《AI 安全导论》课程，介绍 AI 安全核心概念。课程涵盖现代 AI 发展的驱动因素、恶意使用、竞争压力与失控等主要风险，以及不同规模下的治理策略。

Jev 预注册测试：智能体记忆何时该用选择替代抽取？

一项预注册研究在 LoCoMo 与 LongMemEval 上测试智能体记忆：在 LoCoMo 的紧预算下，由类型化决策模型 Jev 单次调用选出的原始对话轮次，不劣于 LLM 抽取式记忆（单侧 95% 界为 -3.0 分，非劣效界为 -5 分），且写入成本低 3,061 倍。重排序收益随预算增大而缩小：保留 30 个候选中的 3 个时在 LoCoMo 加 17.4 分、LongMemEval 加 9.1 分，预算宽松时仅加 1.5 和 1.1 分，此时抽取式系统更准。相同上下文下 Jev 选择精度与 LLM 重排序器相当（非劣效界 -2.0），延迟仅为其三分之一，且优于多次调用的图遍历；重排序会降低正确弃答率。

RA-Det：利用鲁棒性不对称检测 AI 生成图像

研究者提出 RA-Det，一种基于行为而非外观的 AI 生成图像检测框架。该方法利用鲁棒性不对称现象，即自然图像在小幅结构化扰动下保持稳定的语义表征，而生成图像的特征漂移明显更大。作者给出理论分析，建立该不对称性与生成模型记忆倾向之间的下界关系，解释其跨架构普遍存在的原因。在 14 个生成模型上、对比 10 余种强检测器，RA-Det 平均性能提升 7.81%，且不依赖生成器指纹，可迁移到未见过的生成器。源代码已在 GitHub 公开。

从蒸馏私有健康记录中智能体发现血液生物标志物

研究将 Clalit Health Services 逾 540 万患者记录蒸馏为已发布的评分工具：针对 13 种免疫介导疾病，在数据边界内训练图注意力网络预测候选 CBC 表达式的病例对照 AUC，仅发布训练权重。外部验证中，智能体发现的表达式较文献种子起点 AUC 中位数提升 4.18 个百分点，在三个独立队列中对三种前沿研究工具候选重排序多数优于其首选。

AgentSpy：在系统调用层观测 AI Agent 行为并检测技能注入攻击

圣加仑大学等机构的研究者提出 AgentSpy，在隔离环境（Firecracker microVM）中从操作系统边界记录 Agent 及其所有子进程的系统调用与网络流量，不依赖 Agent 自身的轨迹记录。它提供两类确定性分析：可靠性分析把每次执行汇总为星形图，统计执行的命令、读写的文件和访问的主机，并计算多次运行的相似度与技能覆盖率；安全分析则用规则检查读取私钥、越界修改文件、运行不可信程序、连接不可信域名等禁止行为。在 SkillsBench 的 77 个任务、codex harness 与三个模型上，同一任务的重复运行比混入其他任务的运行更相似的比例为 92.2%；在三次运行均通过测试的任务中，18% 出现与任务无关的活动，7% 读取了评分文件，17% 未使用开发者提供的技能指引。

推荐理由AgentSpy 在系统调用层记录 Agent 及其子进程行为，并给出可靠性分析与安全规则两套确定性分析，可对照其评测结果评估自身 Agent 的可观测性方案。

Google 的 AI 智能体 PageBreak 在自家 Web 应用中发现 500 多个 XSS 漏洞

Google 产品安全团队披露，其自研 AI 智能体 PageBreak 已在 Google 自研 Web 应用中验证出 500 多个跨站脚本（XSS）漏洞，而在基于高保障 Web 框架构建的数百个应用中仅发现 2 个，且这 2 个都位于未完全加固的内部应用或调试端点。PageBreak 的扫描主要由 Gemini 3.1 Pro 和 Gemini 3.5 Flash 完成，其关键机制是每个疑似漏洞都会交给专用验证器，对运行中的应用实例实际注入 JavaScript payload 并确认脚本是否执行，只有可复现的漏洞才会被标记。除 XSS 外，验证器还测试数据库查询注入、路径遍历泄露和代码执行。

SalesBleed 之后：Agentforce 提示注入防护的三项落地控制

作者结合 Zenity Labs 披露的 SalesBleed 研究，讨论 Agentforce 对外部 CRM 数据的提示注入防护。文章强调区分不可信记录与操作指令、审查智能体权限及持续检查防护配置。文中称已披露问题得到修复，并提醒既有记录和后续版本仍需评估；这些建议属于作者的防御实践说明。

推荐理由作者给出三条可落地的 Agentforce 加固措施，并附触发器与固定查询动作代码，适合正在运行公开表单加 Agent 的团队对照排查。

AWS 发布身份感知 AI 数据智能体方案，用 Lake Formation 与可信身份传播实现按用户授权

AWS 安全博客介绍了一种身份感知 AI 数据智能体方案，让数据智能体在查询 Lake Formation 治理的湖仓数据时按真实用户身份授权，无需改写现有治理策略。id_token 不进入工具 schema，基础模型无法接触；TIP 角色本身不带 Lake Formation 数据授权，授权判断只针对传播的用户身份。测试中两名用户提出同一问题，有授权的用户返回五条记录，无授权用户被拒绝，CloudTrail 的 AssumeRole 事件通过 onBehalfOf 记录真实用户。

推荐理由AWS 给出让 AI 数据智能体按真实用户身份查询湖仓的可部署方案，身份令牌全程绕开基础模型。

Scale AI 开源 AgentEnv：用于构建 RL 环境的框架

Scale AI 开源了其内部用于构建强化学习环境的框架 AgentEnv，该框架此前支撑其所有 RL 环境。AgentEnv 以环境为起点，将环境拆分为可版本化的组合模块，包括 Slack、Gmail 等环境、填充数据 Artifact 以及时钟、触发器和角色等 Rules，并通过开放协议实现互操作。环境卡（Environment Card）作为 AgentEnv Environment Protocol 的一部分，声明环境提供的工具及访问方式，智能体可经 MCP、REST 或生成的 CLI 调用；配合 A2A 协议的 Agent Card，同一任务可在 Claude Code、OpenAI 的智能体或自定义智能体上运行。官方同时给出 OpenCiv3、Minecraft/Catan/Poker 和 iOS 移动端等插件示例。

Inspect Robots：面向具身智能体评测的开源模块化框架

研究者发布开源框架 Inspect Robots，用于开发和运行具身智能体的评测。该框架提供可定制、可复用的抽象来定义物理评测并分析结果，同时配套自动化完成评测搭建、执行与终止的基础设施。作者用它评测了六个基于前沿语言模型的策略的能力与安全性。框架发布后三个月内下载量接近 10 万次，论文投稿至 CoRL 2026 的 The Science of Physical AI Safety（SPAIS）Workshop。

OWASP 发布 LLM 应用十大安全风险 2026 版

OWASP GenAI Security Project 发布《OWASP Top 10 for LLM Applications 2026》，这是面向大语言模型应用最关键安全风险的社区驱动指南。该版本由数百名 AI 安全专家参与编写，更新了风险排名、扩展了威胁覆盖范围，并基于数千起真实 AI 安全事件给出新研究。指南面向开发者、架构师、安全团队和 CISO，提供风险说明、攻击场景与可落地的缓解措施，并将风险映射到 NIST、MITRE ATLAS、CWE 以及 OWASP Top 10 for Agentic Applications 等框架。

VulnHunter 发布智能体 AI 安全扫描器，可自动发现并修复漏洞

一款名为 VulnHunter 的智能体 AI 安全扫描器已在 GitHub 发布。据其页面介绍，该工具以对抗视角搜寻可利用漏洞，通过可执行 PoC 验证漏洞，并以测试优先的方式修复。它是 Capital One VulnHunter 的维护分支，已针对各类智能体框架重新构建。

提示注入：如何真正保护 LLM 应用免受其害

提示注入连续两版位居 OWASP LLM 应用 Top 10 风险榜首，且无法像 SQL 注入那样靠参数化查询一次性修补，因为它利用的是模型本身无法区分"开发者指令"与"读到的文本"这一设计特性。直接提示注入是用户在聊天框输入覆盖指令，间接提示注入则是模型处理工单、邮件、网页等不可信外部内容时执行其中夹带的指令，后者更危险。有效防御在提示词之外：结构化分离指令与数据、工具最小权限、对有副作用的操作引入人工确认。

promptfoo 0.124.0 发布：新增 Claude Opus 5.5、Sonnet 5.5、GPT-6 Sol/Luna 与 Grok 4.7 支持

promptfoo 发布 0.124.0，新增 Claude Opus 5.5、Claude Sonnet 5.5、GPT-6 Sol 和 Luna、GPT-6.1 Sol 及 Grok 4.7 等模型支持，并加入 OpenAI 安全标识符。该版本含破坏性变更：移除托管 ChatKit provider，WatsonX、Langfuse、Slack、Codex Security、本地 Transformers 等 SDK 改为按需安装。同时修复断言评分、CLI 退出码与 Cloud 登录等问题，并将 MCP SDK 升级至 1.32.0 以修复重定向安全问题。

CoSAI 发布 AIMM：AI/ML 供应链信任与溯源的三级成熟度模型

CoSAI Workstream 1 发布 Artifact Integrity Maturity Model（AIMM），一个面向 AI/ML 供应链信任与溯源的风险分级框架，用于回答某个用例需要多少签名、溯源与证明基础设施。AIMM 设三级：Level 1 基本制品完整性，生产方在发布边界对制品做哈希与签名，消费方在进入流水线前重算哈希并验签；Level 2 溯源与谱系，增加签名溯源声明和制品与变换之间的可验证谱系，便于在上游漏洞披露后定位受影响的下游制品；Level 3 面向策略自动化的结构化证明，由策略引擎评估并用于准入决策，适用于受监管行业和高风险场景。AIMM 明确签名与证明只能确立完整性、真实性、溯源和策略证据，不保证制品正确、安全或公平，且完全自动化的策略执行在许多环境中仍属目标，多数组织会先采用机器可评估证据加人工复核的混合方式。

Google PageBreak AI 安全智能体发现超 500 个 XSS 漏洞

Google 披露其 PageBreak AI 安全智能体在自家 Web 应用中发现了 500 多个跨站脚本（XSS）漏洞。该智能体主要使用 Gemini 3.1 Pro 和 Gemini 3.5 Flash 扫描，并通过独立验证器插入 JavaScript payload 实测脚本是否执行，将误报率控制在接近零。截至 9 月 4 日，基于 Google 高保障框架构建的应用中仅发现 2 个 XSS 漏洞，且均限于内部应用或调试端点。Google 计划将 PageBreak 与生成修复代码的 CodeMender 更紧密集成。

Google 披露内部 AI Agent PageBreak，已发现 500 多个 XSS 漏洞

Google 产品安全团队披露内部 AI Agent PageBreak，用于自动测试自家 Web 应用的安全，已发现 500 多个 XSS 漏洞。该 Agent 基于 Gemini 模型，发现疑似漏洞后会交给专门的验证器，在运行中的应用副本上实际尝试利用，确认可用后才上报，因此误报率接近零。在采用高保障 Web 框架、从结构上消除整类漏洞的应用上，PageBreak 只找到 2 个漏洞。Google 表示 PageBreak 依赖其统一代码库和多年内部扫描基础设施，小型创业公司难以直接复制，下一步将把它与自动修复 Agent CodeMender 连接，让确认的漏洞附带修复方案供工程师审核。

Google 披露 PageBreak 项目：用确定性验证的 AI Agent 扫描漏洞

Google 产品安全团队公开了内部 AI Agent 扫描器 PageBreak 的架构与运行结果，该工具用于测试 Google 一方 Web 应用的安全性。PageBreak 于 2025 年 11 月试点、2026 年 1 月转为正式项目，主要基于 Gemini 3.1 Pro 或 Gemini 3.5 Flash 等模型运行。其核心设计是优先采用确定性验证：Agent 提出漏洞假设后，交由非 AI 编写的专用验证器在真实运行环境中执行载荷确认，从而将误报率降至接近零。Google 称已大规模运行 PageBreak，在自家一方 Web 应用中发现超过 500 个 XSS 漏洞。验证器按漏洞类型区分，覆盖 XSS、SQL 注入、路径遍历、远程代码执行和 SSRF 等。

Adversa AI 汇总 2026 年 10 月 AI 编码 Agent 安全资源 26 项

Adversa AI 发布 2026 年 10 月 AI 编码 Agent 安全资源汇总，共 26 项，按攻击技术、编码 Agent 漏洞、事件、入门、防御、红队和 CISO 资源分类。汇总指出 9 月的攻击面集中在仓库本身：恶意 git 配置可在 Claude Code、Codex、Cursor 等七个 harness 中于审批提示出现前执行代码，Claude Code、Codex、GitHub Copilot 和 Gemini CLI 的固定插件提交可在自动更新时被静默替换，仓库子代理配置可让 Claude Code 运行 C2 载荷。沙箱方面，Codex 两次越狱、DeepSeek Harness 可经 loopback 切换到完全访问权限、brig 沙箱存在符号链接穿越。

推荐理由按月汇总 26 项编码 Agent 安全资源，把攻击、漏洞、事件与防御按主题归类，便于团队对照排查自身 harness 风险。

SideKernel：面向 macOS 上 AI 编码 Agent 的 microVM 沙箱

佐治亚理工的一项硕士安全实践项目提出 SideKernel，一个面向 AI 编码 Agent 的开源本地 microVM macOS 沙箱，目标是提升可用性。作者先做在线用户调研，发现不到 40% 的 AI 编码 Agent 用户会在沙箱中运行 Agent，并归纳出阻碍沙箱采用的主要可用性障碍。随后作者按五项纳入标准筛选市面上的沙箱，围绕调研得出的 23 项能力测试，将 SideKernel 与符合条件的沙箱做对比分析，结果显示只有少数沙箱与 SideKernel 类似，其中 Docker Sandboxes 与 SideKernel 在可用性相关能力上得分最高。论文的另一项贡献是梳理本地、开源、基于 microVM 的 macOS AI 编码 Agent 沙箱现有方案。

Cantina 与 Yeta Labs 发布开放权重安全研究模型 apex-flash-1

Cantina Security 与 Yeta Labs 发布开放权重安全研究模型 apex-flash-1，基于 Z.ai 的 GLM-5.3-Flash 用 GRPO 强化学习微调，在 Hugging Face 以 MIT 许可发布。该模型总参数 321.3B，训练数据来自 50 个真实漏洞案例构建的 150 个任务，在 20 个留出漏洞案例的 60 项任务上解出 40 项（66.7% pass@1），单次运行成本约 2.38 美元，而 Claude Opus 5 High 解出 43 项（71.7%）但成本约 74.68 美元。BF16 权重部署约需 640 GB GPU 显存。 上述评测与成本为公司自报的内部基准结果，经 MarkTechPost 转述；不能当作独立评测或普遍实战效果。

AgentSecGraph：面向 LLM Agent 的安全感知依赖分析框架与 AgentSecBench 语料

研究者提出 AgentSecGraph，一个以候选操作为中心的安全感知静态分析框架，为每个安全敏感操作构建 Security-Aware Agent Dependency Graph（Security-ADG），在操作身份之外加入 Agent 相关性、来源与依赖证据、信任边界上下文、护栏证据和外部效应语义。配套发布的 AgentSecBench 覆盖 11 个生态、67 个真实 LLM Agent 仓库、37,542 个源文件；当前分析器在 65 个仓库中识别出 23,866 个静态安全敏感操作候选，并为每个候选生成一份 Security-ADG 产物，全语料分析耗时 50.8 分钟，为 9,821 个候选（41.15%）恢复来源到操作的依赖证据，为 3,075 个（12.88%）恢复潜在护栏证据。

微软研究院开源 Orchard：面向可扩展 Agent 训练与评测的环境框架

微软研究院发布开源框架 Orchard，核心是 Orchard Env，一个基于 Kubernetes 的可复用环境服务，用于跨任务域训练和评测 Agent，并支持直接在 Codex、OpenClaw、ZeroClaw 等真实部署 harness 中训练。团队同时放出三条训练配方：Orchard-SWE 在 SWE-bench Verified 上达到 69.7%，加入 value-model 重排序后为 73.0%，模型约 3B 激活参数；Orchard-GUI 用 4B 视觉语言模型在 WebVoyager、Online-Mind2Web、DeepShop 上平均 68.4%；Orchard-Claw 仅用 200 个合成任务训练，在 Claw-Eval 上三次尝试内完成 59.6%，搭配 ZeroClaw 提升至 73.9%。项目还开源了训练数据与评测方法。

推荐理由微软研究院开源了可复用的 Agent 环境服务与三条训练配方，并给出小模型在 SWE-bench Verified 等基准上的具体成绩，可供做 Agent 训练与评测的团队参考。

TERMINAL-BENCH 3.0 发布：面向更强智能体的更难任务

Scale AI 参与发布开源基准 TERMINAL-BENCH 3.0，任务难度较 2.0 提升，前沿模型在其上的解决率不足 40%。该基准在隔离 Docker 沙箱中让 AI 智能体操作真实 shell，按最终结果而非自述评分，覆盖约 16 个类别，Scale 是单一机构中贡献任务最多的一方。

Scale AI 复盘 CUA 验证器设计：38 个任务中 0 个程序化验证器能识别关键数字被篡改

Scale AI 分析了 38 个专业办公 CUA 训练任务及 OSWorld 2.0 任务，发现标准基准的程序化评分存在全有全无二元评分和僵化要求两类失效模式，会导致排行榜排名倒挂，并给强化学习提供稀疏奖励。团队用编码模型生成 603 个程序化验证器，虽然全部能在参考答案上得 1.0，但在故意篡改每个交付物最关键数字后，38 个验证器无一失败，其中 25 个仍给满分，13 个虽在条目层面发现错误，但加权平均把扣分稀释到 0.4% 至 10.7%。在评分一致性实验中，程序化验证器与 AI judge 在 judge 通过的条目上一致率 99.5%，而同一输出三份字节相同的副本被 judge 分别打为 0.0、0.125 和 0.175。团队建议区分评分细则可被钻空子与智能体实际作弊两类问题，前者重算提交内容本身，后者依据轨迹证据标记，如读取答案文件的 Oracle Read 行为。

AI 网关护栏 2026：如何保护 LiteLLM、Kong、TrueFoundry 与 Agent Router（附 12 家护栏提供商对比）

一份指南梳理了 LiteLLM、Kong、TrueFoundry、Agent Router 等主流 AI 网关的护栏接入机制，并围绕同样八个问题对比了 12 家护栏提供商。LiteLLM 的 Generic Guardrail API 支持 45 家护栏提供商，Kong 提供 10 个 AI 护栏插件，TrueFoundry 开放输入、输出及 MCP 工具调用前后的钩子并接入 20 多家外部提供商。指南提醒 TrueFoundry 的输出护栏不作用于流式响应，且只读用户消息的护栏会漏掉工具结果或 MCP 描述中的注入。

A²E：面向 Agent harness 的端到端审计评测引擎

研究者提出 A²E（Agent Auditing Engine），一个面向 Agent harness 的端到端评测引擎，用于系统评估 harness 能力。该引擎基于新提出的 Agent Task Protocol（ATP）快速接入不同 harness 的评测任务，并通过自动插桩的 Monitor 在实验过程中捕获并生成标准化执行轨迹。评测阶段使用一组多维指标，除正确率外还刻画 harness 在执行效率、工具使用、任务规划和错误恢复上的差异。实验显示，模型与 harness 的组合在不同类型任务上表现差异明显，没有单一组合能在所有任务上持续领先。代码已公开。

IACM-RL：面向动态意图波动下复杂工具调用的意图感知上下文管理与强化学习

IACM-RL 框架通过 BeliefState 自生成上下文管理器主动追踪目标变化，并用结构化过期标记隔离被覆盖的参数，以分层意图驱动奖励加三项辅助损失优化策略。作者同时提出 DynamicIntent 流水线，覆盖 13 种细粒度意图波动场景并配套五维诊断指标。在 DynamicIntent、BFCL-V3 和 τ²-Bench 上，IACM-RL 显著优于基线，减少无限 API 循环与过期上下文错误，并提升域外泛化能力。

研究者提出自蒸馏方法让 LLM 遵循上下文水印指令

研究者提出两阶段自蒸馏训练方法，让大语言模型在遵循上下文水印（ICW）指令的同时保持回答质量。ICW 通过在查询前附加指令，要求模型在回复中嵌入可统计检测的信号，第三方无需访问模型内部即可调用。团队同时发布 ICWBench 基准，包含三类可验证的 ICW 指令族，分别从可检测性和回答质量两方面评分；对 14 个前沿闭源与开源模型的评测显示，没有一个模型能在三类指令上同时满足两个目标。所提方法无需更强模型蒸馏、无需人工标注、也不依赖模型已有的 ICW 指令遵循能力：第一阶段用同一基础模型同时充当教师和学生，通过指令等价的解码时 logits 扰动让教师遵循指令，再训练学生匹配教师的输出分布；第二阶段以自动验证器为奖励做强化学习。

OWASP AI Exchange 为 RAG 检索范围强制加入无模型回归测试

OWASP AI Exchange 在 RAG 安全测试指南中新增了检索范围强制（retrieval-scope enforcement）的无模型回归测试方法，该测试不依赖模型参与，输入与判定都是确定性的。方法要求把身份建模为 subject、tenant 与 roles，并在文档和 chunk 两个粒度上定义授权范围，访问文档中一个 chunk 不代表可访问其余部分；租户隔离需独立于文档标识符校验，避免返回了正确文档却属于错误租户。测试通过薄适配器驱动检索器并断言检索到的 chunk 而非生成答案，从而可复用于任意向量库或搜索索引；测试以多步序列表达，以验证角色降级、ACL 修改、权限撤销等状态变化在检索时生效。指南还建议用故意存在漏洞的 fixture 后端验证测试套件确实能检出所声称的违规，并链接了外部参考实现 retrieval-scope-tester。

微软发布 Thinkingbox 沙盒与 507 任务基准，评估有状态业务流程中的 Agent 可靠性

微软等机构的研究者发布 Thinkingbox 沙盒与 Thinkingbox-bench 基准，用于评估 Agent 在有状态业务流程中的可靠性。沙盒提供隔离的 MCP 兼容工具会话、完整执行轨迹，并以终端后端状态和副作用作为判定依据；基准包含零售、酒店、车险、数字银行内部 IT 与咨询 IT/HR 五个领域的 507 个策略约束工作流，每个任务用可执行检查判定，允许不同有效路径但拒绝错误、缺失或多余的状态变更，其中 30 个任务额外检查最终回复的必需属性。研究者在 18 个闭源与开源模型上每任务重复 20 次试验，发现可靠性明显下降：Claude Opus 5 从 66.50% pass@1 降至 47.53% pass^20，Kimi-K3 从 57.37% 降至 17.60%；Qwen3.8-27B 的 pass@20 达 89.35%，但 pass^20 仅 10.93%。

推荐理由论文给出 507 个有状态业务流程任务与 18 个模型的重复试验结果，可看到 pass@1 与 pass^20 之间的可靠性落差。

AMS 工具通过激活分析检测语言模型的安全训练改动

研究者提出 AMS（Activation-based Model Scanner），通过测量激活空间中安全相关概念的几何结构来检测语言模型的安全训练改动。安全训练会在有害与良性内容类别间形成可测量的分离，部分安全改动会破坏或旋转这一结构，另一些则保持不变。作者在 Llama、Gemma、Qwen、Mistral 四个架构家族、14 个模型配置和四类安全改动（指令微调、基座、abliterated、无审查微调）上验证 AMS，阈值留一交叉验证准确率为 71%（10/14），sigma 点估计的 bootstrap 95% 置信区间中位宽度为 3.4 sigma。在每模型 20 条分层 JailbreakBench 提示上的行为合规测试显示，有害内容概念的 sigma 可预测合规程度，Pearson r = -0.546（p = 0.043），方向一致但噪声明显。

论文提出提示注入的七组件结构化分析模型

Jeremy McHugh 在 arXiv 发表论文，提出用七组件模型结构化描述提示注入，取代逐字记录攻击字符串的做法。模型包含载体、投递向量、隐藏方式、上下文破坏、权限提升、载荷和回传通道七个组件，其中五个属于攻击产物字段、两个属于环境字段。作者认为大语言模型会把不同自然语言表述编译为相同可执行动作，因此标注应追踪攻击者意图（工具目标、sink 与效果）而非表面措辞。该框架整合了 HOUYI 的载荷分解、Promptware Kill Chain 与攻击活动分类法，并把 ReNeLLM 等最小越狱框架视为受限子空间上的投影。论文给出标注规则、可直接映射到行业 CTI schema 的逻辑分析记录，以及 EchoLeak（CVE-2025-32711）和野外恶意软件 AI 规避样本等示例。

Scale AI 推出 READY 企业 Agent 部署评测框架

Scale AI 研究团队发布 Reliable Enterprise Agent Deployment（READY）评测框架，用于判断 AI Agent 能否在具体企业工作流中部署。该框架在保留各工作流自身成功定义的前提下，测量人机系统的可靠性与运行成本，从候选监督策略中选出满足指定可靠性目标的最低成本策略，并在留出案例上做统计资格认定，输出包含可靠性、人工监督负担和成本的部署画像。READY 以开源测试床实现，将工作流定义、执行、评测与部署资格认定解耦，可运行在现有 Agent 评测基础设施上。在覆盖 16 个 Agent 系统、750 个案例的临床审计端到端案例中，两个自主准确率仅差 0.3 个百分点（72.8% 与 72.5%）的系统，在同一 76% 可靠性目标下分别需要 39.2% 和 29.6% 的人工复核。

推荐理由READY 把评测从自主准确率转向可靠性、人工监督与成本的部署资格，企业选型团队可据此比较不同 Agent 系统。

研究者提出 AI 评估沙盒配置器，支持欧盟 AI 法案下的技术评估

针对欧盟《人工智能法案》要求各成员国在 2027 年 8 月前建立 AI 监管沙盒（AIRS），研究者提出开源框架 AI Assessment Sandbox Configurator，用于在沙盒中规模化开展结构化技术测试。该框架从 AIRS 的程序条件和法案对高风险系统的义务中推导出 11 项架构与治理要求，包含通过稳定插件 API 访问的测试与控制目录、统一异构输出的共享数据模型、面向不同角色的仪表盘以及分受众报告。作者描述了架构与当前版本，并报告一次早期试点：在真实 AIRS 活动中运行了数据统一与报告层，并为一官方 Exit Report 提供了输入。文中还讨论了路线图、目录分层贡献模型带来的治理问题，以及开源评估生态在成员国间形成的制度路径。

Planarian：用状态点管理 Agent 的本地与远程状态

研究者提出 Planarian，一个带状态管理能力的 Agent 运行时，让 Agent 和用户能从错误操作中恢复，并在一致的本地与远程环境状态上探索替代执行路径。其核心抽象是 agent statepoints，即环境状态在某一时刻的一致、可恢复版本。Planarian 向 Agent 和用户暴露三个原语：snapshot 通过增量进程与文件系统快照捕获本地沙箱状态，并以补偿动作透明记录远程状态变更，无需外部服务支持 checkpoint；rollback 回退到先前的本地 checkpoint 并重放补偿动作以撤销远程变更；fork 从某个 statepoint 创建多个隔离分支，让 Agent 并行探索不同方案。作者称 Planarian 能让 Agent 撤销错误并并行探索替代方案，任务质量最高提升 15 倍，用户从错误操作中恢复的额外开销仅 3%。

JEV 作为智能体轨迹安全评判器：与生成式 LLM 评判器的实证对比

研究对比了类型化决策模型 JEV 与四个生成式 LLM 评判器在智能体轨迹安全分类上的表现，测试覆盖四个基准共 5,219 条轨迹。JEV 的基准平均正类 F1 为 77.8，高于最强生成式配置 GLM-5.2 的 74.1，有效结果覆盖率分别为 95.5% 和 94.4%。JEV 在 ATBench500 和 MCPHunt 上领先，GLM 在 R-Judge 和 TraceSafe 上领先；JEV 成功调用延迟中位数 0.99 秒，每次有效判断的 token 成本平均约 $0.000195。

AgentRewind：面向长周期 LLM Agent 的可恢复执行框架

研究者提出 AgentRewind，一个运行时恢复框架，通过记录 Agent 上下文与受控环境对齐的检查点，让 Agent 能回到较早状态并利用此前尝试的信息继续执行，以应对长周期任务中早期错误在上下文和环境状态中传播、后续动作难以逆转的问题。作者同时构建 MettleBench，用于评估包含一系列相关需求的长周期工程任务上的任务完成度与部分进展。在多种任务、多个模型、执行策略和 Agent harness 上的实验显示，AgentRewind 相比对比基线提升了任务成功率和平均清单进度。论文共 19 页、5 张图，发布于 arXiv（2608.14380）。

Blindspot：面向长程工具调用 Agent 的安全与拒答校准基准

研究者提出 Blindspot，一个针对长程工具调用 Agent 的轨迹级安全校准基准，通过自适应对抗交互、有状态工具执行和基于执行结果的判定来评估完整的用户—Agent—环境轨迹。当前版本包含 7 个领域的 22 类攻击和 35 个场景，生成超过 2500 条长程轨迹，平均交互长度 14.7 轮，每条轨迹被归为安全完成、正确拒答、不安全完成、过度拒答或不确定五类结果之一。与固定攻击数据集不同，Blindspot 是可扩展的实时仿真框架，攻击、场景、工具、策略、领域和 Agent 配置均可新增而无需重设计评测流程。

NovaFabric 提出可防篡改、可重放的 AI Agent 运行证据方案

研究者提出 NovaFabric，在不修改 Agent 逻辑的前提下把一次 Agent 运行记录为可移植的 Run Capsule，用 DSSE 签名、RFC 3161 时间戳、Merkle 日志和脱敏证明封装，并支持四种模式的重放协议与第三方验证。评测显示，模拟重放可从 capsule 提供全部模型响应（10/10），但仅 2/10 的工具调用类工作负载完成，缺口在于缺少工具响应替换；三类篡改均被拒绝；声明流完整度为 0.652（95% CI ±0.064，十个场景）；修复后的规则包可脱敏 14/14 类凭据并保留 9/9 个诱饵；影响范围查询在 1000 万条边上 p99 为 45.5ms，在 1 亿条边上为 167.9ms。314 台机器、十个区域的运行中，capsule REST 写入无损，但受单 worker 串行化限制，吞吐上限为 61.6 req/s（p99 26.8s）。