分析与理论arXiv 2610.04375
论文揭示 LLM Agent 工具调用在执行路径中被改写，并提出 IntAct 修复方案
提出 IEC 与 IntAct，测量并修复 Agent 工具调用的路径篡改
- arXiv
- 2610.04375
- 发表
- 层
- 应用层
- 被测模型
- qwen3-coder-plus、Qwen2.5-Coder-32B、Qwen2.5-72B 等 4 个
摘要论文界定工具调用在执行路径中的意图偏离问题，提出无执行归因协议与跳级修复，为智能体工程提供评测与设计准则。
- 防御arXiv 2610.02456
SideKernel：面向 macOS 上 AI 编码 Agent 的 microVM 沙箱
为 macOS 编程 Agent 构建可用的 microVM 沙箱 SideKernel
- arXiv
- 2610.02456
- 发表
- 层
- 应用层
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
- 防御arXiv 2609.38983
论文提出 Approval Laundering 分类，实测 Claude Code 审批与执行绑定失败
形式化编程 Agent 的审批洗白并提出 HMAC 权能令牌防御
- arXiv
- 2609.38983
- 发表
- 层
- 应用层
- 被测模型
- Claude Code (v2.1.197, opus[1m] / claude-sonnet-5-ccmax)、Codex CLI (@openai/codex v0.154.0)
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要系统揭示编程智能体审批洗白风险，提出七字段权能防御机制，证实其能消除身份时序偏离但难防副作用偏离。
- 防御arXiv 2609.35659
Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统
提出 Tracekit，审计编码 Agent 的意图、推理与动作并检测账本篡改
- arXiv
- 2609.35659
- 发表
- 层
- 应用层
- 被测模型
- Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）
- 防御监控与审计
- 攻击提示注入
- 风险Agent 危险操作
- 组件监控器
摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。
Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。
- 评测与基准arXiv 2609.35557
论文：容器、权限规则与沙箱都无法区分读取研究代码的是编译器还是编码 Agent
评测容器、权限规则与沙箱能否区分编译器与编码 Agent 的文件读取
- arXiv
- 2609.35557
- 发表
- 层
- 应用层
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要此 harness 表达不了编译器可读而智能体不可读，五条路径两边都不覆盖。
作者在物理流求解器上检查一套编码智能体配置：编译器必须读本组材料与反应模型，这些字节又不得进入模型上下文或离开本机的记录。
- 评测与基准arXiv 2605.14859
论文提出 AuthBench 基准，评测编码 Agent 能否推断最小权限边界
提出 AuthBench 评测编码 Agent 最小权限，并验证充足性-紧缩性分解
- arXiv
- 2605.14859
- 发表
- 层
- 应用层
- 被测模型
- GPT-5、GPT-5.3-Codex、GPT-5.4 等 9 个
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要论文提出权限边界推断基准与两阶段分解方法，有效降低安全暴露。
本文研究代码智能体在执行终端任务前自主推断最小文件权限边界的能力。
已经到底了