Pincer：用数字分身学习用户偏好并执行动态最小权限

部署中的 coding agent 需要在保留通用 shell 与持久记忆的同时，对资源访问做用户特定的最小权限控制。

• 场景： 作者称这类 agent 已长时程、自主，并维护记忆。部署系统（如 Claude、Codex）主要靠用户维护的沙箱，以及 auto mode 这类 tool-call 分类器。策略会随授权累积变宽，反复确认造成授权疲劳；分类器不学用户策略。作者引述压力测试，称 auto mode 会放行多数不安全操作。
• 不足： 作者称强防御（类型化工具、信息流、策略预测）会去掉现有架构的核心能力，因而难被采用。作者称任意 tool-call 分类器都难以推理代码或复杂 shell 的效果，危险操作可藏在无害文件名或依赖链中。auto mode 也不解决权限蠕变，用户仍要手改策略。
• 做法： Pincer 加在资源层，与 auto mode 并存。digital twin 用隔离上下文，按用户历史学习动态的用户特定最小权限，并代替用户处理请求。作者另建多日用户中心合成数据来模拟学习，并称据其所知这是首个此类数据集。
• 威胁模型：
  • 目标： 资源层 grant integrity：若授权，则仅凭可信与 advantage-agnostic 上下文也会授权。作者称不追求挡住全部攻击。
  • 能力： 可任意破坏 worker、第三方工具及资源名称与内容；不能改系统代码或行为，不控制模型权重。
  • 信道： 不能操纵用户到系统，以及 twin 到模型提供方的通信。
  • TCB： twin LLM 与推理栈、资源请求工具、twin 状态写隔离、OS 内核与容器运行时。worker 与 shell 不在 TCB。用户可信且假设决策安全；幻觉不算不可信。

智能体攻击

• 三类注入： 作者把攻击分为直接提示注入（DPI）、间接提示注入（IPI）和记忆投毒。DPI 在用户消息中；IPI 经工具返回进入上下文；记忆投毒写入 agent 为自我改进而维护的记忆，并可跨会话激活。作者称植入既有伪装成用户的 DPI，也有其认为更现实的 IPI：执行良性请求时从环境读到毒内容。
• 更细分类： 另有工作按技能、工具和协议给 coding agent 分类。论文只报道存在该分类。

系统层防御

• 限制架构： 作者讨论控制流与不可信数据分离或可信规划器、类型化工具上的信息流、禁止按遭遇上下文维护记忆，以及每工具一个 LLM。作者称这会禁掉良性的上下文相关控制、无类型 shell 或自我改进，且与 Figure 1 的已部署架构不好组合；每工具一模型仍会受若干攻击，并有工具间通信开销。
• 提示加固： spotlighting 和对上下文、记忆中可疑片段的检测，作者称为互补，但自适应攻击可以绕过。作者称主动检测的额外 token 成本，以及对强攻击缺少稳健性，使它们不适合若干应用。
• 最小权限： 策略或由用户、外部给出，或在提示到达时预先预测（Conseca），或在任务中演化但引擎缺少工作上下文。作者称后两类会对长时程开放任务欠拟合；多数方案依赖结构化工具，在无类型 shell 上表达力受限。类型化、OAuth 式 API 可用最小权限求解器。

模型层、许可预测与基准

• 指令层次： 微调以理解指令层次、忽略与用户意图冲突的指令。作者称可靠性仍有问题，多轮和 agent 行为不在这些工作范围内；另有工作把困难追溯到角色感知。作者称模型层防御与本文互补。不服从数据内指令的微调，作者称不适用于必须执行数据内指令的 agent。
• 历史许可： Wu 等用过去的许可预测下一次。Pincer 依赖同一前提：决定在同一上下文内一致，因而可学习。作者称其范围不包括 computer-use agent，因为决定更依赖上下文，且资源本身不可信。
• 基准与用语： 作者称现有 agent 安全基准是情节式的，不适合评单个用户的跨时间交互。多会话记忆基准不评安全。SMP 有多会话记忆投毒数据，但作者称它不是同时评安全与效用的完整数据集，也缺少长的用户中心记录。作者用 digital twin 区别只受用户影响的记忆，和会从不可信环境演化的 agent 记忆。
• 基线： 无资源门控的 NanoClaw；不给历史的 Static-Judge；给全部历史但本地状态可受不可信上下文影响的 Dynamic-Judge；把 Conseca（HotOS '25）改到资源层、用正则执行预承诺策略的 Conseca+；用 LLM judge、不看文件内容的 Conseca-Gemini+。数据为两个人设语料，安全样本参考 SMP 与 PASB。
• 定位： 作者称策略在需求出现时拟合，而不是预先预测；执法在资源层，以便与 auto mode 叠用；twin 的输入限制在可信与 advantage-agnostic 上下文上。

Pincer 给现成 agent 加上资源层防御：每次资源访问经参考监视器，只有隔离的 twin 能授权，并按最小权限判断该访问是否为完成用户任务所需要。

组件与请求路径

• 四类组件： worker 与 twin 两个 LLM；各自的专用状态；worker 使用的工具，含通向 twin 的 resource request tool；文件、邮件、web 等资源。
• 流程： 用户提示同时进入 worker 和 twin 状态。工具访问未授权资源时，经窄通道提交资源身份和访问类型（read、write、create 等）。twin 授权后工具才能访问；Figure 3 写任务结束后撤销。脚注写一次授权在该任务期间保持。
• 升级给用户： 仅当 twin 反复拒绝 worker 确实需要的请求时，才交给用户终审。
• 与 tool-call 层的关系： 资源决策只针对一个具名对象和固定访问模式，比命令空间小。作者称它更粗，例如看不出一个已访问文件是否被另一个已访问文件覆盖，因此部署时应与 auto mode 一类防御叠用。

可信状态、访问模式与消毒

• 可信状态： 只含可信方直接产生的内容：当前与历史用户提示，以及用户过去批准的权限。twin 可从中写出用户特定策略、删去过时或不一致的策略。作者在 Section 3 称，仅有可信上下文时决策无法好于抛硬币，因为请求来自可能被攻陷的 worker。
• 访问模式： 为形成最小权限，把工具日志中的访问注记附到每条用户提示上；twin 批准的访问也写入其状态。除下面的预承诺策略外，派生策略不强制固定格式，用自然语言，以便开放场景泛化。
• 误导性资源名： 作者在 Section 5.3 描述一类攻击：资源的名称或位置被做成符合既有访问模式，使 worker 和 twin 把它当成该任务应访问的对象。论文不把具体改名步骤当作推荐流程。
• 消毒： 对不可信访问注记和请求路径，按路径段用决策过程不知道密钥的 PRF 替换，同目录共享前缀，以便对照历史请求，但去掉名称语义。作者把它实现为 Definition 4 的 advantage-agnostic 上下文：任何 PPT 决策过程，在真实预处理与随机函数替换之间的授权优势可忽略。作者称哈希不满足该定义，因为常见词的哈希可能在预训练中被见过；inode 在决策者是 LLM 时可能有相近效果。

三票合取与预承诺策略

• 票 1： 只读可信上下文和消毒后的访问模式、资源名。作者称这是安全骨干；没有这票的隔离，就不能建立保证。
• 票 2： 额外看请求资源的内容、worker 的理由，以及同一会话的先前请求。内容策略（例如文件含秘密则不可读）否则无法执行。合取下，这票只有在票 1 已授权时才改变结果。作者称其中的不可信内容仍可能逐步扩大任务范围。
• 票 3： 会话第一条用户提示到达、范围尚未扩大时，twin 根据提示、工作区、文件名、可信状态和访问模式生成预承诺策略，模式见 Listing 1：pathGlob、access、operations、permission（allow、deny、ask_user）、只与不可信内容一起展示的 rationale，未覆盖请求默认 deny。策略生成后再消毒，与消毒后的请求对齐。作者称生成后消毒挡不住资源名攻击，因为进入策略的名单已依赖未消毒名称，所以不并入票 1。作者称在未消毒上下文上生成、以保留额外信号，并把攻击成功率从 40% 降到 20%；该比较的人设、模型与攻击类型论文未说明。
• 两变体： 最终决定都是三票合取，授权为 1、拒绝为 0。Pincer 的票 2 不看预承诺策略；Pincer-P2 看。作者称合取后效用仍然高，数字在第 4 问。

保证与实现边界

• Goal 1： 若 Pincer 授权，则只给可信与 advantage-agnostic 上下文时也会授权。写成 D(tctx, actx, uctx; r)=grant⇒ LLM(tctx, actx; r)=grant。同一随机带上，右侧是预训练模型；脚注称这样排除恒授权或恒拒绝。
• Theorem 1： 作者称 Pincer 在资源层满足 Goal 1。证明是合取为授权则票 1 为授权，而票 1 只读那两类上下文。拒绝可以来自票 2、票 3，该单向蕴含仍然成立。
• 实现： 建在 NanoClaw 上。worker 与工具在容器内，资源在宿主机 bind-mount。worker 用非特权 UID，内核按 mode bits 和 POSIX ACL 检查；不用 user-namespace 重映射，故该 UID 也是主机 UID。每任务后销毁容器。作者称无论 worker 如何访问，都不能绕过内核检查。
• 范围： 本文焦点是文件系统。web API 和云资源，作者写可用 capability-based access control，未给出实现细节。

实验设置

• 平台与基线： 全部接在 NanoClaw 上。NanoClaw 无资源门控，worker 在容器内可访问挂载的工作区。其余基线给 worker 资源请求工具，起步只有文件名和路径。Static-Judge 有通用安全说明，看文件内容、文件名和理由，无历史。Dynamic-Judge 接收全部历史，本地状态可直接受不可信上下文影响。Conseca+ 在提示到达时按提示、工作区树和全部历史生成 Listing 1 式策略，之后正则匹配。Conseca-Gemini+ 同样给策略，但由 LLM judge 执行，看文件名和理由，不看文件内容。
• 模型： Software Dev 的 worker、LLM judge 和 twin 均为 Claude Haiku 4.5。Litigator 使用 Muse Spark 1.2 Contributor；论文未再逐项重复其角色。数据集由 Claude Opus 4.8 与 Opus 5 合成。不是迁移设置，没有单独的影子模型。作者写因资源限制，每人设只评一个模型。
• 数据： 两个人设语料（Table 1）。Software Dev：工作区文件 33、项目 2、历史提示 40、用户策略 33、安全样本 66、效用样本 81。Litigator：95、5、60、33、72、80。历史来自用户模拟，供 twin 学习；测试样本在时间上位于历史之后，不必只重复历史任务。假设 worker 已受攻击者控制，评的是授权方。
• 攻击类型： DI 把载荷放进请求理由；II 的载荷在请求串之外，如文件内容或文件名；MP 让 judge 把伪造授权写进自身状态，样本分直接与间接；误导文件名分内容与名称错位（CL）和位置、名称伪装成另一处（PL）。Table 1 的 DI/II/MP/CL/PL：Software Dev 为 10/25/9/14/8，Litigator 为 7/40/9/11/5。
• 指标： ASR 是攻击样本中 worker 访问到被禁止监视资源的百分比，越低越好。cASR 只在 worker 确实请求了该资源的样本上计算。BGR、cBGR 是效用样本中访问到良性监视资源的百分比，越高越好。判定是系统是否发生该访问，不是另设伤害评审。
• 重复： Figure 4 图注写每个设置跑两次。Table 2 未写这些百分比是否为两次的平均，也未给分别结果。

主结果

正文未给出 Figure 4 各点坐标，主表只用 Table 2 的条件率（%）。Software Dev 对应 Haiku 4.5，Litigator 对应 Muse Spark 1.2 Contributor。

表格较宽，可左右滑动

方法	SD cASR	SD cBGR	Lit cASR	Lit cBGR
NanoClaw	93.2	72.8	41.0	95.6
Static-Judge	48.9	98.1	30.9	93.7
Dynamic-Judge	61.9	98.1	32.6	96.2
Conseca+	63.5	91.3	16.0	98.1
Conseca-Gemini+	59.8	94.8	18.2	96.9
Pincer	28.4	89.7	8.1	90.9
Pincer-P2	32.2	92.9	9.7	89.5

• 作者称 Figure 4 上 Pincer 的安全有跃升、效用与基线相当，且 Table 2 的条件率与该趋势一致。表中 Pincer 的 cASR 在两列都低于同列其他行。
• 作者称效用高；同表 cBGR 上，Pincer 低于两种 judge 和两种 Conseca 变体。Software Dev 上只高于 NanoClaw，Litigator 上只高于 Pincer-P2。
• Pincer-P2 的 cASR 在两列都高于 Pincer。论文未解释这一差异。

按攻击类型

• 测了什么： Figure 5 按 DI、II、MP、CL、PL 分 ASR。实心柱为 ASR，后面更宽的浅柱为 cASR；NanoClaw 无门控，其 cASR 省略。正文没有各柱读数。
• 作者的解读： 各攻击类型上 Pincer 优于多数基线。MP 相对 Dynamic-Judge 的改进更大，作者把后者的脆弱归为状态未隔离。PL 上，作者称两个模型族、两个人设的保护都强于全部基线。
• 样本量： 若干类型 n≤20，分母即 Table 1 的 10/25/9/14/8 与 7/40/9/11/5。没有按类型的成功条数，不能从正文还原各类型 ASR。

成本

• 相对倍数： 作者称各基线的 token 成本约为无防御 NanoClaw 的 2-5 倍，Pincer 在此之上再增加 2-3 倍。论文未给绝对 token 数，也未把倍数拆到人设或模型。
• 作者给出的来源： 作者称约一半 Pincer 成本来自 twin 的 reasoning tokens，因为实现尚未把状态压缩成常备策略，每次请求都推理全部状态；资源请求工具也未做批量，多个资源要分次请求并各自从头推理。
• 未测的降本： 作者写成熟任务可像 Conseca+ 那样预批准并用路径匹配执行。论文未报告压缩、批处理或预批准之后的实测成本。

其他消融与分析

• 票 2 是否接收预承诺策略：即主表的 Pincer 与 Pincer-P2，没有另表。
• Section 5.6：在未消毒上下文上生成策略，相对在消毒版本上生成，作者称攻击成功率从 40% 到 20%；人设、模型、攻击类型和样本数均未说明。这不是 Pincer 与 Pincer-P2 的对比。
• 论文未报告温度、投票次数以外的阈值、查询次数或人工一致性。成功由监视资源是否被访问判定。

作者指出的局限与后续方向

论文未设 Limitations、Discussion、Conclusion、Future Work 或附录来专写局限。Section 3 有非目标：不追求挡住全部攻击，幻觉不算不可信；这些话不在上述专节中。

实验覆盖范围

• 防御接在 NanoClaw 上，对照为 NanoClaw、Static-Judge、Dynamic-Judge、Conseca+、Conseca-Gemini+、Pincer、Pincer-P2（Section 7.1–7.2）。
• 评测模型为 Claude Haiku 4.5（Software Dev 的 worker、LLM judge 与 twin）和 Muse Spark 1.2 Contributor（Litigator 人设）。作者在 Section 7.2 写，因资源限制每人设一个模型。合成数据用 Claude Opus 4.8 与 Opus 5。
• 语料规模见 Table 1：安全样本 66 与 72，效用样本 81 与 80；攻击类型为 DI、II、MP、CL、PL。Figure 4 图注写每个设置跑两次。指标为 ASR、cASR、BGR、cBGR，由是否访问监视资源判定。
• 实现与评测聚焦文件系统，用非特权 UID、mode bits 和 POSIX ACL（Section 7.1）。作者写 web API 与云资源可用 capability-based access control；论文未报告这些资源上的数字。
• 论文未报告两次运行的分别结果或方差、统计检验、token 绝对量，以及 Figure 5 各柱的精确读数。Section 5.6 的 40% 与 20% 未写明模型、人设和攻击类型。作者计划发布实现与数据集，正文未写已经发布。

Pincer 是加在现成 coding agent 上的资源层授权防御：用只受用户侧信息影响的 digital twin 做动态最小权限，并与 tool-call 层防御并存。

要处理的是用户维护策略带来的权限蠕变和授权疲劳，以及不学习用户策略的 tool-call 分类器。作者引述工作称 auto mode 会放行多数不安全操作，并认为推理代码或复杂 shell 的效果在这一层不实际。作者称目标是抬高攻击门槛和纵深防御，不是做出无法被攻陷的 agent。

twin 的状态只积累用户提示和用户批准过的权限；路径等不可信片段按段换成 PRF 输出。授权是三票合取：只看可信与 advantage-agnostic 上下文、再看资源内容与请求理由、以及会话开始时的预承诺策略。Theorem 1 称资源层满足 grant integrity：合取授权蕴含第一票也会授权。实现接在 NanoClaw 上，由内核 ACL 中介文件系统访问。学习阶段用合成的多日用户记录模拟，作者称据其所知这是首个此类数据集。

• 评测假设 worker 已被攻陷。Software Dev 用 Claude Haiku 4.5，Litigator 用 Muse Spark 1.2 Contributor，每个设置跑两次。
• Table 2 中 Pincer 的 cASR 为 28.4%（Software Dev）和 8.1%（Litigator），两列都低于 NanoClaw、两种 LLM judge 和两种 Conseca 改写。cBGR 为 89.7% 与 90.9%，低于多数基线。
• 作者称 Figure 4 上安全有跃升、效用相当，条件率与该趋势一致。Figure 5 上，作者称 PL 的保护强于全部基线，MP 相对状态未隔离的 Dynamic-Judge 更突出；正文没有各柱读数。
• 作者称各基线 token 成本约为无防御 NanoClaw 的 2-5 倍，Pincer 再增加 2-3 倍。作者计划发布实现与数据集。

作者的结论是：在需求出现时于资源层拟合用户策略，可以与现有 agent 架构和 tool-call 防御叠用，并用隔离上下文把“不可信内容不能单独翻盘成授权”写成 grant integrity。效用方面，作者称与基线相当、合取后仍然高；Table 2 的 cBGR 并未高于多数基线。