昨天把信任边界收到 harness 控制面,今天再往下:插件更新路径。HookPry 证明,只在一次插件更新里换掉 hook,命令不经模型即可执行,七款 harness 全失守;CoreBreak 让 dispatch 层跳过模型。而 8 月的插件标准只管打包,不管更新时谁授权——空白正被填上。
插件『更新即执行』的缝:新标准只管打包,没人管 hook 与 tool 分发在更新时由谁重新授权
今日判词：昨天把信任边界收到 harness 的控制面,今天再往下一层:插件的更新路径与 tool 分发。arXiv 2609.03884(HookPry,9/3 投)用 7 款 harness × 5 个后端、1000 次端到端跑证明——只在插件『更新』里换掉绑定的生命周期 hook,命令全程不经模型,单款最高 92.5%、七款全部失守,三款静态防御并集仍漏 47.5%;Black Hat USA 2026 的 CoreBreak 在同层指出 dispatch 会把『长得像 tool call』的数据当权威执行,模型根本没跑。8 月初的 Agent Plugins 1.0 把 Skills+MCP 打包成可移植插件,却刻意不定义权限、安装与更新信任模型——空白正被这两类攻击填上。判词:把插件与 hook 当代码来审,格式统一不等于安全。
热度盘面 Top 5
-
HookPry(arXiv 2609.03884,9/3 投、9/4 发,《A Blind Trust, the Bloody Thrust…》):在只控制插件元数据与 hook 配置、不碰提示/工具返回、不逃沙盒的供应链威胁模型下,一个良性插件可被一次『更新』木马化,把攻击者选的 shell 绑到良性事件上。7 款 harness(OpenHarness/OpenClaw/Claude Code/Codex CLI/OpenCode/Hermes/WorkBuddy)×5 后端、1000 次端到端跑:七款全部失守,单款最高 92.5%(Hermes),微平均 77.0%;40 恶意样本下 Defender 召回 0%,三款静态防御并集仍漏 47.5%。
编辑注 hook 是把『配置』当『代码』执行:命令不经模型解释,提示层拒绝帮不上忙;而插件身份在更新中被继续信任,新 hook 的执行权却从未重新鉴权。装任何插件前问一句——它更新时,谁重新授权它 hook 里那条 shell?
-
Black Hat USA 2026(Hedi Ingber、Aviyam Ivgi / Stealth)披露 CoreBreak 一类跨平台洞:dispatch 层接受『长得像模型 tool call』的数据并当权威执行,模型连同系统提示/拒答训练被整个绕过,部分路径模型完全没跑。涉及 AWS Bedrock AgentCore InvokeHarness(CVE-2026-18830,已服务端自动修复,但未覆盖开源 Strands 的同类短路路径)、Google ADK(CVE-2026-18236,ADK 2.5.0 修)、Vercel @ai-sdk/harness-codex 1.0.29 与 harness-opencode 1.0.28(CVE-2026-64650/1);归 CWE-863。
编辑注 判作 agent 版的 SQL 注入:信了数据的形状,没验它的来源。两件事现在做——自托管的 ADK/Vercel Strands 系补丁要手动打,并把工具授权绑到『产生它的那次模型事件』上,而不是绑到请求里那段看起来像 tool call 的文本。
-
yc-software/qm:YC 自用并开源的多人 agent harness(MIT,7 月底开源)。每人、每个 Slack 房间一处独立作用域(记忆/文件/权限/沙盒/定时),harness 无关——Pi/OpenCode/Codex/Claude Code 可驱动同一内核——三种安全姿态 Strict/Auto/Dangerous,配出网鉴权代理与内置审计。9/7 一场 YC 分享引受控实验:同一模型权重,弱 harness 下 ARC-AGI 约 30%、强 harness 约 95%(数字来自该分享,未见独立复现)。
编辑注 『同模型、换 harness、30 到 95』若站得住,选型重心就该从权重挪到作用域隔离与审计链;但这是分享方自述,当方向不当结论——复现那次对照,比转发那张柱状图有用。
-
ayghri/i-have-adhd:一份纯输出规范的 skill(10 条:先给下一步动作、多步编号、每轮复述状态、封顶 5 项、去前言与收尾),在 HN 拿约 322 分/256 评,并占住 9/9-9/10 日榜前排。同期 trending 被 skill 包刷满:9/9 周报口径 mattpocock/skills 一周 +1.3 万★,ponytail、archify 各周增约 1.2~1.3 万★。
编辑注 榜单前排卖的是『让 agent 少说话』,说明 harness 的输出面已成产品面;但这是最薄的一层——它改措辞不改行为。别把读起来顺当成做对了,扣分项仍在工具调用与验证。
-
OpenAI 把 openai/skills 收进 plugins 模型:每个插件置于 plugins/<name>/,需 .codex-plugin/plugin.json,skills 降为插件内 skills/<name>/SKILL.md 子目录,可带 mcp.json/.app.json/hooks.json。同期『Agent Plugins 1.0.0』(8 月初,OpenAI/Amazon/Cursor/Microsoft/Vercel 等署名)把 Agent Skills(SKILL.md)与 MCP(mcp.json)打包成可移植插件,只定义两类内容组件,刻意不定义权限、安装、registry 与更新模型。
编辑注 标准只规定包里装什么,不规定更新时谁授权、谁验证——这正是 HookPry 打的空白。挑插件生态别只看格式统一,先问它的更新信任链由谁守;没有的话,你的 hooks.json 就是一条待触发的远程命令。
雷达上值得盯的 3 件事
trend skills.sh 上 Paperclip、Browser Use 类被仿冒抢注:长期保持干净、养到 8/2 累计约 170 万次下载后才塞入拉取凭据窃取器、扫 SSH key/云凭据的指令(Zenity Labs 披露)——与 HookPry 同属『安装即执行』的供应链面,区别只是触发时机。
trend Lasso Security 红队:固定模型/提示/工具/目标,只换 harness,1000 次攻击均值几乎持平(21% vs 19%),但 100 个『模型×任务』组合里 43 个被翻盘——harness 不增减能力,而是把能力转向;对抗压力与任务越长差距越大,开源/推理型/自托管模型上最明显。
spec 标准在分化:Anthropic 侧推轻量 Skills 与 agentskills.io 中立格式,OpenAI 侧收进更重的 plugins 包,双方都声称兼容中立标准。9/10 日榜仍有 ECC、obra/superpowers、vastsa/PI-Desktop 等 harness/技能框架占位,skill 资产仍是增速主线。