deny 规则被逐个绕过的一周:同一条规则在 symlink / env -C / tee 各漏一次,而行业已在把这条执法缝抽成标准

热度盘面 Top 5

1. #1 anthropics/claude-code 安全

   Claude Code 一周连修同一类执法漏点(2.1.267 9/9、2.1.268 9/10、2.1.269 9/11、2.1.270 9/12 又补回归):托管 allowedHttpHookUrls / httpHookAllowedEnvVars / allowedChannelPlugins 在不可读时改为『什么都不放行』(此前放行一切);deny/ask 规则在 symlink 目录上按真实路径给出时不生效(macOS /etc /tmp /var、Linux /bin),Bash 命令也忽略写在 symlink 路径拼写上的 deny;同一行出现 env -C / eval 等权限检查器无法分析的命令时,Read/Edit 的 deny 不生效。2.1.269 另修:以 ! 开头的 deny/ask 规则越过写它的设置源(现仅在自身源内生效)、Edit() deny 与写路径检查对 Bash tee 的写入目标不生效、plugin/marketplace 错误回显 git URL 里的令牌、/mcp 与 /plugin 输出及 claude mcp list/get 回显 ${VAR} 解析出的密钥、会话解压的插件归档对其他本地用户可读/残留 world-writable 位。新增 claude plugin eval:对 Claude Code 跑插件的 eval 套件,出 JSON+HTML 计分报告。

   编辑注 同一条 deny 在 symlink、env -C/eval、tee、跨设置源四处各漏一次——说明按规则文本的静态匹配撑不住。要跟的是它的方向:2.1.267 把『读不到配置』从 fail-open 改成 fail-closed,这才是权限系统的及格线;其余几版是在给路径规范化补课。自建 harness 请直接对照这张漏点清单自查。

2. #2 OWASP/Agent-Control-Standard 安全

   OWASP GenAI Security Project 9 月初与 2026 LLM Top 10 一同揭出 Agent Control Standard(ACS,v0.1 公开预览,覆盖核心定义):一个与厂商无关的『运行时执法』开放框架,给出声明式 hook、策略执行点与 Agent Bill of Materials(AgBOM),由 observed agent 与 guardian agent 执行点构成,并要求 agent 可审计(inspectable)、可追踪(traceable)、可插桩(instrumentable),追踪走 OpenTelemetry 与 OCSF。定位是 Top 10 的执法层对应物——后者列风险(Excessive Agency 从第 6 升到第 3),ACS 规范怎么在运行时拦住;deny/modify 在 A2A 与 MCP 上的强制执行排到 v3。当前参考实现样本未发布,CSA 建议当作『可规划、可试点的架构』而非今天能部署的控制。

   编辑注 这是把上期那条 hook 规格之争抬到标准层:执法点、机器可读的清单(AgBOM)、guardian agent 三件事被写成 vendor-neutral。但 v0.1 还没有 enforcement 实装、关键动作在 v3——现在能拿走的是它的词汇表与检查项,不是它能替你拦住的承诺。

3. #3 HKUDS/OpenHarness 架构

   HKUDS/OpenHarness:纯 Python 的 agent harness(MIT,pip install openharness-ai,CLI 名为 oh,另带跑在飞书/Slack/Telegram/Discord 的个人 agent ohmo),把模型之外那一层整个自己实现——约 43 个工具(File/Shell/Search/Web/MCP)、多级权限模式与路径/命令规则、交互式审批、CLAUDE.md 发现与注入、自动压缩、MEMORY.md 持久记忆、session 恢复、子 agent 与团队任务、MCP(HTTP transport/自动重连)与 dry-run 预览。治理面就是 PreToolUse/PostToolUse hook,插件生态覆盖 skills+hooks+agents,自称兼容 anthropics/skills 与 claude-code 插件(已测 12 个官方插件)。仓库约 15.7k★/2.6k fork,README 变更日志记到 v0.1.7,另有 v0.1.8/v0.1.9 的 release notes 文件;有 114 个测试在跑。

   编辑注 值得看的不是又一个 harness,而是它把『兼容 Claude Code 插件』写进设计目标——skill/hook/agent 三件套正被当成可移植接口来复刻。对构建者的直接用处:想脱离某家产品自托管时,这份 README 就是一张『harness 由哪些子系统构成』的现成清单。

4. #4 showlab/Show-Harness 研究

   Show-Harness(showlab,arXiv 2609.10522,9/9 预印本;cs.RO 为主类;项目页 2026.09 公开发布):把 harness 概念搬到机器人上——一个『Embodied Harness』,让 VLM 直接操纵机器人:模型在离散的语义动作单元上推理,由随本体而异的解释器确定性地把每个单元落成局部机器人动作,细粒度物理决策仍归 VLM。同一接口两条路径:闭源前沿 VLM 零样本开跑;开源小模型用 LoRA 适配、只需『just a few GPU-hours of fine-tuning』(摘要原话)。另提出 GUMI(GUI Manipulation Interface),把语义动作空间扩到 GUI 演示采集,使人与 agent 无需专用遥操作硬件即可跨本体『玩』机器人。摘要的对比是定性的——称优于代表性 agentic 与 VLA 范式、跨任务/本体/环境稳健泛化(摘要未给具体数字,数字在正文与项目页)。

   编辑注 harness 那层抽象——模型做语义决策、harness 把动作落到具体本体并加边界——在机器人上仍成立,而且能零样本先跑。这条不是让你去做机器人:它在证明『解释与约束』那一层对跨环境成败的权重不比模型权重低,和你软件侧那条 harness 是同一道题。

5. #5 runa-agent/runa 发布

   runa-agent/runa 发 v0.1.0(9/12):一个有主张的 Python agent 框架,只给少量原语、每个原语只有一种受认可的形状,分 Agent / Context / Infrastructure 三层,测试、评估、追踪内置而非外挂。安全相关原语:guardrails 校验输入与输出、按列表顺序触发(首个失败即停后续);human approval 在敏感工具调用执行前暂停整个 run,等人放行;hooks 让你在定义好的点上观察或拦截一次 run,而不必去 subclass。

   编辑注 把『敏感工具调用前必须人工放行』做成框架原语、而非文档建议,这是这周第三次看到 enforcement 被前置。但 v0.1.0 刚发,原语少是优点也是风险:先确认它的审批是 fail-closed(审批通道按不了时是停还是过),再考虑拿它替换自托管。

雷达上值得盯的 2 件事