默认值今天被从两端校准:判不准的命令从『拒』回到『问』,仓库能指定的目录被移出『记忆』。同批研究把防线前移到执行前审计,并把『过度拦截』立成基准。判据正在换位——不看命令长什么样,看这一次动作的来源与意图。一个连沙箱都不内置的 10 万星 harness 提醒:边界得落在做决定的地方。
护栏的两端同日被校准:判不准的命令从『拒绝』回退到『询问』,arXiv 把防线前移到执行前审计、并给『过度拦截』立基准
今日判词：今天值得看的是『默认』这个词被从两端校准。一端放松:Claude Code 2.1.273(9/15)回退 2.1.268 那条『对语法分析不了的行(eval、env -C)直接套用 Read/Edit deny 规则』的改动——判不准的命令回到『问』而不是『拒』;另一端收紧:『仓库 settings 指定的 memory 目录』不再被灌进 prompt、召回与记忆提取。同日(9/15)arXiv 给出方向:ActGuard 把防线放在执行前对动作做审计,Authorization Architectures for Tool-Using AI Agents 梳理工具授权结构,LLM Agent Capabilities Should Follow Task Intent and Context Source 主张能力应跟随任务意图与上下文来源而非工具名,PIDS-Bench 则专门度量检测器的 over-defense——把『拦多了』当缺陷计量。判词:护栏正从『按字符串形状拒绝或放行』转向『执行前按来源与意图审这一次动作』,而『判不准就问』比『判不准就拒』更接近可用的默认。
热度盘面 Top 5
-
2.1.273(9/15)对权限判定做两侧校准:回退 2.1.268 那条『对语法分析不了的行(eval、env -C)直接套用 Read/Edit deny 规则』的改动,这类命令改为重新询问(time -p make build 不再被拒);同时修 permissions.blockReadsOutsideWorkingDirectories 下未完全分析的 Bash 跳过询问、以及 bypass 模式子壳藏 rm;并把『仓库 settings 指定的 memory 目录』从 prompt 加载、召回、索引与记忆提取中移出。另修 allowManagedMcpServersOnly、deniedMcpServers 等企业 MCP 设置在 server-managed settings 同时存在时被忽略的问题。
编辑注 两处校准方向相反:判不准的动作该回到『问』而不是『拒』,而『仓库能指定的东西』默认不该进记忆/上下文的信任层。前者是反过度拦截,后者是反过度信任——同一版本里两种默认都被拧正,值得当本周的默认值样板看。
-
9/15 一批论文把 agent 安全从『事后过滤』推向『执行前判定』:ActGuard(2609.14987)在执行前对动作做审计以抗间接提示注入;Authorization Architectures for Tool-Using AI Agents(2609.15906)梳理工具授权架构;LLM Agent Capabilities Should Follow Task Intent and Context Source(2609.14631)主张能力应跟随任务意图与上下文来源、而非按工具名授予;PIDS-Bench(2609.15017)在 over-defense/混淆/分布漂移下评测注入检测器;SkillSecurer(2609.14079)在 agent skill 上检测并修补注入漏洞。
编辑注 同一天凑齐『执行前审计 + 来源与意图分级 + 给过度拦截立基准』三件套,说明社区开始同时计量『拦得准』和『拦得少』。先跟 ActGuard 类——把判定放在动作发生处,比在工具输出上做正则更靠近根因。
-
v0.60.0(9/15 转为 Latest,不再只是 preview)把这一轮边界加固推给普通用户:对不可信工具输出强制 envelope metadata provenance、隔离 sandbox 容器内 settings 与 macOS Seatbelt 临时目录、加固 extension loader 的路径与符号链接边界、对系统级配置路径做权限与属主检查、MCP OAuth 按 RFC 9207 校验 issuer、移除 chrome-devtools-mcp 里的硬编码 CrUX key。同日 v0.61.0-preview.0 再防『经构建文件修改与不可信 flag 的间接提示注入』,并加固沙箱文件系统边界。
编辑注 把『不可信工具输出』当独立信任级、来源随内容一起走(envelope provenance),是能直接抄走的形状;如今进 stable 意味着默认开启。跟法:锁 v0.60.0 这个 stable tag,别追 nightly。
-
earendil-works/pi(105.7k★,MIT)自述为『自扩展的 coding agent』:统一多 provider 的 LLM API + agent loop(工具调用与状态管理)+ TUI + coding agent CLI,含 Gondolin 扩展——把内置工具与内联 shell 命令路由进本地 Linux micro-VM,provider 凭据留在宿主。仓库明确写明『不内置权限系统』来限制文件/进程/网络/凭据访问,以启动用户权限运行,仅提供 Gondolin/Docker/OpenShell 三种可选隔离模式。
编辑注 热度最高的 harness 之一把边界做成选修,正是这周加固潮的反面:多数用户会选那个默认不设沙箱的。构建者该跟的是——真正的边界要落在做决定的那一层,而非赌用户会自配隔离。
-
开源项目 Reef(reef,Apache-2.0,约 2k★)把『harness 本身』当成可持续更新的产物:以 serve/observe/grow/commit 四步循环,从线上交互记录与反馈生成候选更新,评测通过才发布。其 harness-evolve recipe 只需一个模型端点(不需本地 GPU):装 harness adapter、跑任务并回报结果(如『漏了 empty-token 情形』),失败即触发候选 skill 更新,Reef 将候选与当前 harness 对比评测、胜出才发布;harness 演化由 Cordis 后端承担。
编辑注 把 harness 从手写代码变成『被评测门控的版本化产物』,这条路线值得盯:它等于给『agent 改自己的护栏』加了一道发布闸。要跟的是那道闸本身——评测在哪、谁能改评测,决定这是自进化还是自放权。
雷达上值得盯的 2 件事
trend 『仓库自身即执行源』的类在累积:Manifold Security 的 GitSpawn 用仓库内 .git/config 的 core.fsmonitor 让 7 款 agent(Claude Code、Codex、Cursor、Goose、Hermes Agent、Qwen Code、Grok Build)在查看仓库时即以用户权限执行攻击者命令、绕过沙箱与确认对话框,8 条里 4 条未修(含 Claude Code 的第二条路径,2.1.252 仍可复现);core.hooksPath/credential.helper 结构同源,且 git config --global core.fsmonitor false 不是可靠缓解(仓库级覆盖全局)。(据 Manifold Security/CSA,9/3–04)
trend GitHub 日榜热度仍集中在 agent toolkit 与 skill 分发:earendil-works/pi、addyosmani/agent-skills、alibaba/open-code-review、pacifio/atlas、alphaXiv/OpenResearch 一类;而真正在做 deny 与审计收紧的逐条加固(Claude Code、gemini-cli)都不在榜上。榜买『能力分发』,不买『边界』。(据 GitHub daily trending)