今天的位移是校验的落点。插件市场把 pin 记在册子上,agent 却不在 checkout 后复核 HEAD,于是「审过并钉住」失效;另一边 harness 把失败的沙箱命令报成 exit 0、把出错的搜索报成 no matches——真相没被任何一层核对。防御要钉在落地那一步:失败会不会被报成成功或空结果。
校验发生在记录里、没发生在磁盘上:9/17 的 Plugin4Shell 让『审过并钉住 SHA』的插件最佳实践失效,同周两家 harness 修的是把失败报成 exit 0 与 no matches 的另一类空窗
今日判词：今天最该盯的是『校验落在哪一层』。9/17 Air Security 披露 Plugin4Shell:插件市场把插件钉在已审的 commit SHA 上,受影响的 agent 却在 checkout 后不核对工作树是否真等于该 object id——攻击者可造一个名字像 40 位 SHA 的分支,让 `git checkout <pin>` 解析到自己的分支;Claude Code、Codex、Gemini CLI、Copilot 四家在列,GitHub 否认平台可利用、Air 反驳(市场可托管在 Bitbucket),Google 表示不再修已弃用的 Gemini CLI。同一天 Claude Code 2.1.275 修的恰好是另一类空窗:Linux 沙箱里 zsh 命令失败仍回 exit 0、ripgrep 在一堆告警后回『no matches』而非报错——都是校验与观测被放在了错的层,真相没被任何一层核对。判词:防御要钉在 agent checkout 之后那一步(HEAD 是否真等于 pin),而不是市场记录;审计清单里『失败会不会被报成成功或空结果』该单列一条。
热度盘面 Top 5
-
9/17 由 Air Security(研究者 Or Nevo、Dor Granat、Niv Hoffman;6 月已通知四家厂商)披露,被称 agent 生态首个供应链漏洞:插件市场把插件钉在已审的 commit SHA 上,受影响的 agent 却只执行 `git checkout <pin>`,不在 checkout 后核对工作树是否等于该 object id。攻击者控制插件上游仓库后,可造一个名字形似 40 位 SHA 的分支让 checkout 解析到自己的分支——册子上的 pin 仍在,落地的却是另一份代码;Gemini CLI 的变体是 `FETCH_HEAD` 分支。默认自动更新的 Claude Code 与 Codex 因此『零点击』;插件继承 agent 权限,得手即等于拿到源码、凭据、SSH key、云 token。披露方称 Anthropic 与 OpenAI 已修,Google 表示不再修已弃用的 Gemini CLI、建议迁 Antigravity,Microsoft Copilot 当时未修;GitHub 否认在其平台可利用(称已拦截形似 SHA 的分支/标签名),Air 反驳市场可托管在 Bitbucket,故仍暴露。
编辑注 要抄的不是补丁而是判据:pin 的核对必须发生在 agent checkout 之后那一步(HEAD 是否真等于 pin),市场记录救不了你——四家里照着最佳实践『审过并钉住』的人同样中招。凡架子上有插件/技能市场的,先查拉取路径是否在落地后复核 commit。
-
2.1.275(9/17)除网关登录改动(存储凭据前先显示并确认登录账号,/status 可见)外,集中修的是『失败被报成成功或空结果』:Linux 沙箱里 Bash 在 zsh 下命令失败仍回 exit code 0;沙箱 Bash 无法写入名为 hooks/ 或 config/ 的项目目录;Grep/Glob 与 @-文件建议在超过 20MB 输出上限的搜索上挂起或 OOM,且系统 ripgrep 在一堆告警后回『no matches』而非报错。另修 SubagentStop hooks 带具体 matcher 时对 agent type 为空的每个子 agent 都触发;新增 ctrl+enter(或 ctrl+x ctrl+s)『立即发送』,中断当前轮并把排队消息一并发出。
编辑注 两类修法都是 harness 该有的沉默警报:退出码 0 与『no matches』都会让模型以为任务干净完成,是最难回查的一类 bug。自建 loop 的把『工具失败是否可能被转成成功/空结果』列为单独自查项,别等模型自己察觉。
-
v0.1.6-alpha.2(9/17,预发布)在 alpha.1 的能力扩容后补边界:当前权限模式已生效时不再重复请求批准;Web 用户终端改为按系统用户权限运行、与 Agent sandbox 模式相互独立;子 agent 链默认最多 8 个活动子进程、委派深度 1,可在设置里调整。另修视觉模型被当纯文本处理、Messages API 端点构造导致的请求失败与历史 tool 输入畸变;插件改为运行时解析依赖并支持运行时卸载(开发者需自查加载/卸载逻辑)。
编辑注 最该看的是『Web 终端跑系统用户权限、与 Agent sandbox 无关』——一条被移出沙箱边界的新路径,若它能被 agent 间接触发,护栏得单独设。子 agent 默认限 8 活/深度 1 是给 fan-out 上闸,方向对;但这两条都要求你去核自己的权限模式与插件卸载钩子,而不是默认升级即安全。
-
腾讯开源 BrowserSkill(MIT,仓库建于 2026-06-22)让 agent 用你已登录的真实浏览器而不打断你:agent 不直接碰浏览器,而是经 `bsk` CLI → 本机 daemon → 扩展(127.0.0.1 上的 WebSocket)驱动一个独立的 Agent Window;要动你已开的标签必须显式『借用』并在完成后归还,其余浏览器部分不动。扩展弹窗里两个默认开启的开关——『借用标签前确认』与『允许请求人工协助』——被声明为对每次会话权威,旧参数(--unattended、tab borrow --no-confirm、BSK_REQUEST_HELP=off)不能覆盖。官方支持的 agent 里含 DeepSeek Harness(经 npm 插件暴露 browser_* 工具)。
编辑注 值得抄的形状是『借用标签』这个显式授权原语,以及不可被 CLI 旁路覆盖的用户开关——浏览器动作有外部副作用,护栏前置到借标签那一步才成立。自建 harness 接它时重点看 daemon 与扩展的本地 IPC 信任边界,别接上就完事。
-
alibaba/open-code-review(Apache-2.0)今日 GitHub 日榜居首,做法是把代码审查拆成确定性管线加 LLM agent:文件选择、相关文件打包(每包一个隔离子 agent、可并发)、按模板做细粒度规则匹配、以及独立的定位与反思模块负责评论位置/内容准确性,这四件事交给工程约束;只有情景化提示与工具集交给模型。读 git diff、按配置的 LLM 出行级评论,内置 NPE/线程安全/XSS/SQL 注入等多语言规则,兼容 OpenAI 与 Anthropic。自称在阿里内部服务数万开发者。
编辑注 它把『哪几件事不能交给模型』写死在管线里,比让 agent 自由审查更可复现——这类混合架构正成为审查类 harness 的默认形状。跟法:先读它如何切分确定性/agent 的边界与打包并发,而不是照搬规则集。
雷达上值得盯的 2 件事
trend 插件与技能市场正被当成攻击面重新审视:Plugin4Shell 打的是分发层(市场 pin 与 agent checkout 之间的缝),而同日日榜上 skill 分发仓库(agent-skills、ECC——自述 292 skills/68 agents/AgentShield 安全扫描)仍在涨;能力越可分发,分发链上的校验缺口越值钱。
trend 『把真实已登录浏览器交给 agent』正成为一类新原语:Tencent/BrowserSkill 用显式借用标签加默认开启的用户确认开关,DeepSeek Harness 同期把 Browser Use/Computer Use 纳入实验面;共同点是动作有外部副作用且取消不追回,护栏只能前置到批准那一步。