Agent Learning Daily Digest #88 — 2026-08-22

周六（277 条采集，arXiv 4 查询全部成功；08-21 周五未跑、两天结果合并，跨天去重跳过 ~13 条 #85-87 已覆盖项：StagedWorkspace、Agent Lightning、LEGO-RL、TDD-Agent、CAPO、Agentic Transaction、StateBridge、LoongReflect、ALM、diagram-design、OpenViking、Switchyard、OneCLI 等）。今日主题：自我改进的安全代价——Skill Misevolution 证明 4 框架 × 6 演化方法共 21 个演化配置全部产出不安全技能工件（恶意任务跨会话 ASR 16.0%→35.3%）；上下文即泄漏面——秘密仅为"存在于上下文窗口"就通过隐式相关渗入良性输出（4 位数秘密 82% 精确重建，且越强的模型泄漏越多）；harness 价值最强实证日——Nvidia 定制 harness 把 Claude Opus 5 从裸模型 30% 拉到 ARC-AGI-3 100%，同日 OpenAI 把 Codex 开放为平台（app-server 协议，ARC-AGI-3 +25pp）；意图即代码——Huzzah 伪代码持久化编辑器（HN 359p/206c）提出 chat-agent 之外的第三种交互范式；生产级 gisting——Shopify 把系统提示词 4:1 压缩进 embedding 矩阵（e2e 延迟 −38%）；文档的 agent 转向——agent 的文档交互 60.5% 发生在 agent-facing 工件而非传统文档。

今日高信号

1. Practice Makes Unsafe — 自我改进 agent 的技能演化安全代价：21/21 演化配置产出不安全技能（arXiv:2608.12851）

自我改进 agent 把成功经验蒸馏为可复用 skill 是当前的主流叙事，但"成功"不等于"安全"——论文证明 agent 会把不安全的成功（碰巧没出事的越权操作）一并蒸馏进持久化技能。量化（SkillMisevo-Gym + SkillMisevo-Bench：25 个 agent-方法配置 = 4 框架（Claude Code、Codex、Hermes、OpenClaw，统一 MiniMax-M2.7 骨干）× 6 种演化方法）：21 个演化配置全部产出不安全工件，其中 15 个造成新会话真实伤害（注意两层门槛的区分：全部跨过"产出"门槛、15 个跨过"执行"门槛）；3 个恶意种子任务使跨会话 ASR 从 16.0% 升至 35.3%。治理方案 SafeEvolve（修复/治理 wrapper）：不安全检索 −26.7pp、新会话伤害 −17.3pp、良性效用仅损失 0.4 分。对 agent-skill-security 是核心实证级贡献——CompoSkill（#86）证明组合可致害，本文进一步证明"自我改进"本身就是不安全技能的持续生产线——skill 生态的风险模型必须加入时间维度。

• 来源: arXiv:2608.12851
• 信号: arXiv cs.CR · 4 框架×6 方法 · 21/21 产出不安全 · ASR 16.0%→35.3% · SafeEvolve −26.7pp
• 关键词: agent-skill-security · Agent Safety · Claude Code Skills

2. Inadvertent Context Leakage — 上下文里的秘密通过隐式相关渗入输出：4 位数秘密 82% 重建（arXiv:2608.19857）

agent 要干活就必须在上下文里持有日历、凭证、健康与财务数据——论文研究秘密"仅仅存在于上下文窗口"是否就足以污染输出。答案是肯定的：即使模型正确拒绝直接提取，秘密也会在良性输出中引入隐式相关，攻击者可从普通非对抗性请求的回答中重建秘密。量化（8 个闭源模型）：2 位数秘密近完美重建、4 位数 82% 精确匹配；演示包括从记忆推断健康/财务谓词的分类器、以及从生产级 agent 中提取完整 SSN 的 RL 对手。最反直觉的发现：越强的模型泄漏越多——泄漏是能力的副产品，不是可修补的 bug。对 Agent Safety 是威胁模型级贡献——"模型不主动泄密"不是安全边界：上下文内容与输出之间不存在理想隔离——秘密最小化（只放当轮必需）从最佳实践升格为硬性要求。

• 来源: arXiv::2608.19857
• 信号: arXiv cs.CR · 8 闭源模型 · 4 位数 82% 重建 · 越强泄漏越多 · RL 对手提取 SSN
• 关键词: Agent Safety · Context Engineering · mcp-security

3. From Agent Behaviour to Agent-Friendly Documentation — 文档交互的实证转向：agent-facing 工件占 60.5%（arXiv:2608.20195）

技术文档为人类开发者而写，但越来越多的软件变更由 coding agent 主笔——它们读什么文档、何时读、读完做什么，此前没有测量。实证规模：557 个 SWE-chat agentic 会话（94,813 个开发事件、3,033 次文档交互）+ 33,097 个 AIDev agentic PR（690,260 条文件变更记录）。关键发现：agent 的文档交互由 agent-facing 工件主导——指令文件/工作笔记占 60.5%，传统文档仅 10.6%、API 参考 1.3%；查阅行为 70.2% 是自主发起（失败驱动仅 7.5%）；代码被先于文档触碰的频率高 4.7×。提出双叶循环（two-lobed-cycle）行为模型；"agent 友好文档"的可操作性与可验证性缺乏一致的行为支撑。对 Context Engineering 是实证基线级贡献——AGENTS.md/CLAUDE.md 这类指令文件已是事实上的文档主体——"为 agent 写文档"不是未来工作，是当下的 60.5% 现实；传统 API 文档的优先级该重排了。

• 来源: arXiv:2608.20195
• 信号: arXiv cs.SE · 557 会话/94,813 事件 · 60.5% vs 10.6% vs 1.3% · 自主发起 70.2% · 代码先触 4.7×
• 关键词: Context Engineering · coding-agent-harness · Claude Code Skills

4. A Jagged Frontier — 语义等价重写下 code agent 的"锯齿"鲁棒性：退化小但排名不稳定（arXiv:2608.18389）

⚠️ 措辞修正（核实发现原始标题易读成"agent 在等价重写下不可靠"——论文实际结论是多数配置只有小退化）：测试 2 个 scaffold（mini-SWE-agent、OpenCode）× 4 个模型（Claude Opus 4.5、Kimi K2.5、MiniMax M2.5、Qwen 3.6-27B）在 SWE-bench Verified/Pro 上对语义保持变换（SPT：控制流重写、死代码注入、标识符重命名）的敏感度，平均 resolve 率下降最高 6.7pp，16 个配置中仅 6 个统计显著。真正的发现是"锯齿"本身：没有任何模型排名能跨 scaffold 保持稳定（Qwen 在 mini-SWE-agent 上最鲁棒、在 OpenCode 上最脆弱），且更简单的 scaffold 更鲁棒。对 Coding Agent Verification 是评估方法论级贡献——benchmark 排名对 scaffold 的敏感度超过对 SPT 的敏感度：报告 agent 得分时不注明 scaffold 等于没报告；"简单 harness 更稳"与 #87 专著的门控实践互为印证。

• 来源: arXiv:2608.18389
• 信号: arXiv cs.SE · 2 scaffold×4 模型 · 退化 ≤6.7pp（6/16 显著）· 排名跨 scaffold 不稳定 · 简单 scaffold 更鲁棒
• 关键词: Coding Agent Verification · agent-evaluation

5. VAL (Verification Autonomy Levels) — 验证器的自治分级 L0-L5：L5 在无限制情形不可能（arXiv:2608.19009）

验证文献用"level"指代至少五种不同东西（验证粒度、概念抽象、风险层级、系统栈层、真值认识来源）。VAL 元标准按"规格从哪来 + 判决保证什么"把验证方案分为 L0-L5：L0 自我声明 → L2 客观真值（仅正确性）→ L3/L4 可判定系统（带完备性）→ L5 在无限制情形下不可能。核心概念是完备性盲区（completeness blind spot）：替换/采样式验证器无法证明"没有遗漏任何候选"——完备性只对可形式化规约的性质可达。梳理 17 篇文献的概念混淆 + 4 个领域的实证记录。对 agent-evaluation 是概念澄清级贡献——给"验证"建立了可以引用的分级语言——vibe coding agent 验证层的每个组件都该标注自己的 VAL 级别，"通过了测试"（L0-L2）与"证明了完备"（L3-L4）是不同级别的声明。

• 来源: arXiv:2608.19009v2
• 信号: arXiv · 单作者立场/分类文 · L0-L5 元标准 · 完备性盲区 · 17 篇文献梳理
• 关键词: agent-evaluation · Coding Agent Verification

6. Task-Conditioned Least-Privilege Learning — 4B 模型学会"这个任务需要多少权限"：越权错误 4.56%→0.79%（arXiv:2608.18351）

权限门控系统（permission gating）之外，agent 还会犯"任务完成了但行使了用户未授予的权限"的越权错误（excess-authority errors）。论文用后训练教 Qwen3.5-4B 选择任务条件化的权限：1,500 个训练任务 + 确定性验证器按 6 个风险维度打分。量化（2,896 个评估回合 / 500 个保留任务）：安全成功率 98.48% vs 基线 64.36%（+34.12pp）；越权错误事件 4.56%→0.79%（−3.77pp）；400 任务延续研究显示泛化（越权事件 −6.99pp）且能力保持。论文明确结论：这是权限门控与沙箱的补充而非替代。对 Agent Safety 是分层防御级贡献——"模型自觉最小权限"与"harness 强制门控"是两层独立防御——4B 小模型就能学会任务条件化的权限意识，成本极低，值得作为默认层。

• 来源: arXiv:2608.18351
• 信号: arXiv cs.CR · Qwen3.5-4B · 安全成功率 +34.12pp · 越权 −3.77pp · 明确"补充非替代"
• 关键词: Agent Safety · mcp-security · coding-agent-harness

7. Shopify Gisting — 生产级上下文压缩：系统提示词 6,000→1,500 token（4:1），e2e 延迟 −38%

Shopify 工程博客披露 Sidekick（GraphQL agent）的生产化 gisting：用知识蒸馏学习特殊 token 的 embedding（模型权重冻结、gist embedding 直接写进 embedding 矩阵——无需自定义 serving 路径），把系统提示词从 ~6,000 token 压到 ~1,500 gist token（4:1），"无预测质量损失"。350 RPM 下的服务收益：中位 TTFT 438ms→354ms（相对 −19%）、中位 e2e 延迟 6.8s→4.2s（相对 −38%）、吞吐 20.2→23.4 QPS（相对 +16%）、所需 GPU 更少；最优比例 4:1（领域相关）；与 prefix caching 复利。对 Context Engineering 是生产验证级贡献——上下文压缩不必靠运行时摘要——"把 prompt 蒸馏进 embedding"一次训练、零推理改动，与 ATP（#86，−88.8%）分别从输入侧与遥测侧攻击同一问题；诚实的一手生产数字（相对百分比由绝对数计算，无营销膨胀）。

• 来源: Shopify Engineering
• 信号: 生产系统 · 4:1 压缩 · e2e 6.8s→4.2s · 权重冻结 · 与 prefix cache 复利
• 关键词: Context Engineering · Coding Agent 成本优化

8. Codex as a Platform — OpenAI 把 Codex harness 开放为可复用 agent 运行时：app-server 协议 + ARC-AGI-3 +25pp（官方博客）

OpenAI 官方宣布把开源 Codex harness 平台化：Codex app-server（文档化客户端协议）+ Codex SDK + codex exec + 示例应用 Relay。架构分工：应用拥有 UI/工具/MCP 服务，app-server 提供 agent 循环与沙箱——应用创建线程、启动回合、流式接收事件、处理审批。头条数字：ARC-AGI-3 上，保留推理 + 上下文压缩把 GPT-5.6 Sol 从 13.3% 提到 38.3%（+25pp），同时输出 token 减少 6×。对 coding-agent-harness 是生态级信号——继 Agent Lightning（#87）证明 harness 可被 RL 训练、Nvidia（见 #10）证明 harness 决定上限之后，OpenAI 把 harness 开放为"应用层可编程的平台"——harness 的竞争从"谁的 CLI 好用"升级为"谁的 agent 循环可被嵌入"——vibe coding agent 若不做 app-server 式协议分层，将错过整个嵌入生态。

• 来源: OpenAI Developers Blog
• 信号: 官方公告 · app-server 协议 · SDK + Relay 示例 · ARC-AGI-3 +25pp · 输出 token −6×
• 关键词: coding-agent-harness · agent-evaluation · Context Engineering

9. Huzzah — 持久化伪代码编辑器：把"意图"当一等公民的第三种交互范式（HN 359p/206c）

类目修正（核实发现）：Huzzah 不是 agent 也不是 harness，是一个编辑器范式——但正因如此才值得记录。作者（Daniel Vaughn）对长篇英语 prompt 的疲劳提出替代：prompt 以伪代码形式书写，声明式、持久化（.hz 文件）。保存时从伪代码生成真实代码；编辑伪代码文件产生 diff，该 diff 成为 LLM prompt 去重新生成受影响的源码。动机：伪代码保留人类意图的持久记录，兼作开发者文档。作者自己的克制：可能无法扩展、更适合绿地项目、需要领域专业知识、跨文件依赖难、无 LSP。HN 359p/206c（08-20，作者本人提交，点评论证激烈）。对 coding-agent-harness 是范式参照级信号——chat（瞬态对话）与 agent（自主循环）之外的第三条路：意图即代码（intent-as-code）——规格以可执行伪代码形式持久化并版本化，与 Spec-Driven（#87）共享"规格先行"内核但走编辑器而非 agent 路线——对 vibe coding agent 的启示：把"意图文件"作为一等持久化工件，而非散落在对话历史里。

• 来源: danielvaughn.dev · HN 359p/206c
• 信号: HN 359p · 新交互范式 · 意图即代码 · 作者自陈局限 · 实验状态
• 关键词: coding-agent-harness · Context Engineering · Coding Agent Verification

10. Nvidia 定制 harness — Opus 5 在 ARC-AGI-3 上从裸模型 30% 到 100%：harness 成为决定性变量（TechCrunch）

Nvidia 08-21 发布的研究：定制 harness（记忆处理 + CEO 式 supervisor agent，负责把 worker agent 从死胡同里推出来，基于 Agentic Variation Operators/AVO）把 Claude Opus 5 从 30%（裸模型最高分）拉到 ARC-AGI-3 100%。对照：OpenAI 模型裸分 <10%；OpenAI 自己 7 月的研究发现两个 harness 设置就能让分数翻三倍（仍远低于 100%）；Databricks 研究显示 harness 选择可使同模型成本差 2×。Nvidia 借此为开放 harness 组件（NeMo，明确表示非新产品）站台。⚠️ 供应商框架警示：Nvidia 卖 harness 组件，"模型不重要"是过度引申——模型选择仍然重要（Opus 5 裸分就是最高）。对 coding-agent-harness 是头条实证级信号——与 #8（Codex +25pp）同日构成"harness 决定论"的最强证据对——30%→100% 的跨度首次把 harness 差距拉到"质变"量级；但注意两篇都来自 harness 利益相关方，独立复现前按强信号待验证对待。

• 来源: TechCrunch
• 信号: Nvidia 研究 · 30%→100% ARC-AGI-3 · supervisor 模式 · 供应商框架（NeMo）
• 关键词: coding-agent-harness · agent-evaluation

11. Tencent AI-Infra-Guard — 全栈 AI 红队平台：Agent/Skill/MCP/Infra 四线扫描 + 越狱评估（GitHub）

腾讯朱雀实验室的 AI-Infra-Guard：全栈 AI 红队平台，覆盖 ClawScan/Agent-Scan（OpenClaw/agent 安全扫描）、Skill-Scan（9 类风险）、MCP-Scan（MCP 服务器扫描）、AI Infra 扫描（v4.5.2，2,000+ CVE 规则）、LLM 越狱评估（4 种多轮攻击：Many-Shot、PAIR、GOAT、ActorAttack），配套 SkillTrustBench 与 AI 安全 skill 市场（最高分 0.9848）。5,335 stars、Apache-2.0（2024-12 创建，约 20 个月，持续活跃——08-21 仍在推送）。⚠️ README 有轻度营销话术（"industry-leading"、求 star、问卷送纪念品），但扫描能力具体且迭代活跃。对 mcp-security 是工具参照级贡献——把 #86-87 追踪的 skill 安全（SkillCloak/CompoSkill）与 MCP 安全研究落到可运行的扫描器——大厂开源的红队平台是 skill manager 安全层的现成对标物。

• 来源: GitHub
• 信号: 腾讯朱雀实验室 · 5,335 stars · Apache-2.0 · 2,000+ CVE 规则 · 4 种多轮越狱攻击
• 关键词: mcp-security · agent-skill-security · Agent Safety

12. ai-memory — 跨厂商 agent 记忆接力：Claude Code 中断处无缝续到 Codex（GitHub）

ai-memory（Rust 单二进制）：面向 coding-agent CLI 的长期记忆 + 跨厂商交接——"在 Claude Code 中途退出，在同一目录启动 Codex，无需重新解释任务"。支持矩阵：Claude Code、Codex、Command Code、Devin CLI、OpenCode、Cursor；Claude Code 集成用 lifecycle hooks + 按会话作用域 + 可选助手轮捕获（双重 opt-in——隐私默认克制）。3,940 stars、MIT（2026-05 创建，3 个月，极活跃——本周涨 ~1,952）。对 Agent Memory 是工程参照级贡献——"记忆格式厂商中立化"是 agent 生态锁定问题的解药——与 ECK（#86）的"知识绑定在代码单元"互补：一个标准化跨 harness 记忆，一个标准化代码内知识；harness 可替换性正在从模型层（OpenRouter）延伸到记忆层。

• 来源: GitHub
• 信号: 3,940 stars（3 个月新）· MIT · Rust · 6 个 CLI 支持 · 双重 opt-in 隐私设计
• 关键词: Agent Memory · coding-agent-harness

观察清单