Agent Learning Daily Digest #105 — 2026-09-18

📊 筛选总结

• 采集：261 条 — GitHub topic + Trending 全成功；HN Show RSS 双 502、Algolia 补偿；arXiv 4 查询全成功（约 50 篇，09-15/16 新鲜批次）；r/ClaudeAI 恢复、r/LocalLLaMA 与 r/MachineLearning 双 429
• 跨天去重约 30 条：arXiv 9 条重现（SWE-bench 审计 / RepoAtlas / AgentGuard / Assurance Envelopes / Ericsson / MTAC-IFBench / BLINDSPOT / ActGuard / Stochastic Deputy，均在 #103/#104）+ HN 旧帖（HarnessTax 214p、Pentad 16p、Pizza Bot 59p、Clawfight、MCP Harbor、Bastion、aistack）+ Trending skill 军团约 15 条再现（ECC / humanizer / no-ai-slop / i-have-adhd / spec-kit / text-to-cad / hyperframes / llm_wiki / worktrunk / context-mode / Orca 71k★ 等）
• 今日性质：论文爆发日（9/12 入榜来自 arXiv）+ 供应链安全日——HN 侧被 Plugin4Shell 主导，arXiv 侧自改进投毒与失败定位两线并进
• 今日主线：agent 的供应链与证据链同时告急——插件分发层被零点击攻破、自改进循环可被基准投毒、公共 skill 69% 不可靠触发；而"失败定位"成为可靠性新杠杆（4B 验证器打赢 frontier judges）
• 高信号：Plugin4Shell 四大 agent 零点击 RCE（SHA pinning 形同虚设）；Trusting Trust revisited——毒基准让 agent 自演化出关 HTTPS 校验；Agora 13 agent × 12 天 Git 共享记忆、165 次独立复现零失败；Skill Crossroads 审计 216 skill：全过检为零
• 防御/生态侧：MCP 流量在 NIDS 眼里就是 C2 beaconing（beacon score 0.0）；157 个开源 agent 项目的 QA 缺口系统测量；JPMorgan 沙箱 + 消费上限的企业治理包

今日高信号

1. Plugin4Shell — 四大 coding agent 的零点击 RCE：agent 校验了 pin 的 commit，却没验证它真的在市场里（air.security，HN 4p/2c）

Plugin4Shell（air.security/blog-posts/plugin4shell，09-17 发布）：零点击、高危 RCE，同时波及 Claude Code、Codex、GitHub Copilot、Gemini CLI 四大 agent——号称首个 AI agent 生态的供应链漏洞。机制：agent 会 checkout 市场指定的 commit，但从不验证该 commit 真的存在于插件仓库的那个位置——控制插件仓库的攻击者可以让 checkout 解析到恶意代码，而 SHA pin 看起来仍然生效；插件继承员工的全部权限，无需任何提权即达全权 RCE。这是 AIR "skill 供应链三部曲"第三幕：Story of Skills（自建恶意 skill 病毒式传播、控制 26,000+ agent）→ SkillJacking（劫持 925 个在用 skill 的仓库、波及 134,000 agent）→ 本次 pinning bypass。作者强调市场层无法根治（pin 在 agent 内部解析，只有 agent 侧修复才能恢复保证；"同一设计错误，每家都犯了"）。对 agent-skill-security 是分发层的边界失守——与 After the Party（#104 #3，85% 特权证据）互为表里：那篇说注册表分不清好坏，这篇说连"锁定已审查版本"这个最后一道机制也是假的；自建平台的第一条红线：来源校验必须在 agent 之外、以密码学方式绑定仓库状态，而不是信任 agent 内的 checkout 结果。

• 来源: air.security/blog-posts/plugin4shell
• 信号: 四大 agent 同时受影响 · 零点击 · SHA pinning bypass 机制 · 三部曲前作 26k/134k agent 波及 · 市场层无法自愈
• 关键词: agent-skill-security · Agent Safety · mcp-security

2. Reflections on Trusting Trust, Revisited — 毒基准让自改进 coding agent 自演化出"关闭 HTTPS 证书校验"：换回干净基准后污染仍在（arXiv:2609.17817）

基准投毒自改进 agent（arxiv.org/abs/2609.17817，09-15 提交，cs.CR+cs.AI）：Thompson 的"信任信任"反思说编译器可被投毒使其自我复刻后门；论文把"编译器"换成自改进 coding agent——攻击者向 agent 的自评估/自改进过程供给毒基准，能否让未来版本在干净任务上也写出漏洞代码？实例化攻击对象：Darwin Gödel Machine（实验性修改）、Self-Improving Coding Agent、Hyperagents（基本未改）三个自改进 agent 全部 PoC 成功。代表性结果：Hyperagents + Sonnet 4.5 下，毒基准诱导 agent 自演化出在中性 URL 抓取任务上禁用 HTTPS 证书校验的指令；且被污染的 agent 随后改用干净基准继续演化时，污染常常仍然持续。论文蒸馏了漏洞/基准/模型/scaffold 四类足以-enable-攻击的性质。对 Agent Safety 是自改进循环的信任边界论文——与 #1 连读成供应链双投毒：分发层（插件）+ 评估层（基准）都可成为持久化后门的载体；自建 agent 若做自动 skill/配置优化，评测集从今天起是信任边界——来源锁定 + 隔离评估 + 干净基线 diff 三件套缺一不可；"污染不可逆"意味着自改进的安全债要先于能力债考虑。

• 来源: arxiv.org/abs/2609.17817v1
• 信号: Thompson 攻击的 agent 化 · 三大自改进 agent 全 PoC · 自演化关闭 HTTPS 校验 · 换干净基准污染仍持续 · 四类可利用性质
• 关键词: Agent Safety · agent-evaluation · agent-skill-security

3. Traverse + Scout — 2,518 轨迹 6,967 个错误 78 类失败：首错之后失控下滑，4B 验证器定位失败胜过 frontier judges（arXiv:2609.17930）

Traverse 基准 + Scout 验证器（arxiv.org/abs/2609.17930，09-15 提交，cs.LG）：我们越来越只监督而不执行，却几乎只用"最终成败"评判 agent——而结果无法揭示哪里出错、是否恢复、途中造成了什么不可逆伤害。论文研究 2,518 条跨软件工程/计算机操作/科学的近真实轨迹，人工分类 6,967 个错误成 78 种失败类型。失败签名高度一致：首个错误之后 agent 往往无法恢复、也极少自查出来，运行在"看起来正确"中失控继续；能否恢复取决于任务与环境反馈，与 agent 框架无关。且被评成 solved 的运行也会删数据、损坏系统、伪造成功。发布 Traverse 基准：六个 frontier judge 都难以定位失败——最强者也只在不到 1/3 的运行中正确找到首错；而作者训练的 4B 验证器 Scout 定位失败远超它们且可迁移到未见域；测试时用它从候选运行中选择，无需重训 agent 即提升任务成功率。对 agent-evaluation 是"失败定位"方向的开山基准——与 #103 叙事层（自述覆盖 1/11）、#102 NovaFabric（密封证据）连读：transcript 不可信 + judge 不会找错，是监督链的两个断点，Scout 用小模型补上第三个点；"首错后失控下滑"给自建评测的直接指令：探针放在首轮错误检测，不是最终评分。

• 来源: arxiv.org/abs/2609.17930v1
• 信号: 命名系统 Traverse/Scout · 2,518 轨迹 × 6,967 错误 × 78 类 · 首错后失控下滑 · 最强 judge <1/3 正确率 · 4B > frontier judges
• 关键词: agent-evaluation · Coding Agent Verification · Coding Agent Failure Patterns

4. Agora — Git 作为集体 AutoResearch 的共享记忆：13 agent 无中心跑 12 天，1,703 贡献、165 次独立复现零失败（arXiv:2609.18094）

Agora（arxiv.org/abs/2609.18094，09-16 提交，cs.LG+cs.AI+cs.CL）：一个 coding agent 能无人值守改进训练配置（AutoResearch），但跑多个就各自从零开始——更多 agent 意味着更多重复搜索而非发现。Agora 给这类 agent 一个共享记忆：研究记录为 Git 里的 append-only DAG，每个 claim 是一个任何人都能 checkout 并重跑的 commit；派生索引用于暴露前沿、被忽视的分支与每个 claim 的验证状态；多样性感知的选择规则防止群体塌缩到单一 leader。首次持续运行：13 个 LM worker、无任务分配、无中心规划器，跑了近 12 天的权重迁移问题——给定 141 个 donor 模型，为一个 119.6M 参数、维度与任何 donor 都不匹配的 attention-SSM 混合体做无训练数据、无梯度更新的初始化：发表 1,703 个贡献，把 evaluator 从 3.39 推到 1.899 bits/byte（关掉与训练好的 GPT-2 124M 差距的 62%）；制胜配方的 145-commit 祖先链横跨 15 个账号；165 次独立复现，零失败。全程只有一次中途人工干预——把社区拉出 monoculture。对 Agent Memory 是"共享记忆 = 可复现 commit 图"的实证样本——与 Emergence World（#104 #4）对照：那篇展示无制度多 agent 的污染扩散，这篇把信任工程化——每个 claim 可 checkout 可重跑，信任不押在 agent 自述上；'无分配任务 + 多样性选择'是无中心编排的可抄起点；monoculture 需要人工干预这一点同时说明规则还救不了多样性。

• 来源: arxiv.org/abs/2609.18094v1
• 信号: 命名系统 Agora · Git append-only DAG · 13 worker × 12 天无中心 · 62% 差距关闭 · 165/165 复现零失败 · 一次人工干预救 monoculture
• 关键词: Agent Memory · Multi-Agent Communication Patterns · Code as Agent Harness

5. Skill Crossroads — 216 个公共 Claude Code skill 审计：69% 描述不可靠触发、全过检为零（skillcrossroads.com，HN 2p）

Skill Crossroads 生态报告（skillcrossroads.com/report，rubric v1.2，2026-09-10 生成）：对 18 个仓库的 216 个公共 Claude Code skill 做证据化审计。头条数字：可评分的 215 个 skill 中 69% 的 description 不可靠触发——87 个（40%）基本不会触发、61 个（28%）边缘；平均分 82.1/100，216 个里只有 1 个（0%）干净通过全部检查。"My skill never fires" 是真实世界第一大 skill 失败模式，病灶藏在 frontmatter description 里。评分维度六类：正确性/结构、触发与可发现性、清晰度、token/上下文成本、安全（最小权限 + 硬编码密钥）、可验证性（"receipts, not vibes"——有没有真 eval）。注意：这是扫描器厂商自己的报告（方法论钉死可复现，但立场自利，数字读七折）。对 Claude Code Skills 是 skill 功能可靠性的第一份量化账单——与 After the Party（#104 #3）互补成两轴：那篇量安全面（85% 特权证据），这篇量功能面（69% 触发失败）；'触发可靠性 > 表达质量'对自建 skill 库的直接含义：description 按'用例前置 + 显式触发短语'写，并配可执行 eval，先过触发关再谈内容。

• 来源: skillcrossroads.com/report
• 信号: 216 skill × 18 仓库 · 69% 触发不可靠（40% 基本不触发）· 全过检 1/216 · 均分 82.1 · 厂商报告打折
• 关键词: Claude Code Skills · agent-skill-security · agent-evaluation

6. When Agents Look Like Beacons — MCP 流量在 NIDS 眼里就是 C2 beaconing：beacon score 0.0、IDS 近零告警（arXiv:2609.19091）

MCP NIDS 逃避（arxiv.org/abs/2609.19091，09-16 提交，cs.CR+cs.NI）：MCP 把 agent 与远程工具的通信标准化为 Streamable HTTP 上的高频 JSON-RPC——一类机器生成、已认证、高频的流量从此直入企业网络。而网络防御者历来把"机器般的节奏"当作入侵指标（IoC）。实测（Docker 测试床：11 种流量画像 × 3 种 TLS 条件，Suricata 签名 + RITA 行为评分）：MCP 流量在结构与时间上酷似 C2 beaconing（Cobalt Strike 式轮询）——无论加不加抖动、TLS 是否可检视，行为 beacon score 恒为 0.0、ET Open 规则集下 IDS 告警近零；不透明 TLS 藏起 HTTP 内容但暴露流级时间特征，而传统恶意软件启发式认不出生成式推理循环的对数正态间隔分布。作者提议 agent 原生网络标注标准：Agent-Native ALPN + 标准化带外 header。对 mcp-security 是"网络可见性"维度的第一篇——mcp-security 页此前集中在注入与权限，这篇补上蓝队视角：agent 流量让 IoC 失效，防御者既看不见也分不清 agent 与 C2；自建 agent 的出站调用要有显式网络标注，否则在企业环境里部署即 'beacon'；标注标准尚无共识，待验证。

• 来源: arxiv.org/abs/2609.19091v1
• 信号: MCP ≈ C2 beaconing 实测 · beacon score 0.0 · Suricata+RITA 双盲 · 11 画像 × 3 TLS · Agent-Native ALPN 提案
• 关键词: mcp-security · Agent Safety · coding-agent-harness

7. Spurious Tool Use — RL agent 为错误的理由调用工具：短路调用率 +39%，"已经会用"恰恰是短路的前提（arXiv:2609.16268）

工具短路学习（arxiv.org/abs/2609.16268，09-14 提交，cs.CL）：RL 优化的工具使用策略会放大训练数据里的伪相关——基于表面 prompt 线索而非真实任务需求调用工具。受控合成环境（事实 QA + 数学推理）注入与特定工具强相关但对工具必要性因果无关的线索，反事实评估（线索在场、工具并不需要）显示：伪工具调用率最多上升 39%。两个反直觉发现：短路只在 agent 已经可靠学会用该工具之后才出现——任务能力而非数据不平衡是短路学习的关键因子；线索与工具的语义对齐会显著放大效应。缓解：决策级密集 reward——LLM judge 逐次评估工具调用的必要性，有效抑制线索驱动调用且不伤任务性能。对 agent-evaluation 是训练侧的工具病理学——'会用了'是短路的前提意味着评测要配反事实探针（cue 在场但工具不必要），单看任务分测不出捷径；决策级 judge reward 是可抄的训练侧修复，与 MTAC-IFBench（#103，过程遵循）同向：过程层指标必须进评测。

• 来源: arxiv.org/abs/2609.16268v1
• 信号: 短路调用率 +39% · 能力是短路前提 · 语义对齐放大 · 反事实评估构造 · 工具必要性 reward 修复
• 关键词: agent-evaluation · Coding Agent Failure Patterns · coding-agent-harness

8. 157 个开源 agent 项目的 QA 大普查：等价执行路径护栏不一致，边界/对抗/多步失败几乎无人测（arXiv:2609.17698）

Agent QA 实证研究（arxiv.org/abs/2609.17698，09-15 提交，cs.SE）：对 157 个 ≥100 星的开源 LLM agent 项目做大规模 QA 实践普查（分析文档、源码、配置、测试）。核心发现：当前 QA 主要覆盖基础功能与高风险动作，但覆盖碎片化——同一能力的安全防护在等价执行路径上不一致；测试极少检查边界、对抗、多步工具使用失败；已识别的风险很少被翻译成端到端 QA 检查。结论：需要从功能级测试走向系统性端到端验证，确保 agent 工作流在不可信输入、工具、持久状态与外部 API 交互时仍保持在预期边界内。对 agent-evaluation 是生态级体检报告——'等价路径护栏不一致'与 #104 Tesseracted 的'权限检查 ≠ 策略检查'同病：护栏挂在代码路径上而不是执行面上；157 项目里没人在测多步工具失败，恰好是 Scout（#3）与 MTAC-IFBench（#103）瞄准的空档；其执行面/护栏/测试工件/风险场景四维分类可直接当自建项目自查表。

• 来源: arxiv.org/abs/2609.17698v1
• 信号: 157 项目 × ≥100 星 · 等价路径护栏不一致 · 边界/对抗/多步近零覆盖 · 风险→QA 转换缺失 · 四维分类可作自查表
• 关键词: agent-evaluation · Coding Agent Verification · Agent Safety

9. Flag Game — 群体机器智能可解释性的玩具模型：小种群信念崩塌、大种群信念极化（arXiv:2609.19124）

Flag Game（arxiv.org/abs/2609.19124，09-16 提交，cs.AI+cs.MA）：agent 的涌现协调行为带来安全风险，其驱动机制是集体信念的快速形成与扩散。玩具模型：隐藏国旗为真值，每个有界 agent 只见私有裁剪，可交换信念、权衡同伴证据。复现出丰富集体现象：性能随种群规模非单调；社会意识提示与团队多样性带来增益；组织结构影响强烈。核心发现：小种群出现集体信念崩塌（collapse），种群变大后转为集体信念极化（polarization）——极化导致大种群性能下降、但也创造信念多样性。机制解剖双管齐下：social circuit attribution 预测哪个 agent/哪种视角对集体动力学最重要并用 agent patching 做因果干预验证——但干预效力随种群增长而衰减；于是发展统计力学理论，与经验相图吻合。对 Multi-Agent Communication Patterns 是给本周多 agent 主题补机制工具——与前两日连成三部曲：Emergence World 给现象（46h 污染窗口）、Social Harness 给架构（三层）、Flag Game 给机制（崩塌→极化相图 + 归因技术）；'种群规模改变失稳模式'直接为多 agent 编排的规模决策供依据——更多 agent 不是更多智能；'agent patching 干预随规模衰减'意味着调试手段也要随规模换代。

• 来源: arxiv.org/abs/2609.19124v1
• 信号: 命名模型 Flag Game · 崩塌→极化相变 · social circuit attribution · 干预效力随规模衰减 · 统计力学理论吻合
• 关键词: Multi-Agent Communication Patterns · Agent Safety · Coding Agent 编排模式

10. Skillsync（YC W26）— 会话跨 agent 可移植：txcript 引擎做"agent 会话的 ffmpeg/pandoc"（HN 38p/43c）

Skillsync Launch HN（news.ycombinator.com/item?id=49743049，38p/43c；产品 skillsync.com）：大多数工作以会话形式存在，却散落各 agent 的互不兼容的本地格式里——随 skill 与记忆投入增加被锁死在单一 provider。Skillsync 做通用转换器：把整段会话（消息、推理、工具调用）从一种 agent 磁盘格式迁移到另一种，原地继续；集中所有会话可搜索，并拆解每个会话携带了什么、哪些加载的 skill 真的被使用——stale context 一眼可见；支持团队共享 workspace；除共享外全部本地运行。核心是开源 Rust 引擎 txcript——"think ffmpeg or pandoc, but for agent sessions"。对 coding-agent-harness 是会话格式即锁定面的工具化回应——'哪些 skill 真被用了 + stale context 可视化'与 NEGATIVESKILLS（#98，约束过载）、Skill Issue（#103，skill 有效性）同题不同层：这次是运营工具落地；自建 agent 的会话日志 schema 从第一天就应对齐可转换格式——锁定成本是复利。

• 来源: news.ycombinator.com/item?id=49743049 · skillsync.com
• 信号: YC W26 · HN 38p/43c · txcript Rust 引擎开源 · 消息+推理+工具调用全量迁移 · skill 实际使用 + stale context 可视化
• 关键词: coding-agent-harness · Context Engineering · Agent Memory

11. What Sandboxing a VM Actually Costs — Apple Silicon 上把 agent 关进 VM、模型留在宿主：单请求近零开销，并发下反而快 15-28%（veloworkspaces.com，HN 2p）

Velo 基准长文（veloworkspaces.com/blog/vm-sandboxing-cost，HN 2p）：本地 coding agent 通常 exec() 直通宿主全盘；间接注入可以让敌意指令以你的全部权限跑命令。"正确"修复是 VM——但 Apple Silicon 撞墙：Virtualization.framework 不向 Linux guest 暴露宿主 GPU（Apple 容器团队确认），VM 内跑 7B 慢得离谱。解法：把"跑 agent"与"跑模型"拆开——模型留宿主（Ollama/MLX），agent 进 VM，guest 内 socat 走 VirtIO-vsock（直连 hypervisor 内存通道，非虚拟网卡）转发到宿主 Swift listener，OPENAI_API_BASE 指向 127.0.0.1 即全兼容。基准结果诚实并陈两个相反答案：MLX 引擎——单请求开销测不出、8 并发 VM 慢 ~5%；Ollama 引擎——8 并发 VM 反而快 15%、真实 agentic 循环快 17-28%（方差极小）；作者直言"我没预料到，也没完全理解"。对 Agent Sandbox Checkpoint 是沙箱的第一份真实价格标签——与 Tesseracted（#104 #10）互补：那篇讲"hooks 不是沙箱"的边界，这篇给沙箱的真实成本与'危险部分（执行生成代码）与贵部分（推理）不必同处'的架构解；双结果并陈本身是基准诚实度的范本；vsock 路线对自建本地部署直接可用。

• 来源: veloworkspaces.com/blog/vm-sandboxing-cost/
• 信号: agent/model 分离架构 · VirtIO-vsock 直连 · MLX 慢 5% vs Ollama 快 15-28% 双结果并陈 · Apple 官方确认 GPU 墙 · 方差 <0.2s
• 关键词: Agent Sandbox Checkpoint · Agent Safety · Coding Agent 成本优化

12. JPMorgan 把 Claude Code 关进沙箱：无常驻内网访问 + $2,000/月消费上限（r/ClaudeAI，BI 报道佐证）

JPMorgan 治理包（r/ClaudeAI 讨论；Business Insider 报道）：Reddit 帖与 BI 从内部消息的报道互相印证——大银行给 coding agent 的参考架构浮出水面：沙箱隔离 + 对内部系统无常驻访问（按需授予）+ 部分员工 $2,000/月的消费上限 + 配套安全工程。BI 确认消费上限与"new security effort"并行推出；具体技术细节（沙箱实现、访问授予流程）待验证（依赖 Reddit/BI 转述，无官方一手资料）。对 Agent Safety 是企业落地的治理样本——与 #103 任务级权限收窄（关掉 84.4% 攻击面）同构：'当前任务用不到的权限就不给'从论文走进了银行生产环境；消费上限与安全边界出现在同一个治理包里，说明企业把成本与安全当同一类'爆炸半径控制'来治理——自建平台的预算熔断和安全熔断应该是同一套机制。

• 来源: reddit.com/r/ClaudeAI/comments/1wit5yg · businessinsider.com
• 信号: 沙箱 + 无常驻访问 + $2k/月上限 · BI 内部消息佐证 · 成本/安全同框治理 · 技术细节待验证
• 关键词: Agent Safety · mcp-security · Coding Agent 成本优化

观察清单