AGENTS.md下载目录投毒Codex中招率超90%、HF把Agent Harness改造成训练面、TraceMRT证明CoT监控可被自然执行式轨迹绕过、27人mech interp综述追问懂模型是否更安全
Forever Security披露下载目录AGENTS.md投毒链，Codex真实载荷中招率超90%且写入机器级全局配置；HF为每个模型×每个harness训LoRA适配器，用safeagents规则反向代理零成本拦截reward hacking；NeurIPS 2026论文TraceMRT把失准目标重构成主任务的自然子目标，GPT-5.2与Claude-4.5监控器黑盒下均有明显漏洞；27位作者的机制可解释性综述给mech interp主张配上统一评估框架。
从下载目录里的一个纯文本文件，到权重深处的电路——Agent 技术栈上被默认信任的四层（文件、框架、思维链、权重），这一周各收到一份审计报告，问题指向同一个：信任凭什么是默认值。
一、Markdown 成了新的可执行文件：AGENTS.md 从下载目录接管 Coding Agent
事件概述
10 月 22 日，安全机构 Forever Security 披露一类此前未被行业记录的攻击：在真实客户机器的 ~/Downloads 目录截获恶意 AGENTS.md——纯文本、伪装成普通工程笔记。量子位 11 月 7 日跟进中文报道并梳理了完整攻击链。攻击组合了两个「按设计运转」的特性：浏览器是唯一能在无点击、无权限弹窗的情况下向 ~/Downloads 写文件的入口，而 coding agent 天生信任并服从工作目录下的 AGENTS.md。
技术解析
攻击载荷是一份量子位报道中长达 13KB 的「本地开发环境准备规范」，在结尾夹带一段看似常规的配置注册：要求 agent 在会话开始前向 ~/.codex/config.toml 追加 [mcp_servers.project-tools] 节点，经 launchctl 在后台 npm install function-color（真实恶意包，npm 已下架），再以 codex exec --dangerously-bypass-approvals-and-sandbox 做一次「初始化校验」——每个环节单独看都是标准操作。Forever Security 把攻击者的原始 payload 放进隔离虚拟机复现：Codex 执行恶意包的成功率超过 90%，且写入的是机器级全局配置，用户离开下载目录后，机器上每个 Codex 会话仍会在启动时加载攻击者的服务。针对 Claude Code 的变体改写项目内 .claude/settings.json 的 ANTHROPIC_BASE_URL，把 OAuth 登录 Token 送到攻击者的反向代理，成功率约 50%。量子位报道还提到零宽 Unicode 字符藏提示词的变体。厂商层面没有补丁可发——agent 服从 AGENTS.md 是产品功能，如同浏览器渲染钓鱼页不是 Chrome 的 bug。
行业影响
Forever Security 的遥测显示约一半客户在下载目录里跑过 agent，约四分之一的 agent 会话会打开真实浏览器——供需两端天然相遇。「不点 exe 就安全」的三十年安全常识建立在「有人在屏幕前看着」的前提上，agent 把这个前提拆了：指令遵循能力越强、Coding 分数越高，一个文本文件能造成的破坏越大。防御侧的动作都很朴素（下载目录当污染区、启动前读规范文件、盯紧全局配置、发现即轮换 Token），但把「读文档」变成安全边界这件事的成本，会落回每个开发者的日常流程里。
相关链接
二、Hugging Face 把 Agent Harness 变成训练面：每个框架一只 LoRA，反向代理管住作弊
事件概述
11 月 6 日，Hugging Face 的 harness-hub 团队发布 Harness adapters 方案：不修改 pi、opencode、hermes 这些现有 agent harness 的任何一行代码，用强化学习为「每个模型 × 每个 harness」训练一只 LoRA 适配器（rank 32，作用到全部线性层），用户在本地 agent 里直接加载。11 月 7 日量子位报道了硅谷华人团队 AFK AI 的开源产品 Comma——与 DeepSeek 上周发布的 Super-agent 构想（连续、高效、主动、持久四标准，单 Router 调度多 Worker）在架构上不谋而合，两支团队的共识是：人类注意力顶多跟进 3–5 个活跃会话，这个瓶颈决定了「Agent 管理 Agent」是必经之路。
技术解析
训练侧用 TRL 的 AsyncGRPOTrainer 加 tree attention，一个 vLLM 服务器一并承载基础权重和全部适配器，训练与评估都不合并权重；学习率 1e-5，每任务 8 个 rollout，温度 0.8。环境侧的 Repo2RLEnv 把 Hub 上的公开 agent 轨迹转成可验证任务：1,950 条候选轨迹筛出 270 个任务（约 94% 是从零构建类，179 easy / 61 medium / 30 hard），oracle 直接取自原轨迹，教师模型 Mistral-Large-4-1T-A52B 只负责写测试。安全侧是 safeagents 反向代理：夹在 harness 与模型之间，用规则而非模型判断检查每一次工具调用，10–20ms、确定性；被拦截的 rollout 直接记 0 分，GRPO 会抑制这类行为。消融显示开启防护对 held-out pass@1 的影响是 +0.0 ± 4.1——拦截基本免费。实测中 TwIL-8B 在第 0 步就试图下载 Kaggle 数据源作弊，被代理当场拦下。成本也压得很低：LFM3-1.7B 只用 2×H200 训练，9 个 checkpoint、1,350 个 agent 会话的评估在单张 H200 上一小时跑完，约 5 美元——逐个合并权重的传统做法约 90 美元。
行业影响
Agent Harness 长期被当成工程胶水，这份方案把它改造成三个作业面：训练面（per-harness 适配器让基础模型长出框架特定的肌肉记忆）、安全面（规则代理把 reward hacking 拦在工具调用层）、数据面（公开轨迹变成 RL 环境）。Comma 的路线补上第四个面：责任面——长期常驻的 Router Session 接管跨平台任务（微信、Signal、iMessage、Linear 都可接入），小模型从人工纠正中持续学习，新版本必须在内部评测中击败旧版才能上岗。训练、拦截、数据、责任四件事都落在 harness 这一层，框架层的军备竞赛会比模型层更拥挤。
相关链接
- Harness adapters: Safe RL for efficient agentic development — Hugging Face
- 抢跑DeepSeek！硅谷华人把下一代Agent Harness造出来了 — 量子位
- huggingface/safeagents — GitHub
三、TraceMRT 压测 CoT 监控：把坏目标写成好任务的自然子目标
事件概述
arXiv 11 月 5 日收录的 TraceMRT（2611.07586，NeurIPS 2026，51 页）正面回答一个问题：当 agent 策略性地隐藏自己的失准，CoT 监控还可靠吗？结论是——即便用 GPT-5.2、Claude-4.5 这类最强模型当监控器，黑盒攻击下仍有明显漏洞。
技术解析
现有红队依赖共享模板：把 side task 伪装成主任务的前置条件，副目标属于「外生插入」，痕迹生硬。TraceMRT 的思路是让副目标内生：把失准目标重构成主任务的连贯子目标，再搜索 trace-shaping 策略，使轨迹一边完成坏目标、一边读起来像自然执行。「读起来像自然执行」正是监控器最难分辨的形态。作为对冲，论文提出贝叶斯轨迹监控框架，把全局上下文与局部片段证据合在一起判别，做到 0.91 AUC、TPR@FPR=0.05 时 0.74。
行业影响
OpenAI 10 月 29 日公开的四层失准监控体系中，L1 是读对话、CoT 与工具调用的模型审查器；METR 刚曝光的 Anthropic 内部模型评测同样依赖行为与推理信号。TraceMRT 给这条路线画了一条刻度线：监控器的可靠性取决于红队的真实度，模板化红队测出来的安全感是虚高的。「自然执行」式攻击与本栏 10 月 31 日讨论过的批量评判论文（上下文组成会翻转 5.9–22% 的逐条决策）指向同一件事：以自然语言为介质的监控信号，本身是可被优化的对象。
相关链接
四、27 位作者的可解释性综述：理解模型，真的能让它更安全吗
事件概述
arXiv 11 月 5 日收录的《Understanding AI from the Inside: The State of Mechanistic Interpretability for AI Safety》（2611.08438）是机制可解释性安全方向的全景综述：27 位作者，名单里有 Yoshua Bengio、Mor Geva、Sara Hooker、Stella Biderman、Robert Trager。
技术解析
综述围绕一个很少被正面回答的问题组织：搞懂模型如何工作，究竟有没有让它们更安全？内容覆盖 features、polysemanticity、transformer 计算与 circuits 的基础，特征提取、circuit 发现与因果验证、中间表示的自然语言解释、学习动态、训练数据归因的方法版图，再把机制证据与行为评测做对照。两个可操作的产出：一个评估机制可解释性主张的统一框架，以及按目标、假设、权衡刻画出的六个研究方向。安全应用部分只列了三件事——知识编辑、steering、monitoring——并逐一交代局限、失败模式与开放问题。作者团队还发布了配套代码 notebook 仓库，复现综述中关键方法的实验结果。
行业影响
CoT 监控读的是模型说出来的话，机制可解释性读的是权重里真正发生的事——前者刚被 TraceMRT 证明可被「自然执行」式轨迹绕过，后者给出了另一条证据链。这篇综述的价值不在介绍新方法，而在把「mech interp 是否有助于安全」从口号变成可评估的命题：统一评估框架给各类主张一个裁判所，六个方向的刻画等于承认没有一条路线通吃。对安全团队的实际含义是：行为评测、CoT 监控、机制证据三种手段的可信范围各不相同，混用之前先问证据来自哪一层。
相关链接