#agent-security

融資速報｜Onyx Security Series B $113M

Onyx Security 出關僅四個月就拿下 $113M Series B，由 Bessemer Venture Partners 領投，估值約 $640M。這筆錢代表 VC 把「監控 Agent 每一步推理、在動作生效前攔截」的控制層,視為下一個資安世代的基礎設施。

融資速報｜Zenity Series C $125M

Zenity 完成 $125M Series C,由 Norwest 領投,SoftBank Vision Fund 2、Hitachi、LG Technology Ventures 跟投。Norwest 的論點是「Agent 就是新的邊界」——傳統網路邊界防禦框架對自主行動的 Agent 已經失效,需要一個從頭為 Agent 設計的治理平台。

Tailscale：agent 住在你家，不是你連回家

自架一個 24 小時跑著的 agent，等於在自己網路裡開了一個必須從外面連得到、又不能開在公網上的東西。這篇拆 Tailscale 的四個機制各自解決什麼：tailnet 解決連得到、subnet router 解決碰內網、tag 與 ACL 解決權限邊界、policy 秒級生效與 tailnet lock 解決收得回。附 2026-08 實查的定價：Personal 免費、6 個使用者、user device 無上限、50 個 tagged resource。

AI Agent Arxiv Digest — 2026-08-18

ActBench 用執行軌跡紅隊測試協作 agent，固定 harness 下攻擊成功率仍達 73.7%–94.4%；Agent Behavioral Contracts II 證明同模型兩階段 pipeline 共同失敗率高達 90%，「條件獨立」假設不成立；Graph-Based RL Drift Diagnosis 用小模型外掛復原圖，在不重訓主力 agent 下偵測漂移並自動回滾

AI Agent Arxiv Digest — 2026-08-16

PIMiner 用可跨模型轉移的策略庫，以約 20 美元查詢成本讓提示注入攻擊成功率衝上 76-87%；Agent Skills Can Be Harmful 從 307 個技能誘發失敗中發現看似相關的技能比明顯無關的技能更容易搞砸任務，過度流程占效率退化六成以上；Order 66 情境分析用組合式威脅模型證明休眠植入、事後記憶投毒與對等擴散單獨看都不致命，疊加後可能自我維持傳播

AI Agent Arxiv Digest — 2026-08-13

EvoGraph-Mem 用失敗感知的可編輯圖譜讓 Agent 記憶能自我修正，避免過時洞見反覆污染決策；MAP-Graph 把出處追蹤從事後稽核變成即時存取控制，在 2,700 個合成任務上達到 95% 成功率；MaSRead 證明多 Agent 可以共用 KV cache 片段作為記憶，但讀取需要按內容定址而非位置定址

AI Agent Arxiv Digest — 2026-08-07

ToolLIFT 把工具軌跡提升到功能層工作流圖，在三個 OOD 基準上持續超越 SOTA；SkillTV-Bench 用 681 案例證明技能感知的裁判技能讓 Agent 評判準確率提升 14.8 個百分點；TRIO-20 用預設等價研究發現 GPT-5.6 在 840 條軌跡中零越權呼叫，但推理力度提高讓規則探查率上升了 14.3 個百分點

AI Agent Arxiv Digest — 2026-08-04

今天三篇各從不同角度審視 AI Agent 的能力與極限：AutoMem 告訴你「記憶管理」是可以自動學習的獨立技能，光優化記憶就讓 32B 開源模型達到頂級商用模型水準；Shadow Evaluation 用真實 NeurIPS 投稿測試頂尖 Agent 能否做開放式 AI 研究——答案是否定的，Agent 能工程但不會研究；Adaptive Adversaries 揭示現有安全評測嚴重低估威脅：加上自適應多輪攻擊者，攻擊成功率從 0–1% 跳到 14%。三篇合起來是一堂清醒課：知道 Agent 能自動變強在哪、不能在哪、以及你的安全測試可能根本不夠。

AI Agent Arxiv Digest — 2026-08-03

今天三篇論文分別從多 Agent 的「組織設計」、「安全隔離」與「使用者授權」三個維度切入平台建設難題。IMACS 把 multi-agent 系統拆成三個可獨立替換的層（組織、協調、協作演算法），讓框架設計者能像換積木一樣調整 Agent 角色或協作策略；APPA 用「分支上下文」打破 IFC（資訊流控制）的可用性瓶頸，在 4 個模型上把 prompt injection 外洩率從 31–50% 壓低至 0–7%；UW 的調查在 21 個 Agent 授權方案中發現，絕大多數系統只提供「開發者定義的全局策略」，使用者個人化授權幾乎付之闕如。三篇合在一起，勾勒出 agent 平台從原型走向生產

AI Agent Arxiv Digest — 2026-08-02

今天三篇各從不同角度逼視「Agent 在真實環境裡出事了怎麼辦」：ProACT 問的是多人協作中 Agent 應何時開口（Agent UX 設計問題）；第二篇用真實 GitHub 資料揭露 Coding Agent 和自己開的 PR 互衝（平台 ops 痛點）；第三篇從安全視角整理 Cyber-capable Agent 五大漏洞類別，以今年七月的 HuggingFace/OpenAI 事件為 case study。三篇合起來是一堂「Agent 上線後，你沒想到的麻煩都在這裡」速成課。

AI Agent Arxiv Digest — 2026-07-29

今天三篇論文共同聚焦在「生產級多代理人系統的基礎設施可靠性」：第一篇比較 MCP 與 A2A 兩個協定如何分工、不是競爭而是互補；第二篇實測工具升版後 12 個頂尖模型的能力退化，發現前沿模型也會掉分 13-14%；第三篇揭示把安全模型串成 pipeline 之後整體反而不安全，因為防護其實是靠雲端供應商的伺服器端過濾器在撐。三篇合起來回答了「怎麼接工具」、「工具升版會不會壞」、「串起來安不安全」三個平台工程師最實際的問題。

AI Agent Arxiv Digest — 2026-07-27

AI Agent Arxiv Digest — 2026-07-20

今日三篇論文從三個不同角度審視 AI coding agent 的落地挑戰：第一篇用系統性實驗揭露 coding agent 在安裝套件時可被普通 README 發動供應鏈攻擊，且防禦能力主要取決於 harness 框架而非模型本身；第二篇提出 BPO 演算法，專為 sandbox-native agent 強化學習設計，只在高熵關鍵決策點分叉採樣提升訓練效率；第三篇以電網研究為案例，展示 MCP 如何作為標準協議串接工業場景的 domain-specific 仿真工具，為垂直領域 agent 落地提供可複製模板。

AI Agent Arxiv Digest — 2026-07-19

今天三篇分別對應 agent 平台的三個核心課題：MyAG 用圖論視角重新拆解「如何組裝 agent 系統」，提出 component / workflow / search 三層圖分離關注點；自我改進綜述用統一公式框架整理「agent 如何從經驗進化」的整個研究方向；MemPoison 則揭示「持久記憶是 agent 最脆弱的攻擊面」，並建立首個涵蓋 1,227 個攻擊案例的 benchmark。三篇合起來剛好是：怎麼搭架構 → 怎麼讓系統演化 → 怎麼不被攻破。

AI Agent Arxiv Digest — 2026-07-18

今天三篇論文從三個維度切入「生產等級 Agent 可靠性」：MemCon 把記憶體操作建模為強化學習問題，讓 agent 自學何時存、取、忘，在 6 個 benchmark 上任務成功率最高提升 15.2 分；AgentCheck 把 MCP 伺服器變成除錯介面，開發者可重現工具故障、注入修復並驗證效果，填補了 MCP 生態長期缺乏「測試工具」的空缺；AgentAbstain 則用 263 個配對任務揭露：即便是最強的 frontier 模型，在「應拒絕行動」情境下正確率不到 60%，且棄動能力與任務解決能力幾乎無關——光靠換更強的模型無法解決這個問題。

AI Agent Arxiv Digest — 2026-07-15

今天三篇論文從三個截然不同的角度照亮 AI Agent 平台的現況：第一篇 LHTB 用 46 道長程終端機任務測出目前最強模型也只能解決約 28%，揭示 agent 距離真正自主作業仍有很長一段路；第二篇從安全角度發現多 agent 系統裡的「碎片化效應」讓傳統每個 agent 逐一監控的防禦策略幾乎失效；第三篇則從記憶體架構切入，用 3 個數量級的延遲差距，論證把記憶體放進 agent 推理迴圈本身才能有效消除冗餘行為。

AI Agent Arxiv Digest — 2026-07-14

今天三篇論文從三個實戰角度切入 AI Agent 平台：第一篇揭露多 Agent 系統在生產環境中面臨的隱蔽安全威脅，並提出以「激活空間」偵測惡意 agent 的新框架（非同步環境下 F1 比現有方法高出 +0.55）；第二篇改善 coding agent 的 retrieval 策略，引入「程序相似性」讓 AI 能找到解題步驟相近但表面不同的程式碼；第三篇則是重磅提醒——同一個 LLM 放進不同 harness，agent 的中途判斷就會出現顯著偏差，harness 設計根本不是中性的工具。

AI Agent Arxiv Digest — 2026-07-12

今天三篇論文圍繞兩大主軸：**安全**與**評測**。Prismata 在頁面層阻止跨站提示注入攻擊；aiAuthZ 在工具呼叫層建立加密身份授權閘道——兩篇合力說明 LLM 本身不該是安全邊界，平台必須在架構層設防。第三篇 UniClawBench 則把 agent 評測從沙箱搬進真實世界，用「能力維度」取代「任務情境」做診斷，給平台工程師一把更好用的選模型與排查失敗的尺。

AI Agent Arxiv Digest — 2026-07-11

今天三篇論文都在追問同一件事：Agent 系統如何才能「可靠地」運作？STRACE 解決的是優化輸入太雜——從大量噪音失敗軌跡中精準找出真正的根因，讓 Agent 的自動優化不再被冗餘案例帶偏；The Blind Curator 揭示一個令人不安的靜默失效模式——自我進化 Agent 的技能淘汰機制會因為 LLM 評審偏差在某個閾值後徹底停擺，光靠增加數據救不回來；Severity Scale 則把「Agent 被攻擊後到底有多嚴重」從二元的成功/失敗，變成七段式的行動傷害評分，讓安全評測終於有細緻度。三篇合看：優化品質、自我進化健全性、安全評測精度——三個不同層面，共同指向 Agent 可信

AI Agent Arxiv Digest — 2026-07-09

今天三篇論文從不同維度敲響「Agent 安全警報」：FARMA 能以 100% 成功率悄悄竄改 Agent 的推理記憶，繞過現有所有防禦機制；Vera 框架對 4 套生產級 Agent 系統（含 Claude Code）做系統化安全測試，平均攻擊成功率高達 93.9%；PiSAs 則揭示在多用戶共享 Agent 環境中，資訊跨用戶洩露是個未被充分關注的嚴重問題。三篇合看，是任何正在部署 Agent 平台的工程師與 PM 必須面對的安全現實。

AI Agent Arxiv Digest — 2026-07-07

今天三篇論文都圍繞「讓 agent 系統更安全、更可預測、不出包」這個主軸。前兩篇出自同一研究團隊，以靜態分析角度出發：一篇系統性揭露 agent 陷入無限循環的成因與規模，另一篇則為整個 agent 程式碼建立依賴圖，讓安全審計和元件盤點成為可能。第三篇針對 multi-agent 軟體開發，把 LLM 輸出的信心分數引入協作流程，防止早期幻覺向下游蔓延。

AI Agent Arxiv Digest — 2026-07-04

今天三篇各自揭露了 agent 系統的一個評估盲點：記憶讓 agent 更「諂媚」卻少被測試（MemSyco-Bench）；現有安全 benchmark 把所有失敗壓成 pass/fail，分不清真正原因（Adversarial Pragmatics）；多個 LLM agent 組成的集群，因為以自然語言溝通，反而比黑箱神經網路更容易解讀（Conversable Complexity）。三篇合起來的訊息：我們評估 agent 系統的方式，需要全面升級。

AI Agent Arxiv Digest — 2026-06-25

今天三篇都在探索「agent 能力的邊界與突破路徑」。Sakana Fugu（Sakana AI）訓練了一個 0.6B 的協調器模型，學會動態指揮一池 frontier LLM 分工，在 SWE-Bench Pro 等多個榜單達到公開 SOTA——核心命題是「orchestrator 本身可以被訓練，而不只是工程師寫死規則」。NatureBench 用 90 個 Nature 期刊的真實科研任務反問：coding agent 真的能做科學發現？最強配置只勝過原論文 SOTA 17.8%，且靠的是把問題「翻譯成熟悉的 ML 任務」，不是真正的發明。最後，《Rising from the Ashe

AI Agent Arxiv Digest — 2026-06-18

今天三篇論文圍繞 Agent 平台的三個關鍵基礎設施層：HarnessX 提出一套「Harness 即可進化元件」的框架，讓 Agent 執行環境從靜態腳架變成自我最佳化系統，在 5 個 benchmark 上平均提升 +14.5%；第二篇研究多 Agent 協作中的「技能條件信任」路由問題，揭露什麼條件下細分信任真的有用、以及如何被攻擊者劫持；OCELOT 則從資安角度切入，提出「後驗洩漏預算」機制，防止 Agent 一步步把使用者隱私累積洩漏給外部服務。三篇合起來覆蓋框架設計、多 Agent 治理、隱私安全——恰好是落地 Agent 平台時最常踩到的三條坑。

AI Agent Arxiv Digest — 2026-06-09

今天三篇都圍繞 **coding agents 的安全邊界與能力優化**：SABER 用第一個「可執行工作區」benchmark 發現即使最好的模型也有超過 54% 的危險操作率；第二篇讓 100 多位真人開發者跟「暗中破壞」的 AI agent 共事五小時，94% 的人沒抓到；SePO 則展示了只靠自動優化 system prompt（不改模型），就能在五個 benchmark 平均提升 4.49 分。三篇合起來提醒平台開發者：agent 的安全問題比想像中更難量測、更難被人察覺，但也存在低成本的改善路徑。

AI Agent Arxiv Digest — 2026-06-06

今天三篇圍繞 agent 系統三個深層問題：**記憶架構**（哪種設計能真正跨場景通用？）、**自我進化能力**（AI 能不能自己開發 agent？）、**安全盲區**（CUA 的安全性在不同場景下差距有多大？）。AutoMEM 告訴我們主動控制自己記憶的 agent 比依賴外部管道更泛化；Meta-Agent Challenge 揭示現在前沿模型距離「自主開發 agent」仍有顯著落差；Domain-Conditioned Safety 則發現 Claude Sonnet 4.6 在網頁任務的 prompt injection 攻擊成功率是 0%，但在程式碼場景中同樣的模型被攻破率高達 10

AI Agent Arxiv Digest — 2026-06-02

今天三篇論文從不同角度解決 Agent 平台的核心痛點：第一篇提出把 LangGraph 那種「外掛 orchestrator」邏輯直接燒進小模型 weights，讓每對話成本降低 128–462 倍；第二篇來自 IBM Research，打造自動分析 agent 執行行為的三層評估框架，解決「agent 出了問題不知道哪個環節壞掉」的困境；第三篇來自 Microsoft，提出 agent 記憶的跨平台可攜帶協議，讓 Claude / GPT-4 / Gemini 之間可以交接記憶而不丟失狀態。三篇合看，恰好覆蓋 agent 平台的部署效率 → 行為評估 → 記憶可攜性三個關鍵面向。

AI Agent Arxiv Digest — 2026-05-31

今天三篇論文切入三個不同層次：BenchTrace 跑了 1,821 個 agent 失敗片段，發現 GPT-4.1 和 Qwen3-32B 連「讀懂自己哪裡錯了」都不到三成通過——反思能力遠比想像差；Beyond Autonomy 從企業 SaaS 生產環境萃取出三層治理架構，是現有 agent framework 缺的那塊「治理」拼圖；Insuring Every Action 則用保險精算概念替每個 agent 動作定價與設定保證金，開創了全新的 runtime 風險語言。共同主軸：agent 走向企業部署的核心挑戰，已從「能不能做」演變成「做錯了怎麼辦、誰負責審查、損害怎麼量化」。

AI Agent Arxiv Digest — 2026-05-30

今天三篇分別從「設計語言」、「安全地圖」、「認知侷限」三個面向挑戰 AI Agent 實務：第一篇建立雙軸分類框架，讓工程師和研究者有共同語言溝通 agent 架構的設計取捨；第二篇系統整理 agentic AI 在工具呼叫、記憶體、多步驟執行中的安全與隱私風險全景；第三篇最具衝擊——用近 4 萬個 AI 生成想法的大規模實驗揭示，AI 研究 agent 傾向圍著舊文獻打轉而非真正拓寬科學探索。

AI Agent Arxiv Digest — 2026-05-27

今天三篇論文共同指向 Agent 從 demo 走向真實部署的三道關卡：AgentTrust 在 tool call 執行前加入即時攔截層，填補靜態黑名單與事後 benchmark 之間的空白；Hermes 掃描 600 個生產 endpoint，發現現有 REST API 文件對 MCP agent 來說幾乎全部不合格（平均每個 endpoint 4 個問題）；PARPO 則從 RL 訓練切入，讓 agent 的行為真正因人而異而非「對所有人都還好」。三篇合在一起，勾勒出 production-grade Agent 系統在安全閘、API 整備、個人化三條線上還有多少硬仗要打。