arXiv cs.AI· Simon Hegelich, Bardh Prenkaj, Habiba Sarhan, Morteza Shahrezaye, Kolja Hegelich, Christian Montag, Ralf Schneider, Erik Cambria·· 10 小时前AI 评分34
ActiveSecHarness：面向智能体编程工具链的组合式安全防御架构
From Attack Surface to Defense Architecture: Compositional Security for Agentic Coding Harnesses
AI 导读
研究者提出神经符号参考监控架构 ActiveSecHarness，以“智能与权限分离”为原则，组合 Macaroon 风格 HMAC 能力令牌、四层信任与权限环、二维乘积污点格与工作区溯源账本，防御智能体编程工具链被劫持为 LotL 攻击平台。
正文 · AI 翻译
摘要：AI 编码执行框架将语言模型与 shell、文件系统和网络套接字耦合，使该框架成为自动化的 Living-off-the-Land（LotL）平台：一旦攻击者将指令注入检索内容，bash、curl 和 find 等双用途二进制文件便成为载荷。我们认为，智能体系统的安全性是认知架构与权限组合的结构性属性，而非单个模型的涌现属性。静态正则黑名单会漏掉结构性规避，而 LLM-as-a-Judge 护栏则延迟高且过度拦截良性工作。
我们提出 ActiveSecHarness，一种围绕智能与权限分离构建的神经符号参考监视器架构。它结合了：(1) 跨四个信任与权限环的 Macaroon 风格 HMAC 能力令牌；(2) 二维乘积污点格 $\mathcal{L} = \mathcal{L}_{\mathrm{trust}} \times \mathcal{L}_{\mathrm{sens}}$ 以及防止跨磁盘秘密洗白的工作区溯源账本；(3) 确定性的 Ring-0 操作系统/工具守卫；(4) 字节码证书、分地平线审计日志、自愈安全测试合成以及自适应 UserWikiManager。
在 $N=252$ 个测试夹具（$120$ 个攻击、$120$ 个良性、$12$ 条杀伤链）上，本地实时 LLM 评判器（qwen3:4b）以 $142.3\,\mathrm{ms}$ 延迟拒绝了 $98.3\%$ 的良性工作，而 Ring 0 在 $12.7\,\mu\mathrm{s}$ 内达到 $\mathrm{ABR}=1.000$ 和 $\mathrm{FPR}=0.000$（快 $11{,}200\times$）。在多步轨迹消融中，一个 oracle Conseca 风格的无状态策略漏掉 $4/12$ 条杀伤链（$\mathrm{ABR}=0.667$），粗粒度布尔污点拦截了 $83.3\%$ 的良性工作流，而我们的二维乘积格在每步 $\approx 20\,\mu\mathrm{s}$ 下达到 $\mathrm{ABR}=1.000$ 和 $\mathrm{FPR}=0.000$。
| 评论： | 21 页，3 张图，1 个补充材料 |
| 主题： | 密码学与安全（cs.CR）；人工智能（cs.AI） |
| MSC 分类号： | 68M25, 68T42, 06B35, 68Q60 |
| ACM 分类号： | D.4.6; K.6.5; I.2.11; D.2.4 |
| 引用为： | arXiv:2611.13960 [cs.CR] |
| （或 arXiv:2611.13960v1 [cs.CR] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2611.13960 由 DataCite 颁发的 arXiv DOI（待注册） |
提交历史
来自：Simon Hegelich [查看邮箱]
[v1]
2026 年 11 月 10 日星期二 11:52:40 UTC（130 KB）
来源：arXiv cs.AI · arxiv.org