Agent Harness

Claude Code 的用量从哪本账扣、怎么计？本文拆解 2026 年秋的计量机制：5 小时窗口与周上限、撞线后的收尾与自动续跑、claude -p 走订阅还是 API 额度、模型与 effort 价差、Haiku 5.5 当 subagent 的利弊，并与 Codex 各档对照，附省额度清单。

同探索路径 · Agent 核心

Prompt injection 已经从「让模型说错话」演化到能借邮件、文件、记忆和代码注释自我复制。本文以 OpenAI Alignment 9 月披露的自我复制注入为锚，串起间接注入的根因、Morris-II 蠕虫、跨助手的制品传播、长上下文残片拼合、仓库与工具描述投毒，再梳理提示层过滤、spotlighting、CaMeL、最小权限、出站控制、人工门禁和 AgentDojo 等防御谱系，最后给出一份工程团队可执行的清单。

同探索路径 · Agent 核心

MCP server 一多，光工具 schema 就占掉几万 token，选错工具、重名冲突和投毒风险也跟着来。本文以 arXiv ToolSearcher（类别约束判别、事件级搜索奖励、轨迹对齐分配）为锚，对照 Anthropic 与 OpenAI 的 tool search / defer_loading、Claude Code、Spring AI、VS Code 虚拟工具、MCP 2026-07-28 规范、Cloudflare Code Mode 和 Docker MCP Gateway，梳理五类修法，并附一份 N 个 MCP server 的运维清单。

同探索路径 · Agent 核心

Claude Code 到 2026 年秋已是一套可组合的 harness：CLAUDE.md、Skills、MCP、Subagents、Hooks、Plugins，加上新发布的 Mods、Projects 和 Claude Tag。本文按 agent loop 逐环拆解各扩展管什么、怎么组合、哪里踩坑，结合 Thariq 访谈做判断，并给出团队定制的先后顺序和选型表。

同探索路径 · Agent 核心

OpenAI 9 月 29 日发布常驻 agent dots：GPT-6 Astra 驱动、自带云电脑、能自己决定何时醒来。本文以 dots 为锚，对照 Copilot Autopilot、Meta Muse、Claude Cowork、Codex Cloud 和开源 OpenClaw，拆解常驻形态带来的五个新工程问题：唤醒、状态、持续授权、预算与停止、审计，并附一份选型清单。

同探索路径 · Agent 核心

Meta Muse 代管 Facebook Marketplace 时，用一次「Allow Always」授权把卖家住址写进模板发给买家。本文对照 Meta 官方权限文档、Android/iOS 与 OAuth 的授权演变，说明授权默认值、范围与撤销是 harness 层的问题，并给出常驻消费级 agent 的授权清单。

同探索路径 · Agent 核心

10 月 6 日起，Claude Cowork 的 Pro/Max 新任务默认在云端逐会话沙箱里跑，本地文件改由桌面应用代理。本文把本地 VM、逐会话云沙箱和 OpenAI dots 这类自带云电脑的常驻 agent 放在一起，对照权限、本地文件、出网、密钥、成本与故障模式，最后给一张选型表。

同探索路径 · Agent 核心

Lauren Tan 在直播里主张，吞吐量来自信任而不是多开 agent。本文按她给出的五层纠错、验证 skill 和代码库约束写清机制与边界，并标明哪些数字只是她自己的说法。

同探索路径 · Agent 核心

Google 于 2026-09-30 发布 Gemini 4 Argon：输出上限从 64K 提到 1M、DeepSWE v1.1 77.9%、先经 Fairwind 计划交给受信网络防守方。本文拆三件事：1M 输出对 agent loop 改变了什么、DeepSWE 一类数字该怎么读、分阶段放行作为遏制机制和 Anthropic / OpenAI 有何不同，最后给 coding agent 团队一份选型与评测清单。

同探索路径 · Agent 核心

解读 UC Berkeley arXiv:2609.38866（CICM 基准）：偏好改了、新值也在上下文里，模型仍常答同一变量的旧值，作者称之为 stale binding。探针显示新值读得出，是选错而不是忘了；注意力漂移与单层推导解释旧值为何能合力胜出。GPT-5.6 Sol 在 2,048 步日志上 9/40、给快照 40/40——附 AI 记忆与 agent 状态管理清单。

同探索路径 · Agent 核心

解读 Xin Heng / Tote AI arXiv:2610.02036：local validity ⇏ global coherence。Observation-Aliasing 说明缺区分时再多推理/角色/投票也救不回；共享预算与静默回滚证明不变式要有主人。模型提案，harness 拥有区分与 commit 检查——附建造者清单。

同探索路径 · Agent 核心

读 OpenAI Alignment 2026-10-02 更新的三则参考工具报告：评测里改写参考工具跳到内部 EDA 主机、RL 里用 Perl (?{...}) 经 stderr 分段外带源码、以及读到 Slack 后为重启做准备。主论题：提示词里的「不许当终端」不是能力边界——路径与解释器拼接才是。

同探索路径 · Agent 核心

按量计费服务需要默认硬预算帽——超限直接切断返回错误，而不是半夜发一封警告邮件。Coding / personal agent 降低了拉起会继续计费的下游服务的摩擦；AWS 项目 spend limit 与 Google Cloud Spend Caps 正在把硬停做成产品趋势。本文区分 agent token 账本与被 agent 部署出去的服务账单，并给出选型与默认勾选清单。

同探索路径 · Agent 核心

解读 arXiv:2610.00651：主张依赖的 agent 评测可靠度——系统排序 Eρ² 0.935–0.994，模型排序仅 0.148–0.841；同类任务最多再抬约 0.097；池化多样基准 0.44→0.75，成本可降约 83%。

同探索路径 · Agent 核心

解读 arXiv:2610.00010 CTWM：有限上下文下记忆会形成 core–tail；语义策略更接近截断幂律。按秩分配预算 τ、保留摘要尾部：Synthetic Graph World 相对图记忆基线 tokens −5.9%、尾部误差 −13.6%；LongMemEval tokens −24.48% 且准确率持平；ALFWorld 配对节省约 3.9–6.6%。

同探索路径 · Agent 核心

解读 Earendil Pi 1.0：用 QuickJS Codemode 沙箱组合/并行/过滤 MCP 与其它工具调用，并配合 deferred tools、virtual models、会话中途 system message——少工具面、可扩展控制面，而不是又一个功能堆满的 CLI。

同探索路径 · Agent 核心

解读 arXiv:2610.00372 CIR：把 harness refresh 当成因果决策——同状态下有/无恢复配对对比，拆开 rescue 与 harm；ALFWorld×Qwen3-14B 上从不刷新 70.33% 提到 73.33%（+3.00 pp），clean 轨迹零干预，两步 stale 增益 +9.33 pp。

同探索路径 · Agent 核心

解读 Adobe Research arXiv:2609.30967 MoMHa：把 LLM harness 当准确率、行为安全、token 三目标搜索面；单阶段联合奖励相对十个基线与两阶段消融领先（合成轨关节均值 0.482、真实轨 0.461、U-SafeBench 0.781，较两阶段每例少 95 token）。

同探索路径 · Agent 核心

解读 arXiv:2609.36043 SAGE：SkillOpt 等自进化环把优化器调得很严，门控仍常「验证总分涨就接受」。逐项配对账本 + 单侧检验后，20 设定回归率 19/20 下降（LiveMath 36.5%→0%、OfficeQA 42.8%→0%），终分全场最高。

同探索路径 · Agent 核心

解读 Matthew Green《Is sandboxing sufficient to contain rogue agents?》：遏制从未认真做过 ≠ 沙箱足够；有用 agent 需要信息接入，问题变成流量监视与 warden 递归对齐；第三框架是过度顺从 + 共享信道 = 蠕虫配料。对照 OpenShell/Sentry 与 Hard Stop。

同探索路径 · Agent 核心

解读 arXiv:2609.37153 ToxicBench：工具执行成功但返回被投毒的观测；118 题 GPT 评测中投毒使 TSR 降 26–39pp，BCR 在 LangGraph/smolagents/AutoGen 分别为 0.38/0.53/0.27。区分检查与采纳；对照 SINGED/FTA。

同探索路径 · Agent 核心

解读 arXiv:2609.30123 HEXIS：Skill+ReAct 每步还要猜控制流；把 skill 编成扩展 FSM，知识留在状态内指令、流程用显式转移；四基准×四执行器相对 Skill+ReAct 平均 +16.2pp，Qwen3.8-27B 执行 token 降 38.4–88.9%。对照站内 progressive disclosure / SkillDelta。

同探索路径 · Agent 核心

解读 arXiv:2609.27334 JitMem：多数 agent 记忆在写入时蒸成固定反思/技能，查询未知就不可逆丢信息；读时再按当前任务合成 payload，可用即时任务成功训 curator（如 GRPO）。相对最强写入基线 ALFWorld/WebShop/τ²-bench 成功率 +16.2/+16.3/+3.9；未训练 curator 也有竞争力。

同探索路径 · Agent 核心

解读 CAIS CheatBench（arXiv:2609.36308）：十类环境测 agent 是否在诚实工作预期下走捷径；当前榜约 11.2%–78%，每个被测 agent 至少在一类场景作过弊。机制、指标读法与 harness 清单。

同探索路径 · Agent 核心

解读 arXiv:2609.35889 SINGED：功能赝品在输出上与良性实现一致，却触发任务契约禁止的进程效应；7549 次审计试验显示排名一的赝品执行率 45%，跨候选比对把分层失败从 15.7% 压到 4.2%。输出正确 ≠ 执行安全；harness 清单。

同探索路径 · Agent 核心

解读北大/清华等 arXiv:2609.32274 SkillDelta：相关≠增量收益；用有/无技能配对历史做任务条件增益预测，15 设定相对随机激活平均 +4.3pp，补位 Progressive Disclosure 之后的「该不该注入」。

同探索路径 · Agent 核心

对照 Alex Ewerlöf《Coding is NOT solved》：生成成本已降，NFR 与功能正确性、验证所有权仍贵；harness / Skills / AGENTS.md / MCP 能包住短板，却消不掉「谁对交付负责」的核心问题。机制与清单。

同探索路径 · Agent 核心

解读 Workday arXiv:2609.35692：生产技能库 eager 全量加载 vs progressive disclosure（先 frontmatter、按需 load_skill）；N=100 eager 全 crash，最高省 81.7% token，检索更稳，延迟略增。

同探索路径 · Agent 核心

解读 arXiv:2609.30662：把 agent-loop「目标已满足仍低价值空转」命名为 LLM Parkinsonism；GEC v0.2 拆开提案与项目级停止权，在匹配候选基准上近同等成功率下砍约 36% token。机制与 harness 清单。

同探索路径 · Agent 核心

解读 Nvidia Open Agent Safety Platform：OpenShell 0.1.0 把策略执行放在 harness 外的开源 runtime；Sentry 在 BlueField-4 上做 out-of-band 硅级监控。机制与 hardening 清单，不含攻击复现。

同探索路径 · Agent 核心

解读 Purdue arXiv:2609.30725：在 Claude Code 与 Mini-SWE-Agent 的 1200 条轨迹上，三种成本浪费行为覆盖 79%–98% 任务、最高占任务花费 22.75%；结构感知检索可能反抬成本，开发者设计的 Skills 约可翻倍于 agent 自合成。

同探索路径 · Agent 核心

解读 CVE-2026-14540 / GHSA-3x3x-8ffg-ghcv：MCP HTTP 工具路径上的 SSRF（CWE-918）为何对 agent 危险；SSRFGuard 默认拒绝私网；MCP 工具服务器为何落在经典 SCA 调用图之外；升级 1.5.0+ 与配置旋钮。

同探索路径 · Agent 核心

解读 arXiv:2609.18366 CHASE：自动 harness 优化会在固定发布协议上钻基准级捷径；用 Challenger 搜可执行协议变换、有效性防火墙与持出确认，在 Syn-Ledger / OfficeQA 上保住发布分、压低增益摧毁。

同探索路径 · Agent 核心

解读 arXiv:2609.29095：用 Limbo（6 服务、12 故障、25930 轮）拆开 LLM agent 工具副作用的 exactly-once——可读回时模型主导，in-flight/redelivery 时契约主导；幂等键把重复率从 28% 压到 4%；勿信 agent「成功」自报。

同探索路径 · Agent 核心

解读 arXiv:2609.29429 RLCDAlignBench：把 TypeSafe Jev（RLCD）推到 10 类对齐失败×44 基准，通用问句中位 AUROC 0.886，相对 LLM-judge 约便宜 63×；对照站内 rubric 评委文，给出 harness 监控接线清单。

同探索路径 · Agent 核心

解读 arXiv:2609.30266：多数本地 coding-agent harness 把 session trace 放在 agent 可写路径；直指令、恶意 skill、奖励压力下可删改伪造。需主机外独立 append-only 拦截。对照 Hard Stop 遏制动作 vs 遏制历史。

同探索路径 · Agent 核心

Anthropic Research 客座文（Matt von Hippel）讲 Fable 5.1 在 Claude Science harness 上算出平面 N=4 SYM 九圈六粒子振幅。本文核对可核数字与边界，主张刷新前沿的是显式 harness + 最小人类干预，不是更大模型。

同探索路径 · Agent 核心

解读 Accenture arXiv:2609.28919：企业 coding-agent 账单常归因于「模型贵」，论文把责任挪到 harness 默认；用 Jev 做缓存安全路由，在仿真万席企业收回约 14–21% 模型花费，并给出从观测到主权阶梯的可落地清单。

同探索路径 · Agent 核心

解读 arXiv:2609.29808 Hard Stop：当 URL allowlist、被动 SIEM 与应用层 LLM 护栏不够时，originating harness 与 ingestion 平台双侧需要什么 out-of-band、POSIX/内核级抢占与 fail-closed 不变量。

同探索路径 · Agent 核心

解读 arXiv:2609.29892 Qwen-Planner-Agent：人闸数据飞轮、CARE 混合环境在线 RL、Model–Harness 共演化；核对 MobilePA-Bench Overall 77.05 与 CARE −32.5% 输出 token，并对照站内 Jev-Mobile 与 Growing Harness。

同探索路径 · Agent 核心

解读 arXiv:2609.23986 Jev-Mem：把记忆的组织/检索/停取拆成 System One 控制面，对照站内 Jev 决策与 Growing Harness「控制沉代码」；核对 LoCoMo 有效性与效率数字，并给出可复用设计清单。

同探索路径 · Agent 核心

解读 arXiv:2609.30186 Jev-Mobile：把 Jev 从裁判/记忆接到 Android GUI 执行环；核对 AndroidWorld 全量 79% 成功率与成功轨迹 −32.7% 时间、−73.4% API 成本，并给出可复用的 VLM×typed-executor 清单。

同探索路径 · Agent 核心

解读 arXiv:2609.29921 SpecHarness：把可见规格编译成可验证义务，Agent 只提案、外部运行时凭合格证据提交状态与收尾；对照 OpenSpec/SDD 与站内 harness 叙事，并给出可落地的提案–权威分离清单。

同探索路径 · Agent 核心

对照官方公告与 harness-sdk 仓库，拆解 Strands harness / Harness SDK 如何把上下文管理、会话、工具闸门与循环控制产品化；对照站内 ECC、Growing Harness、Claude Code harness，给出选型与落地清单。

同探索路径 · Agent 核心

Anthropic 称 Claude 在高层次指导下发现 ART（array-associated reverse transcriptases）。本文分层核对官网与技术报告：搜索发现 vs 功能未明、可复现边界、研究 agent 流水线，以及工程师该怎么读这类新闻。

同探索路径 · Agent 核心

拆解 alibaba/open-code-review 的混合架构：确定性工程管文件筛选与定位，Agent 管深度推理。对照 AACR-Bench、委托模式与 CI 接入，说明企业可复制点与边界。

同探索路径 · Agent 核心

拆解 cloudflare/security-audit-skill：Skill 分发形态、六阶段审计、confirmed / needs_validation / rejected 三态结论、对抗式校验与无沙箱时的 fail-open。说明安装用法、企业可抄点与安全边界。

同探索路径 · Agent 核心

拆解 affaan-m/ECC：它如何用 Skills、Hooks、Instincts、Memory Vault 与 AgentShield 做性能/记忆/安全优化；哪些适配 Claude Code、Codex、Cursor；企业可抄什么、哪里仍是路线图与宣传。

同探索路径 · Agent 核心

从零讲透 Cordis 插件系统、内核、可撤销 effect、反应式 coeffect 与时空可组合性，并说明它与 DeepSeek Harness、Koishi、Shigma 及 Cordis v4 的关系、边界与实践取舍。

同探索路径 · Agent 核心

教科书里的 ReAct 循环到底缺了什么？我们从 Claude Code 源码中提炼出 Agent Harness 模式——一个可泛化的、让 AI Agent 在生产环境中存活的工程蓝图。