论文（arXiv 2608.27146）认为工具增强型 agent 的注入风险源于把两个运行时角色混在一起：从观察中诱导动作，与授权执行。SARA 把两者拆开：一个上下文隔离的 Action Probe 负责暴露工具输出中的动作诱导语义，并跨步骤持久记录动作来源；真正的工具调用只依据用户目标与已授权成功执行产生的审计证据放行，约束覆盖目标、执行链与参数三层。No-History-Promotion 机制防止历史重复把动作来源「洗」成执行授权。在 AgentDojo 与 AgentDyn 上，四个主设置的攻击成功率均不超过 0.63%，任务可用性保持竞争力，且跨 agent 骨干一致。
SARA：把动作诱导与执行授权分开，防工具输出注入
2026-08-29前沿观察WATCH
论文（arXiv 2608.27146）认为工具增强型 agent 的注入风险源于把两个运行时角色混在一起：从观察中诱导动作，与授权执行。SARA 把两者拆开：一个上下文隔离的 Action Probe 负责暴露工具输出中的动作诱导语义，并跨步骤持久记录动作来源；真正的工具调用只依据用户目标与已授权成功执行产生的审计证据放行，约束覆盖目标、执行链与参数三层。No-History-Promotion 机制防止历史重复把动作来源「洗」成执行授权。在 AgentDojo 与 AgentDyn 上，四个主设置的攻击成功率均不超过 0.63%，任务可用性保持竞争力，且跨 agent 骨干一致。
本文来自既有扫描档案。迁移保留原判断，不代表在迁移时重新核验。
对你意味着什么
对重度使用 MCP 工具的团队，这是一套可以直接借鉴的架构拆分：把工具输出当不可信的动作建议、让授权只绑定用户目标与既往已授权证据、绝不让动作靠重复出现获得授权。不可信观察正是当下企业 MCP 网关要解决的核心问题。
前沿观察
公开材料与效果验证，分开看。
已记录的事实是工作及其材料已公开。论文或作者报告的效果不自动等于独立复现。下一步关注可复用代码、任务设置和第三方验证。
证据与关联材料
技术细节与六维评分
| 架构 | 对观察做上下文隔离的 Action Probe（暴露动作诱导语义、记录来源）；按用户目标 + 审计证据授权，约束覆盖目标 / 执行链 / 参数三层；跨步骤的 No-History-Promotion |
|---|---|
| 结果 | AgentDojo + AgentDyn 四个主设置 ASR <= 0.63%；任务可用性保持竞争力；跨 agent 骨干一致 |
| 关联 | 不可信工具输出即命令——与企业 MCP 网关强制管控（趋势 #2）同属一个问题类 |
| 代码 | 论文页未给出 |
| ArXiv | 2608.27146，2026-08-27 提交 |
技术影响 3
工程价值 4
采用信号 1
成熟度 2
验证成本 2
风险 1