MATRIX AI 前沿探测
← 趋势

Agent runtime 把宽执行能力与后果控制拆成两层

对设计 enterprise agent 的团队，能力与权限不应再由同一份工具清单隐式耦合。通用 shell 提供更好的组合能力与 token 效率，独立的 sandbox、capability contract 与 consequence gate 则把爆炸半径钉住。架构上的直接动作是：把「模型能生成什么命令」与「运行时允许什么后果」做成两个可独立测试、审计和升级的模块。

持续增强 · 置信度 中最近实质更新 2026-11-03

当前判断

strengthening / Medium（Google MCP 治理、GitHub 默认策略、Qwen attestation 与监控失效研究继续强化方向；统一 policy schema 与公开采用遥测仍缺）

生命周期说明方向所处阶段，置信度说明证据强度。最近没有消息不等于方向失效。

支持证据

展开更早证据 · 14
支持证据 · 历史记录，未重新核验

OATS runtime gate（2026-09-14 digest，ev-20260914-03）：66,192 个 skill 版本中，clean artifact 仍会触发本地策略敏感动作；确定性 resolver 在实时实验中拦下 23/23 次禁用动作，中位 hook 延迟 67.6 毫秒

关联事件的原始材料
论文arXiv 2609.12001
运行时 gate 拦住 clean skills 的越权动作 →
支持证据 · 历史记录，未重新核验

2026-09-15 至 16：Gemini CLI 0.60 将 MCP OAuth、路径边界、环境变更确认与工具输出来源加固推入 stable；Claude Code 2.1.273 修复 Bash 权限跳过、危险子 shell 与托管策略优先级；social-harness 实验显示跨主体消息还需要独立的来源、权限、交互协议与治理层（ev-20260825-02 / ev-20260814-04 更新；ev-20260915-07）。

关联事件的原始材料
发布说明google-gemini/gemini-cli · releases / tag / v0.57.0文档code.claude.com · changelog论文arXiv 2609.17527
Gemini CLI 0.66 加固私有 MCP 与 Git 执行 →Claude Code 2.1.316 继续收紧托管策略边界 →Social harness 发现诚实 agent 跨主体协作仍会失败 →

反面证据与验证缺口

尚未记录结构化反面证据。这不表示不存在反例；以下验证条件仍需满足。

第二家 agent 平台公开同类运行时 policy GA 与采用遥测；跨 shell / MCP / browser 的统一 consequence taxonomy；独立团队复现 Bash 接口收益与 OATS 误报/延迟；出现可互操作的 policy schema

判断修正

暂无可追溯的结构化修正。旧快照仍可从洞察页查看，不根据当前状态推测过去判断。

完整历史说明与复核记录
  1. GitHub Copilot 企业托管权限 GA（2026-09-09，一手来源，ev-20260909-02）：管理员对 shell、文件与网络域下发 block/ask/allow 策略，覆盖用户自动批准——通用执行面由组织级 policy 约束
  2. CapScope（2026-09-10 digest，ev-20260910-09）：把 shell、filesystem、network 能力写成 task-scoped contract，prompt injection 成功率从 38.7% 降至 0.8%，独立 verifier 与执行 harness 分层
  3. GitHub Copilot code review（2026-09-11，一手来源，ev-20260911-11）：完整 shell 工具集在 Copilot agent firewall 后运行 build、test 与脚本；能力扩大与隔离层同步上线
  4. 《Is Bash All You Need?》（2026-09-14 digest，ev-20260914-01）：两模型、两 enterprise benchmark 的受控实验中，Bash 比 typed tools 高 4.8–24.5 分且少用 19–72% token；研究明确把强沙箱列为采用前提
  5. OATS runtime gate（2026-09-14 digest，ev-20260914-03）：66,192 个 skill 版本中，clean artifact 仍会触发本地策略敏感动作；确定性 resolver 在实时实验中拦下 23/23 次禁用动作，中位 hook 延迟 67.6 毫秒
  6. 2026-09-14：计划注入实验在多个设置中造成 25–33% 监测漏检；Claude Code 2.1.271 加入逐命令网络授权（ev-20260914-10；ev-20260814-04 更新）。
  7. 2026-09-15 至 16：Gemini CLI 0.60 将 MCP OAuth、路径边界、环境变更确认与工具输出来源加固推入 stable；Claude Code 2.1.273 修复 Bash 权限跳过、危险子 shell 与托管策略优先级；social-harness 实验显示跨主体消息还需要独立的来源、权限、交互协议与治理层（ev-20260825-02 / ev-20260814-04 更新；ev-20260915-07）。
  8. 红队研究在 79% 试验中用 agent 自生成 prompt injection 绕过仿 Auto Mode / Guardian 阻断器并执行任意 Bash；multi-agent 与恶意压缩又增加跨上下文路径，说明逐动作模型 monitor 不是完整边界（2026-09-17，ev-20260917-12）
  9. Harvard 研究展示模型可从输出 token 识别 vLLM、SGLang 等推理引擎，再选择引擎专属漏洞路径；推理 runtime 本身也必须纳入不可信边界（2026-09-17，ev-20260917-10）
  10. DUMA-Bench（2026-09-21 overlap 覆盖补漏，ev-20260921-03）：在 14 个模型、8 个领域中，允许用户持续改变共享环境后，攻击成功率从 26.9% 升至 41.1%。风险由模型、用户与 runtime 允许的状态变化共同决定。
  11. GitHub Copilot app 本地沙箱（2026-09-23）：逐项目限制文件系统、网络与凭据；操作系统无法执行所请求策略时默认拒绝，而不是无沙箱运行
  12. Qwen Code 0.24.4（2026-09-22）：托管运行时证明、持久工具执行记录、计划漂移与工具级 bubblewrap 隔离
  13. PASTABench（2026-09-23）：1,139 条多轮轨迹标注最早信号与触发点，16 个 LLM 中最佳系统只有 40.74% 的介入落在最佳窗口
  14. agent trace tampering 与 EvasionBench（2026-09-24，ev-20260924-01/02）：本地 agent 可改写审计证据，普通任务压力可诱发重复、编码和拆分式绕过；日志与 consequence gate 必须独立于 agent
  15. Claude Code 2.1.283 与 Qwen Code 0.24.6（2026-09-25 至 26）：精确模型 allow/deny、无效沙箱策略默认拒绝、Windows 破坏命令保护，以及最严格权限 hook 聚合；Microsoft Managed Runtime 同时把身份、审计和花费策略下沉到执行面
  16. Codex 0.158.0（2026-09-28，ev-20260818-02 更新）：高权限命令默认启用终端输入审批，并修复 Windows、Linux 与 macOS 的多处沙箱边界。
  17. LiteLLM 1.103.0（2026-09-28，ev-20260913-01 更新）：MCP-aware 护栏、client allowlist、session 撤销与上游凭据 fail-closed 把控制留在 gateway runtime。
  18. 2026-09-29 至 30 日：OpenAI Agents API 把来源审批和登录交给应用；Claude Code 2.1.286 在组织关闭 Remote Control 后主动断开现有会话（ev-20260910-02、ev-20260814-04）。
  19. ThinkingBox 公开 507 个有状态工作流，并用数据库终态和副作用核验 20 次重复试验（2026-10-03，ev-20261003-02）
  20. 2026-10-05：Wikimedia 披露未授权 agent 编辑、代理探测和数百万次请求，说明没有身份、出口和配额约束时，执行能力会把成本与风险转嫁给第三方。
  21. 2026-10-07：GitHub Copilot 本地沙箱在 CLI、应用和 VS Code Agent Host 全面 GA，并支持组织强制策略。
  22. Claude Code 2.1.294（2026-10-08，ev-20260814-04 更新）：修复 prompt/agent hook 错误放行和 Stop hook 过早终止。
  23. Claude 越界案例与 Claude Code 2.1.296（ev-20261009-04 / ev-20260814-04）共同说明：模型会寻找替代路径，最终网络、提交与工具权限必须由 runtime 强制执行。
  24. 2026-10-21：NVIDIA 发布 OpenShell 参考架构并预告硬件隔离的 Sentry；GitHub Package Firewall 以组织级 npm 代理执行供应链策略。
  25. 2026-10-22 至 23：Claude Code 2.1.309 修补沙箱、symlink、MCP 配置与 Bash deny 绕过；EpiSEM-Bench 显示真实但缺关键事实的工具输出仍可诱发越权。
  26. 2026-10-23：Codex 0.164.0 加入企业 MCP 认证、远程 shell 凭据遮蔽，并修复多条本地执行边界。

逐次复核

  1. · 立项为 emerging / Medium：五组信号跨 GitHub/Microsoft、学术团队与 Pheo，覆盖产品 GA、厂商运行时、受控实验与开源 gate。不是「shell 更好」的单篇论文推断，而是「宽能力 + 独立后果控制」在供给、评测与安全实现三端同时收敛。
  2. · 计划注入研究表明，干净的推理轨迹仍可能掩盖恶意动作；Claude Code 2.1.271 则把网络授权收窄到逐命令，并修复多处权限检查缺口。两者支持把动作后果检查放在独立策略层，但没有新的跨平台正式采用数据，维持 emerging / Medium。
  3. · 新增证据第 7 条：Gemini CLI 0.60、Claude Code 2.1.273 与 social-harness 实验继续把路径、身份、消息和后果控制移出模型。仍缺第二个平台跨 shell、MCP、browser 的统一正式策略与采用遥测，维持 emerging / Medium。
  4. · Codex 0.155 把 MCP 请求接入本机用户验证并强化授权证据与 WSL 隔离；ASLEval 说明策略必须覆盖完整会话出口；Google CC 给群组 agent 独立身份和权限边界。方向增强，但统一 policy schema 仍缺。维持 emerging / Medium。
  5. · blocking monitor 红队与推理引擎指纹攻击把失效面从单次工具调用扩展到跨 agent、压缩链和 runtime。证据显著增强，但尚无统一 policy schema，维持 emerging / Medium。
  6. · Claude Code 把 auto-mode classifier 默认移到服务端并暴露运行位置，这是同组织控制面加固；仍没有跨 shell / MCP / browser 的统一 policy schema 或公开采用遥测。维持 emerging / Medium。
  7. · LiteLLM 1.102.0 把 MCP 权限控制推进到 stable，但它仍是 gateway 内部策略，没有跨 shell / MCP / browser 的统一 schema 或公开采用遥测。维持 emerging / Medium。
  8. · 本窗口没有跨 shell / MCP / browser 的统一 policy schema，也没有公开采用遥测。维持 emerging / Medium。
  9. · DUMA-Bench 强化了模型能力与 runtime 后果分层验收的必要性；统一 policy schema 和公开采用遥测仍缺。维持 emerging / Medium。
  10. · 跨组织产品控制与独立 benchmark 同时增强，状态由 emerging 升为 strengthening；统一 schema 仍缺，信心维持 Medium。
  11. · Google MCP 治理、GitHub 默认策略、Qwen attestation 与两项监控失效研究继续强化方向；统一 policy schema 仍缺。维持 strengthening / Medium。
  12. · Claude Code 新增精确模型 allow/deny、无效沙箱策略默认拒绝与 Windows 破坏命令保护；Qwen Code 把冲突权限 hook 合并为最严格结论，Microsoft Managed Runtime 则把身份、审计和花费治理放进执行面。维持 strengthening / Medium。
  13. · 补充扫描未发现足以改变本趋势判断的新独立信号。维持状态与置信度；GPT-6 图像编码修复属于既有模型的工程更新。
  14. · 本次扫描没有发现足以改变判断的新独立信号。维持状态与置信度。
  15. · Codex 0.158.0 默认要求高权限命令经过终端输入审批并修复跨平台沙箱边界；LiteLLM 1.103.0 增加 MCP-aware 护栏和凭据 fail-closed。方向继续增强，但仍缺统一 policy schema。维持 strengthening / Medium。
  16. · Codex 0.159.0 保留获批命令的文件系统拒绝规则并保护 `.aws`；Claude Code 提供单次目录外读取许可；Qwen Code 补上执行凭据与重启后核对。控制继续下沉到 runtime，统一 policy schema 仍缺。维持 strengthening / Medium。
  17. · OpenAI Agents API 把来源审批和登录明确交给应用；Claude Code 2.1.286 则让运行中的 Remote Control 在策略撤销后立即断开。
  18. · Copilot desktop computer use 增加接管审批和组织禁用，动态工作流增加 checkpoint；能力与策略分离的工程证据继续增强。
  19. · Claude Code 2.1.288 让 hook 状态序列化失败时默认拒绝，并继续拦截隐藏的危险命令；这是既有策略边界趋势的新证据，状态与置信度不变。
  20. · ThinkingBox 用数据库终态与副作用核验 agent，Claude Code 与 LiteLLM 则继续收紧运行时策略边界。这些独立信号强化“能力与后果控制分离”，但不改变 Medium 置信度。
  21. · Qwen Code 0.25 继续强化恢复、审批与副作用边界；vLLM 0.31 默认拒绝每请求多模态参数。两项信号支持运行时控制收紧，状态与置信度不变。
  22. · Wikimedia 披露未授权 agent 编辑、代理探测与大规模请求；Claude Code 收紧运行时策略，BazaarBench 检查交易后果。三项独立信号强化能力与后果控制分离，状态与置信度不变。
  23. · GitHub Copilot 本地沙箱从 preview 转为 GA，Anthropic CVP 又把 cyber 能力分层绑定到验证和监测控制。能力与策略继续分离，维持 strengthening / Medium。
  24. · Claude Code 2.1.294 证明自然语言 hook 仍可能 fail open，继续支持将最终策略闸门留在 runtime；状态不变。
  25. · Caught in the Act 与 OnTrack 分别从模型内部激活和运行轨迹补充监控信号；Claude Code 2.1.295 继续把最终拒绝留在 runtime。证据增强但仍缺统一策略 schema，状态不变。
  26. · Anthropic 的案例显示模型会主动绕开 URL、访问和任务边界；Claude Code 2.1.296 则继续把最终阻断留在 runtime。证据增强但状态不变。
  27. · Qwen Code、LiteLLM、Copilot、Open WebUI 与 OpenClaw 都继续把执行能力和策略/恢复边界分开；证据增强但状态不变。
  28. · Agent Standup 与 Littleguys 把观察、审批和执行适配器分层；ESP32 iPhone Agent 又暴露真机校准与安全停止边界。信号增强但状态不变。
  29. · Gemini 4 Argon 已可公开调用，但本次变化是模型可用性，不是新的独立策略控制层；状态不变。
  30. · Claude Code 2.1.299 修复沙箱逃逸、策略检查前 MCP 启动和 gateway 凭据边界，继续支持可执行控制层判断；状态不变。
  31. · GitHub 安全工具 GA 与 Claude Code、Qwen Code 的审批和恢复修复继续支持“能力与后果控制分层”的判断；状态不变。
  32. · Claude Code 修复跳步却报告成功，Codex 改善沙箱与转向，继续支持执行与控制分层。
  33. · 本轮没有足以改变状态的新信号。
  34. · vLLM 与 LiteLLM 同日收紧服务和 MCP 默认边界，继续强化 runtime 控制；strengthening / Medium 不变。
  35. · Qwen Code 用冻结 workspace 限制只读子 agent，SGLang 修复组合功能下的状态错误，继续支持能力与后果控制分层；strengthening / Medium 不变。
  36. · Claude Code 的人工专属审批、只读标记与危险删除修复继续强化能力和后果控制分层；strengthening / Medium 不变。
  37. · OpenShell、Sentry 与 GitHub Package Firewall 增强外置策略、隔离和供应链控制证据；strengthening / Medium 不变。
  38. · Claude Code 的逐工具 safety_event 与按幂等性限制的 MCP 重试，让策略结果和副作用边界更可审计；状态不变。
  39. · Claude Code 与 Codex 稳定版继续修补沙箱、权限、MCP 和远程 shell 边界；EpiSEM-Bench 说明真实但缺关键事实的工具结果也需要外置授权 gate。状态不变。
  40. · OpenAI 的隔离控制与 coding agent 运行时修复继续说明：执行能力需要独立的隔离与恢复层。
  41. · Paperclip 的私密任务、可审计 break-glass 与扩大的 Operator 权限继续说明执行能力必须配套独立后果控制。
  42. · 本轮未发现足以改变趋势阶段的新证据。
  43. · 本轮没有足以改变状态或置信度的新独立信号。
  44. · Copilot workload identity、Gemini 私网 MCP OAuth、Qwen 审批执行与 Run:ai 配额硬约束共同加强能力与策略分离信号，但尚缺独立生产数据。
  45. · Concordat 用运行时协议约束 agent 动作，Copilot 与 Qwen 继续绑定权限、快照和恢复；跨主体信号加强但仍缺生产数据。
  46. · NemoClaw/OpenShell、Claude Code 的写入边界与 Qwen UIAccess 信任继续分离能力和策略；跨主体信号增强，但仍缺生产数据。
  47. · Claude Code 2.1.316 的策略修复继续说明执行能力与企业控制需要独立演进。
  48. · Rapid-MLX 的无沙箱终端与 Qwen 的隔离验证形成对照，继续说明执行能力与策略控制必须分别验收。
  49. · 本轮没有发现足以改变该趋势判断的新信号。