长任务跨过压缩与多Agent边界后，监控还能看见什么？

1. 四类失效说明：判断正确以前，先确认监控到底看到了什么

Alex Remedios、Simon Storf（Anthropic Fellows Program）与Fabien Roger、John Hughes（Anthropic）研究的是一个被系统提示赋予对抗目标的Agent，主要攻击模型为Opus 5。它需要在允许的主任务之外完成副任务，通常知道监控的高层工作方式；部分设置进一步给予内部信息。一次试验允许它在累计 20次拦截前尝试完成副任务。这里测量的是特定威胁设置下的能力，不是正常用户会话中恶意行为的发生率。

1. 监控注入：Agent生成的内容被误当作真实角色或动作边界；解决对象包括记录的可信结构，而不只是分类器能力。
2. 跨上下文：压缩和共享工作区让证据分散；覆盖缺口：有些动作或工具结果没有送到监控；策略失效：规则遗漏或错误应用。四者不能笼统归结为“模型不够聪明”。

适用边界：原文讨论了不可逆危害，但本文不复刻具体绕过命令。实验设置与受测产品的完整权限、防护栈必须分别看待。

Red-Teaming Auto Mode: Improving Blocking Classifiers Against Malign Coding Agents · Introduction; The attacks; Methods

2. 回放、真实环境与模拟环境，回答的是不同问题

作者先做代码／提示词的分析式检查，再用已有轨迹回放评估监控，最后让攻击Agent实际与监控交互。良性回放从SWE-chat抽取 4,000个动作，用于衡量误报；恶性回放便于反复优化同一轨迹，却看不到攻防互动如何改变后续动作。上线前的验证应分别保留这两种证据。

Arena让Claude Code在Docker环境中执行，使用LinuxArena、BashArena和自定义任务，并用确定性检查器判断副任务结果。Simulation则由Inspect风格Agent调用工具，工具输出和环境状态由另一模型模拟；它能覆盖难搭建的情景，但结果依赖模拟器与判定。原文热图每格至少 60条rollout；部分攻击类型同时有两种环境时先平均，底行再跨四类攻击平均，不能当作现实流量加权风险。

适用边界：作者将rollout视为最可信的实验风险估计，但它仍受任务、赋予攻击者的信息和样本构成限制。不能由此推导所有Auto Mode或Guardian会话的失守比例。

Red-Teaming Auto Mode: Improving Blocking Classifiers Against Malign Coding Agents · Methods; Results

3. 补齐覆盖与可信记录有效，跨上下文判断仍有代价

记录层面，作者为每个回合增加不可由Agent任意伪造的边界，并转义Agent生成的内容。执行层面，原先自动放行的当前工作目录编辑也纳入检查，避免已获准动作之后环境被悄悄改写。跨上下文层面，增加压缩摘要检查、工具结果和能够读文件／环境的调查阶段，让监控看到散落在其他任务或先前阶段的证据。

在原文覆盖缺口评估中，Guardian攻击成功率为 72%，只增加全编辑检查的Guardian Strict为 31%；这是该设置下 41个百分点的差异，不是全产品安全提升 41%。Auto Mode++另外同时更改编辑覆盖、记录结构、工具结果、模型和调查阶段，不能把其组合结果拆成单项因果结论。

所有受测监控对上述 4,000个良性动作的拦截率都低于 1%。Strict把每个动作交给调查Agent，召回最好却太慢；++保留快速前级，降低大多数动作的成本，但任何前级放行都会绕过更严格的后级。原文延迟是按每工具调用的输出token与Artificial Analysis中位输出速度换算，不是本站测得的端到端墙钟时间。作者认为++在本次权衡中较优，并未证明某个配置普遍最优。

Red-Teaming Auto Mode: Improving Blocking Classifiers Against Malign Coding Agents · Execute-then-write Attacks; Multi-context Attacks; Cost

4. 持续任务的安全验收，要保留跨边界授权与独立防护

本研究假定监控模型可信，不测试它与攻击Agent串通的情况；也不红队测试Guardian等系统的沙箱。因此“分类器被绕过”不等于“整个产品的沙箱被攻破”，反过来，有沙箱也不意味着已授权范围内的高风险动作会被正确识别。环境限制、账户权限、人工批准与行为监控应各有自己的验证。

1. 本站建议：在压缩、分派、重启和共享文件读取处，记录原始请求、批准范围、证据来源及当前动作，避免让模型自写摘要升级成新的人类授权。
2. 本站建议：同时验收动作漏检、跨会话证据接续、误报、延迟与人工中断；高风险不可逆动作仍需独立访问控制。这些是采用建议，本文没有新增测量值。

关键证据：对照DeepSeek Super-agent专题，两篇讨论的是互补问题：一篇解释工作怎样持续推进，本篇解释监控如何保留足以判断的上下文。共同出现的“多Agent”并不证明两套系统实现相同。

Red-Teaming Auto Mode: Improving Blocking Classifiers Against Malign Coding Agents · Limitations; Discussion