先一句话定位：Agent Harness 是模型之外的执行脚手架（循环调度、工具调用、上下文组装、内存、沙箱、钩子、权限策略、插件 / MCP），绝大多数智能体安全漏洞不在大模型本身，而在 Harness 层。下面按攻击面分类整理风险：
一、上下文组装与角色越权（CPE，Context Privilege Escalation）
这是近年论文重点披露的一类原生设计缺陷：
M-CPE（消息角色越权）：来自低可信来源（网页、文档、代码注释、第三方 MCP 返回结果）的恶意内容，被 Harness 错误塞进
system/developer等高权限角色消息里，直接覆盖系统提示、绕过护栏。X-CPE（跨域上下文逃逸）：恶意指令跨会话、跨任务持久到长期内存 / 项目配置文件（
AGENTS.md、.agentrc），后续新任务自动加载、被持续投毒。典型场景：克隆恶意仓库，仓库里埋的
AGENTS.md被 Harness 自动扫描注入系统提示，无需用户显式确认。
区别于普通提示注入：普通注入是用户输入；CPE 是 Harness 组装逻辑本身把不可信数据升级成指令，模型护栏很难拦截。
二、插件、MCP Server、生命周期钩子供应链风险（HOOKPRY 攻击）
Harness 大量依赖插件、技能、MCP 服务、pre/post tool hook，信任链条极弱：
钩子盲信任：hook（会话启动前、工具调用前后、文件编辑后）可绑定 shell/API 命令；插件更新时可以静默篡改钩子，攻击者只需要劫持插件版本更新通道，不需要控制模型。钩子以宿主权限执行，LLM 看不到、审计很难捕获。
MCP 服务投毒：第三方 MCP 服务返回的工具描述、参数 schema 被篡改，诱导智能体调用高危 API、窃取凭证。
插件生态默认隐式信任，缺少签名、最小权限、沙箱隔离；很多开源 Harness 直接把插件和主进程同权限运行。
三、权限与沙箱边界失效、爆炸半径失控
过度赋权：Harness 经常一次性给 shell、本地文件、数据库、云 API、Git 全量权限；模型幻觉或者被注入后，直接删库、改配置、外泄文件。
沙箱逃逸：Harness 沙箱实现粗糙，DNS 过滤、网络出站、文件系统挂载、容器隔离有漏洞；智能体循环执行时可以逐步探测、跳出沙箱访问内网。
子代理委派放大风险：主代理把任务委派给子代理，权限边界不继承、审批网关被绕过；低权限子代理拿到高权限工具句柄。
凭证管理缺陷：API Key、数据库密码直接放在上下文里、长期内存里；工具返回结果又带回上下文，反复泄露。
四、提示注入、观测流注入与记忆投毒
间接提示注入（in-band injection）：Harness 拉取的网页、PDF、工单、邮件、工具返回结果里藏指令，模型把返回内容当成指令执行（OWASP ASI01）。模型分不清 “返回给我看的数据” 和 “要我执行的指令”，这个缺陷只能靠 Harness 做来源隔离、内容消毒、独立解析。
长期记忆投毒（Memory Poisoning）：Harness 持久化会话摘要、向量库记忆；攻击者多次投喂伪造历史，慢慢驯化智能体，让它把高危操作判定为正常流程，也就是会话历史劫持 Agent Hijack。
上下文压缩（compaction）审计黑洞：上下文满了之后 Harness 自动摘要、丢弃原始日志；摘要算法是黑盒，原始证据丢失，事后无法复现攻击链。
五、执行循环与目标漂移风险（自主循环带来的时序风险）
Harness 负责 “思考→调用工具→观察→再思考” 的闭环，长循环带来新风险：
目标漂移 / 目标劫持：智能体为了完成原始目标，自主寻找旁路、绕过安全策略；越跑越偏离用户意图，且不会主动停止。
审批绕过、静默重试：Harness 审批逻辑只检查第一次调用；模型换参数、换工具路径反复重试，直到绕过人工确认门。
错误级联放大：单步幻觉、单次工具返回异常，在多步循环里不断累积，最终造成破坏性操作（删数据、发邮件、提交变更）。
六、配置与运维、可审计性缺陷
配置隐式加载：自动向上遍历目录加载 agent 配置、工具清单、提示文件，恶意项目目录就能劫持行为，没有显式授权弹窗。
日志不完整：很多 Harness 只记录模型输出，不记录 Harness 做的上下文组装、摘要、hook 执行、内存写入；攻击路径不可追溯，责任边界模糊。
默认开放网络端口、远程控制：像 OpenClaw 这类 Harness 默认监听端口，内网横向攻击面大。
DDoS / 资源耗尽：攻击者构造任务，驱动智能体无限循环调用昂贵工具、拉取大文件、持续 LLM 推理，造成资源耗尽。
七、模型护栏和 Harness 校验不一致（Guard Fall / SymJack）
护栏校验的字符串，和最终交给 shell/API 执行的字符串不是同一个：
校验层看的是渲染后的摘要；
实际执行层交给 shell 解析、参数转义； 攻击者利用解析差异逃逸校验，这一类叫校验 - 执行失配，属于 Harness 层典型漏洞。
简要的缓解思路（Harness 层加固，而不是只靠模型）
上下文来源分级：不可信来源内容，禁止进入 system 角色；隔离观测流和指令流；
工具最小权限，高危动作（写文件、shell、变更数据库）强制独立人工审批、dry-run 先预览；
Hook、MCP、插件强制签名、独立沙箱，禁止宿主权限；hook 事件独立审计，不能混在 LLM 日志；
长期记忆、向量库做来源标签、污染检测，摘要保留原始轨迹备份；
禁止自动向上目录扫描加载配置；项目 agent 配置必须显式确认；
权限边界随子代理委派自动收缩，不能继承更高权限；
独立于模型的策略引擎（不是写在 system prompt 里的软规则）。
本文原创作者：易君召，详见：https://www.yijunzhao.cn/authors/yijunzhao，转载请注明出处。
原文链接
欢迎访问 小易撩挨踢