论文聚焦 AI 编码代理 harness（Claude Code、Codex CLI、Cursor 等）的一个未被充分检验的安全假设：人类批准的动作 A，与 harness 实际执行的动作 A' 是同一个动作，其中 A 由作用域授权或会话级批准所声明的策略固定。作者指出该假设会系统性且可复现地失效，并提出 "Approval Laundering"（审批洗白）这一分类学，将失效归纳为六类：Scope（作用域漂移）、Argument（参数替换）、Temporal（时序/会话身份错配）、Tool（工具替换）、Delegation（委派给子代理或下游执行体）、Semantic（语义层改写）。与既有工作（用静态语料评测风险分类器、推断隐式授权边界）不同，本文研究的是"凭据绑定完整性"：给定一个已被批准的动作，harness 是否精确派发该动作。方法上，作者在 Claude Code 的执行前中介点 PreToolUse 处插桩，开展受控、无头（headless）、重复测量实验，对六类失败各做 N=19–20 次运行，报告 Bound-Gap Rate（BGR）及其 Wilson 置信区间，评分者间一致性 kappa=1.0。随后作者原型化 Approval Token：由中介签发的带密钥能力令牌 Hk(principal, agent_id, session_id, tool, arguments, scope, expiry)，且密钥永不返回给代理本身；通过 118 次运行的配对前后回放并采用 McNemar 精确检验评估效果。结果显示：该令牌完全消除 Delegation 类洗白；对作者构造的会话身份错配场景可消除 Temporal 类洗白（p<10^-5）；但按设计对 Scope 类无效，且对 Argument 类没有显著降低（p=1）——这是一个诚实的负结果，原因是这两类的偏差不会改变任何被记录的派发字段，错位发生在比"仅校验字段"的验证器所能观测的层级更低一层。论文最后讨论了只在工具调用边界做绑定校验的防御方案的固有局限。

该论文系统化整理了2023-2026年间关于AI编码代理执行安全性的39篇论文，将其分为17个类别，并直接验证了每个类别与原始来源的一致性。研究背景是AI编码代理可以读取仓库、调用工具和执行shell命令，但缺乏足够的人类监督，因此其执行层的安全性成为关键问题。现有文献分散在不同子领域（如沙箱隔离、能力与访问控制、策略执行、TOCTOU竞争、MCP威胁、身份委托、执行溯源、网络出口控制和代理生成代码的静态分析），彼此很少互相引用。论文通过系统化梳理，发现了五个跨领域的缺口：（1）隔离架构和能力模型几乎从未在共享基准上相互评估；（2）策略执行研究报告的真实拒绝列表失败率高达69%-98%，但没有隔离论文在该对抗设置下重新评估自身的防御；（3）TOCTOU和MCP威胁被视为独立的文献，尽管它们都是同一个状态验证问题的实例；（4）所有执行机制假设策略作者诚实，未解决策略编写错误本身；（5）在真实提示下，良性但超出范围的代理动作发生率高达17.1%，但没有任何访问控制或能力论文处理此问题。此外，论文还确认了四个直接影响生产代理框架的已披露并修补的CVE。最后，论文针对这五个缺口提出了未来的研究议程。该论文适合AI安全研究人员、系统安全工程师以及开发AI编码代理平台的团队阅读。