这篇论文（cs.SE）系统研究了编码智能体（coding agent）审批机制的覆盖盲区。问题起点是：审批界面把人类的批准决定绑定到某一条命令或某一个工具调用上，但开发者工具真正执行的是该调用所激活的整条传递性工作流。例如安装一个包可能触发依赖包的 lifecycle hook 并写入任意文件；一次 MCP 调用可能连带行使网络访问权限。结果形成一种持久化记录的覆盖失败：审计记录如实写下了入口调用的身份，却完整遗漏了该工作流实际行使的副作用。作者将这一现象命名为 "approval laundering"（审批洗白），并称这是对该 record-to-closure（记录到闭包）关系首次开展的系统性安全分析。方法上有三部分：其一，在六类副作用（effect classes）上形式化 "closure-bound approval"（闭包绑定审批），并推导出一条信息论上限——相同的策略可见字段在不同场景下可能要求彼此冲突的效应级决策，因此任何只依赖记录的策略都无法同时保证两者；其二，构建 Approval-to-Action Security Benchmark，把审批对象与决策时刻的元数据同执行后证据进行绑定与比对；其三，提出前瞻性的恢复方案，让效应绑定记录在授权之前就提交冻结的、有来源支撑的预测与溯源信息。实验上，111 组固定的审批对象/执行轨迹配对中，残留记录在仅用显式字段时为 40，引入命令语义后降至 17，引入决策时元数据后降至 13；在 11 次固定 SHA 的执行中，这一递进阶梯可把元数据残留降到零，且有两个精确映射在三个不同的产品前端重复出现，说明该缺陷具有普遍性而非单一实现问题。在 17 个预先指定的 holdout 工作流上，效应预测达到 0.926 的宏召回率与 0.941 的宏精确率，把预测绑定到授权后残留效应从 10 降到 3。作者还实现了一个 Claude Code PreToolUse 集成，将冻结记录沿权限路径往下传递，同时不会自动批准。结论是：即便调用身份完全真实，审批洗白仍是一种可度量、反复出现的记录覆盖失败，因此应在授权前把每次调用绑定到对其工作流传递效应边界的有来源预测，并让该绑定随决策一并保存。适合智能体平台开发者、SDK/IDE 工具链维护者、AI 安全研究者以及负责 AI 编码工具治理与审计的合规、SOC 团队阅读。