本文针对真实世界高知名度 AI Agent 系统（如 Claude Code、Codex）的上下文组装（context assembly）设计进行了首次系统性安全分析。研究背景是：现代 AI Agent 依赖专有或不透明的机制将来自多源的信息组装为模型的上下文，但这一过程的安全风险长期缺乏深入理解。作者重点探究了 Agent harness（代理框架）如何从不同来源收集和组装上下文，并由此发现了由设计缺陷引发的实际攻击向量。论文提出两类新型攻击：一类是 MessageRole 上下文权限提升攻击（M-CPE），即当攻击者控制的低权限上下文内容被错误合并到高权限消息角色（如系统消息、用户消息）时，可导致权限边界被突破；另一类是跨范围上下文权限提升攻击（X-CPE），即攻击者注入的恶意上下文会持久存在，超出其原本引入的作用域，从而影响后续任务或不同会话。作者对 12 个真实 Agent harness 进行了系统安全评估，覆盖主流商业和开源框架。实验结果表明，这些攻击可导致完全代理劫持（full agent compromise）、远程代码执行（RCE）、拒绝服务（DoS）以及工具或技能的恶意操纵与错误调用等严重后果。该研究首次系统化地揭示了 Agent 上下文组装环节的权限边界缺陷，为 LLM 生态的安全设计提供了重要参考。适合 AI 安全研究人员、Agent 框架开发者及安全运营人员阅读，以理解上下文权限隔离的必要性和潜在威胁面。