该论文针对 Agent Skills 生态中依赖闭包与授权绑定问题提出 ClosureBound 参考监视器。Agent Skills 将指令、文件、包、工具、模型和服务组合成一个混合执行单元，其操作身份可能超出原始签名目录，导致传统基于根目录签名的验证存在盲区。具体而言，递归或惰性依赖可在根级证据仍然有效的情况下悄然变化，不同操作路径可能导向相同持续效果，从而造成授权转移与效果放大的风险。ClosureBound 通过两级机制解决该问题：一是在授权时由解析器提交类型化的图节点与拓扑，明确闭包根、效果上限、目的/出处、有效期及时期；二是在持久化执行时重新解析闭包与状态，将高层操作规范化为外部效果中间表示（IR），并仅在联合见证满足所有已绑定约束时予以许可。论文在假设完全中介、新鲜性认证、健全规范化、密码学绑定和权威线性化的前提下，形式化证明了元数据非权威性、闭包确定性、版本非继承性、效果非放大性、绑定值新鲜性和路径不变性等安全属性。实验部分实现了一个无提供商依赖的 ClosureBound，并通过 40 个冻结生命周期夹具、18 个内核契约和六个突变体测试进行验证；全轮廓探索覆盖 84,608 个状态和 530,752 个转换，未发现声明的合约违反；六个弱化轮廓则产生反例见证。此外，对 549 个公共 Agent Skills（共 4,872 个文件）的词汇审计显示，526 个含捆绑文件的技能根中仅 21 个逐字列举了全部非清单路径，67 个技能包含指向根目录之外的链接，且无一个根声明 frontmatter 依赖字段。这些经验证据凸显了保守闭包发现与持续治理的必要性，并为后续运行时监控、互操作性、效能及生产级验证设定了具体目标。

该论文研究使用大语言模型（LLM）从规范自动生成系统代码的安全问题。近期许多工作将规范视为持久工件，实现代码作为一次性产物，可随工作负载和设备变化而再生成；其隐含前提是运行环境宽容：组件的外部可见效果（如设备写入、命令）可恢复，生成器是诚实的，因此可以通过重复执行进行验证。然而作者面向的是更严酷的现实场景：系统代码产生的效果往往不可逆，且生成器可能是对抗性的。在此情况下，事后重放或执行验证无法及时检查效果；形式化证明也因假设不匹配而静默失效。论文由此提出核心原则：必须彻底否认生成代码的“行动权”——生成的代码只能规划，而将所有效果的执行权交给一个固定且可信的中介（mediator）。中介决定何时执行某个效果，并仅在规范确实会产生该效果时才放行。由于安全保证内建于中介而非生成代码中，即使代码被再生成，安全性质也能持久存续。为验证该思想，作者将其实现为面向再生成设备驱动程序的参考监视器，并进一步抽象出“可中介性包络”的概念，归纳了六个条件：效果可读性、规范输入可观测性、相关性、完备性、结果可枚举性和显式持久性。这些条件统一刻画了在何种情况下可以有效实现中介化与安全管控，为设计面向不可信生成器的系统代码提供了一套可操作的判定标准与架构范式。本文属于概念性安全研究，尚缺充分的实验评估，但对意图在高风险、不可逆副作用环境中引入LLM代码生成的团队提供了深刻的安全设计参考，特别适用于设备驱动、固件等关键模块。

该研究针对 LLM 代理在指令仲裁中的安全边界问题。LLM 代理需要同时处理系统提示、用户输入、记忆和工具等来源的指令，但研究发现模型对指令来源的仲裁不能保证强制信任边界，存在一种'识别-执行差距'：模型激活中可以线性解码出源格式特征（如角色模板位置、通道元数据、格式提示），并且模型在被明确提示时能够识别伪造的权威来源，但在某些配置下仍然会执行冲突的工具调用。通过交叉探针实验证明，这种识别能力并非统一的抽象信任表示，而是分散的特征。差距并非模型权重的固有属性：限制性策略和多样化提示可以消除执行问题，而宽松配置和特定提示-模型组合则会产生确定性失败。在涵盖 6 个供应商共 46 个模型端点（包括开放权重模型）的权威欺骗测试和 48 个模型的记忆冲突测试中，平均执行率为 1.21%（95% CI 0.5-2.1%，基于 29 个模型的 14,294 次欺骗试验），但漏洞集中在可复现的单元中，并随部署窗口显著波动（窗口内每个指纹范围最高达 47 个百分点）。提示层防御无法跨模型和自适应形式泛化。因此，该研究主张将模型自我仲裁视为能力而非安全边界，并提出一种外部参考监视器，结合认证源路由与能力门控工具执行，能够确定性拒绝所有测试的伪造、篡改、重放和未签名请求，同时保留合法操作。独立的对抗性红队测试仅发现一个实现缺陷（时钟偏差准入，已修补），并非密码学绕过。最终结论：安全代理需要外部强制机制，而非仅仅依赖更好的识别能力。