该论文关注长周期自主编码智能体（coding agent）在安全授权方面的结构性缺陷。当前主流智能体（如 Claude、Codex）具备长时程自主执行、依赖通用 shell、并维护持久化记忆以自我改进等能力，这些能力在提升生产力的同时也扩大了外部攻击者的可利用面。现有防御思路大致分为两类：一类是改造架构本身，例如强制类型化工具接口、信息流控制（IFC）或策略预测引擎，但这类方案往往牺牲过多功能，实际落地困难；另一类是当前部署中常见的用户中介沙箱与自动模式（auto mode）沙箱组合。作者指出这两类手段各有硬伤：用户中介沙箱依赖人工维护策略，策略会随时间衰减，且频繁弹出的权限请求会造成用户疲劳，最终用户倾向于盲目放行；自动模式下的工具调用分类器并不学习任何用户特定策略，其设计目标也不是对抗有敌意的攻击场景。为此论文提出 Pincer——一种工作在资源层、可与工具调用层现有防御（如自动模式）协同叠加的新型防御机制。Pincer 的核心是一个“数字孪生”（digital twin）：一个处于隔离上下文中的模型，能够自动学习并强制执行动态的、用户个性化的最小权限策略。数字孪生持续学习用户偏好，从而在智能体发起权限请求时充当用户代理进行裁决，避免用户疲劳与策略衰减。为模拟学习阶段，作者构建了一个以用户为中心的新数据集，样本遵循多日（multi-day）用户—智能体交互记录的真实形态。评估显示，Pincer 在安全性与实用性两方面均显著优于多个基线，基线包括多种 LLM 裁判（LLM judge）变体以及对 Conseca（HotOS '25）的适配版本；论文特别指出了若干攻击类型，在这些攻击上 Pincer 的设计带来相比所有其他基线都显著的安全提升，并且在其他攻击类型上也保持领先。适合智能体安全、LLM 权限治理、沙箱与最小权限策略方向的研究者与工程团队阅读。

该论文针对 LLM 智能体在执行复杂任务时不断修改文件、调用本地工具并与远程服务交互，从而在本地环境与远程服务两侧产生大量状态变更的问题。当前智能体框架缺少统一抽象，用户与智能体只能显式管理这些变更，无论是回退探索性操作还是从错误动作中恢复，都难以保证本地与远程状态的一致性与效率。为此，作者提出 Planarian：一个带状态管理能力的智能体运行时，核心抽象是 agent statepoint（智能体状态点），即环境状态在某一时刻的一致、可恢复版本。Planarian 向智能体与用户暴露三种原语：snapshot 在不需要外部服务支持检查点的前提下，跨越本地与远程状态创建新状态点——通过高效的增量进程与文件系统快照捕获本地沙箱状态，并以透明方式记录补偿动作以撤销远程状态变更；rollback 通过回退到先前的本地检查点并重放针对远程状态变更的补偿动作，把环境恢复到早先的状态点；fork 则从某一状态点派生出多个相互隔离的分支，使智能体能够并行探索不同执行路径。实验表明，Planarian 能让智能体撤销错误并并行探索备选方案，将任务质量提升最多 15 倍，同时用户从错误动作中恢复只需约 3% 的额外开销。

本文提出并实现了 RegexNet，一个面向 Web 服务的、基于请求负载的自动化响应式 ReDoS（正则表达式拒绝服务）恢复系统。ReDoS 攻击利用正则表达式匹配在最坏情况下呈超线性时间复杂度的特性，通过精心构造的输入使服务陷入长时间计算，从而耗尽 CPU 资源，是近年来新兴的一类 DoS 攻击。对于遭受 ReDoS 攻击的 Web 服务，尤其是利用未知漏洞（零日 ReDoS）的攻击，如何快速恢复正常运行是一个极具挑战性的问题。RegexNet 的核心思想是在运行时持续学习一个分类模型，该模型通过反馈循环不断更新，用于判断即将到来的请求负载（包括请求内容和数据库查询响应）是否可能触发 ReDoS。一旦检测到可能导致 ReDoS 的请求，RegexNet 会将这些请求迁移到沙箱中隔离执行，作为首要的快速恢复措施，从而保护主服务免受影响。作者实现了 RegexNet 原型，并将其与 HAProxy 和 Node.js 集成。实验评估表明，RegexNet 能够有效恢复 Web 服务在遭受零日 ReDoS 攻击时的性能，其响应时间在分钟级以内，并且对不同类型的 ReDoS 攻击具有鲁棒性，包括那些刻意设计用于规避 RegexNet 的自适应攻击。该系统的创新之处在于它不依赖已知漏洞特征，而是基于运行时行为学习请求的恶意概率，从而能够应对未知的 ReDoS 变种。本文的研究对 Web 安全防御者具有重要参考价值，提供了一种在攻击发生过程中动态恢复服务的实用思路。适合 Web 安全研究人员、站点可靠性工程师（SRE）以及负责 DoS 防护的安全运维人员阅读。

本文聚焦于JavaScript驱动的触发-动作平台（TAPs）的安全问题。TAPs（如IFTTT、Zapier和开源替代Node-RED）允许用户定义跨设备和服务的自动化规则（例如“如果检测到运动，则发送邮件”），但第三方应用（通常以JavaScript形式部署）可引入严重的安全与隐私风险。作者首先对主流TAP进行安全分析，发现IFTTT、Zapier和Node-RED均存在可被利用的漏洞，包括从用户处窃取数据乃至完全接管平台。他们向相关平台报告了问题，并针对Node-RED进行了实证研究以评估影响。为在保持灵活性的同时增强安全性，作者提出了SandTrap——一种新颖的JavaScript监控器。SandTrap结合Node.js的vm模块与基于全结构代理的双向膜（two-sided membranes），实现细粒度的访问控制策略。它还包含策略自动生成机制，辅助开发者配置。作者将SandTrap实例化应用于IFTTT、Zapier和Node-RED，并通过一组基准测试证明其能强制执行多种策略，且运行时开销在可接受范围内。该工作的核心贡献在于提供了一种安全、灵活的方式来集成第三方JavaScript应用，而非依赖平台本身的信任假设。