代码智能体的执行安全研究支离破碎——五大缺口暴露无遗

这是什么？

2026 年 7 月 7 日，一篇题为《The Balkanization of Execution-Security Research for AI Coding Agents》的知识系统化（SoK）预印本（arXiv:2607.05743，CC BY 4.0）指出：保护代码智能体真正运行所在层——沙箱、shell、文件系统、工具调用——的研究，已经分裂成一个个彼此脱节、极少相互引用的子领域。

代码智能体的安全性，取决于它所运行的环境。一个能读取仓库、执行 shell 命令并调用工具的模型，会继承其周边边界的每一处弱点。该论文回顾了 2023 至 2026 年间发表的 39 项研究，逐一直接对照原文核实，并归入 17 个类别：沙箱隔离、能力与访问控制、策略执行、TOCTOU（检查时刻到使用时刻）竞态、模型上下文协议（MCP）威胁、身份委托、执行溯源、出站流量控制，以及对智能体生成代码的静态分析。这是一张领域地图，而非漏洞利用。

工作原理

核心观察是结构性的。研究成果按其所提出的机制分组——一支团队交付沙箱，另一支交付能力系统，再一支交付策略引擎——而这种分组悄然割裂了本应处理同一底层问题的工作。作者依据根因与流水线阶段，对 17 个类别两两打分，若干相似度最高的分值恰恰落在从不相互引用的类别之间。

为证明问题并非纸上谈兵，该系统化综述对照 NIST 国家漏洞库（NVD）直接核实了四个已披露并已修复的漏洞。第一个是容器运行时 runc 的文件描述符泄漏漏洞，即所谓「Leaky Vessels」：它早于智能体工具链，却揭示了任何构建在相同原语之上的沙箱都会继承的逃逸类别。第二个是某广泛使用的代码助手中的命令注入缺陷，已在 2026 年的某个版本中修复。后两个影响一款流行的终端代码智能体：一个是代码注入缺陷，在用户接受启动信任对话框之前，不可信的项目代码即可执行；另一个是数据外泄缺陷，恶意仓库可在信任决定生效之前泄露数据——包括 API 密钥。二者都取决于同一个脆弱时刻：打开不可信仓库与信任决定真正生效之间的时间窗口。这是典型的「先检查、后执行」竞态，正是 TOCTOU 类别所研究的对象。

为什么重要

论文的贡献在于指出了五个横切缺口，没有任何单项研究能弥补，而每一个都对部署智能体者具有直接的操作意义。

其一，隔离架构与能力模型各自都是面对攻击者进行评估，却几乎从不彼此对照、在同一基准上比较——因此无人能断言「沙箱加能力系统」是否强于二者之一单独使用。其二，策略执行研究报告称，真实的命令拒绝清单在 69% 至 98% 的对抗输入上失效，但没有任何一篇隔离论文在该失效率下重新评估自身的防御。其三，TOCTOU 竞态与 MCP 威胁被当作彼此独立的文献处理，尽管二者都是同一状态校验问题的实例。其四，所评审的每一种执行机制都假定存在一个诚实的策略作者——从而对防御者自身的错误配置毫无着墨。其五，一个新测得的失效模式：良性但越界的智能体行为，同一智能体在同一任务上，仅因提示措辞不同，采取未经请求行为的比例从 0.0% 到 17.1% 不等。回答「此行为是否被允许？」的权限，并不回答「智能体究竟该不该做？」——而语料库中没有任何一篇访问控制论文哪怕引用过这项测量。

防御

由于这是一张地图而非一次攻击，其实用要义在于如何审视你自己的智能体部署，而非某个需要拦截的载荷。

• 叠加隔离与访问控制，并测试其组合。 不要孤立地依赖沙箱或能力模型；研究表明二者从未彼此对照评估，因此应假定接缝处存在缺口，并端到端地验证整个栈。
• 假定你的拒绝清单会漏。 命令允许与拒绝清单在绝大多数对抗输入上都会失效。将其视为众多层次之一，置于真正的隔离与最小权限之后，而绝不能当作边界本身。
• 堵住信任决定的竞态。 已确认的真实缺陷都存在于「打开不可信内容」与「信任决定生效」之间的窗口内。在信任检查完全生效之前，切勿执行项目代码、加载仓库配置或采信工具描述。
• 将 TOCTOU 与 MCP 视为同一问题。 二者都是状态校验失效：应在行为发生的那一刻校验状态，而非在一个较早的、可能被后续行为超越的检查处。
• 审计策略作者，而不只是智能体。 每一执行层都假定自身配置正确。请审查由谁、以何种方式编写智能体策略，因为错误配置是一个未被建模却非常真实的失效模式。
• 约束范围，而不仅是权限。 越界行为随措辞大幅波动。应增加检查，判断一项已授权的能力是否被用于未经请求的目的，而不仅仅是判断该能力是否被持有。

状态

项目	详情
类型	知识系统化（预印本）
发表	2026 年 7 月 7 日（arXiv:2607.05743，CC BY 4.0）
语料	39 项研究（2023–2026），17 个执行安全类别
公开攻击	无——综述与研究议程，无载荷
确认事件	4 个已披露并修复的 CVE，已对照 NVD 核实：CVE-2024-21626（runc「Leaky Vessels」）、CVE-2025-53773（GitHub Copilot / Visual Studio）、CVE-2025-59536 与 CVE-2026-21852（终端代码智能体，已修复）
风险类别	代码智能体执行层安全
相关对象	任何部署代码、终端或接入 MCP 的智能体的人