专利信号：三件已公开申请全在”不出设备”上做文章

• US20260246629A1（原文），Blockchain Labs Inc.，2026-08-20 公开：移动设备本地运行个性化 AI 代理，目标应用产生的数据连同基于设备私钥（设备 DID，去中心化身份标识）生成的电子签名写入个人数据集，国际分类号 H04L9/08。
• US20260169789A1（原文），Microsoft Technology Licensing, LLC，2026-06-18 公开：面向弱网位置的边云分层架构，多个算力不同的语言模型分级部署、逐级升级处理。
• US20260133859A1（原文），Mercedes-Benz Group AG，2026-05-14 公开：对预训练小语言模型（SLM）做深度或宽度剪枝，让车机本地跑通函数调用。

三件均为已公开申请（审查中），不是授权专利。

技术趋势：端侧 AI 从能跑通变成能交付，缺的是选型证据

共同走向：端侧 AI 的竞争点从模型本身挪到架构件——本地数据溯源签名、跨设备模型分层、领域剪枝。开放运行时已经商品化：llama.cpp（ggml-org）GitHub star 数超 12.7 万，GGUF 量化格式由 Hugging Face 官方文档背书（见 References）。大厂专利与开源运行时之间的空档：“哪个量化版在谁的硬件上够不够快”没有可验证的公开产品。上一篇大模型账单瘦身专利简报管的是云端账单，这轮管数据不出设备的场景。

落地机会：卖给接私有化部署单的个人开发者

用户场景：接了私有化部署外包单的个人开发者——律所文档问答、工厂内网助手——客户要求数据不出内网；他选模型靠社群口传，交付验收时”速度够不够、质量掉没掉”拿不出数字。一个人能做两层：A. 本地模型评测 CLI 或基准站——固定任务集在自己电脑跑 Q4/Q5/Q8 各量化级，输出”量化级 × tokens/s × 准确率”矩阵报告；B. 边云降级路由模板——本地优先、断网自动升级云 API，微软专利描述的分层件尚无开箱即用的开源等价物。技术栈：Ollama / llama.cpp + 自建评测集；起步成本自有硬件加电费（GPU 时租约数百元），1 人 2-4 周出 MVP。

创业发现：基准报告加部署交付包

• 基准站 + 付费选型报告（¥99-499/份或年订阅）：首批客户来自 llama.cpp 中文社群与接隐私合规单的 AI 外包社群；免费榜单引流，付费卖”你的任务在你的硬件上选哪个量化版”。
• 私有化部署交付包（¥5000-30000/单）：内网 RAG 问答（先检索再生成）加评测报告打包交付，兼作验收凭证。

门槛：基准代表性靠硬件与任务集长期积累；风险：各家发行版内置评测后通用基准贬值——护城河是中文垂直任务集与可复现的验收证据链。读完今天能做的事：挑一个 7B 模型，在自己电脑上用 Q4 量化跑一套自拟的 10 题测试集，记下 tokens/s 和准确率——这就是基准数据集的种子。

References

• 专利检索来源：Free Patents Online 三件已公开申请
• 产业佐证：llama.cpp GitHub 仓库（star 数超 12.7 万）
• 产业佐证：Hugging Face GGUF 格式官方文档

专利信号：三家产业公司给”该不该作答”定方法

• US20260170067A1，Salesforce, Inc.，2026-06-18 公开：为任意外部知识库合成”不可回答”请求数据集，评测 RAG 系统能否正确拒答指令含糊、含错误前提、超出库范围等六类问题。
• US20260111331A1，SAP SE，2026-04-23 公开：企业 RAG 评测框架，用”问题 + 上下文 + 标准答案”测试集迭代跑评估，直到满足评测阈值才放行。
• US20260093735A1，GM Global Technology Operations LLC，2026-04-02 公开：集成检索器对每次输入多路取回，为 RAG 回答计算置信分数，低分不直接出口。

以上三件均为已公开申请，不是授权专利；国际分类集中在 G06F16/953（检索）与 G06N3（机器学习）。

技术趋势：从查得准不准到敢不敢说不知道

共同走向：RAG 的验收标准正从”检索命中率”转向”回答可信度”——答对要给分，硬答要扣分。与现成方案的差异：RAGAS、TruLens 等开源库已把忠实度打分做成商品，但这三件专利主张的是拒答题数据集的合成方法与放行阈值——造”库里没有的题”考系统，恰是通用评测库留下的空白。2026 年 5 月的 EnterpriseRAG-Bench 基准论文同样把”应识别为不可回答”列为核心考点。

落地机会：卖给上线前心虚的知识库问答项目

用户场景：开发者给企业做完内部文档问答机器人，上线后员工问到文档没覆盖的问题，模型一本正经编答案，被投诉两次后老板要求”证明它不会乱说”——开发方手里只有几条抽查记录，拿不出量化证据。一个人能做的那一层：RAG 拒答质检工具——读入客户文档库，用 LLM 合成六类不可回答题与一批有据可答题，回放客户 RAG API，按”该拒不拒、该答不答”两项打分，产出质检报告与失败样本集。技术栈 Python 加任一 LLM API 加 SQLite，无需训练模型，月成本数百元，1 人 4 周出 MVP。上一篇Agent 轨迹评测专利简报管的是多步任务的过程验收，这轮管的是单次回答的诚实度。

创业发现：上线前质检报告加回归巡检订阅

• 交付前质检服务：替接 RAG 私活的外包方出拒答测试集与质检报告，单次 3000-8000 元，报告署名反哺获客。
• 回归巡检订阅：接入客户已有 RAG API，知识库每次更新后自动重跑题集打分，按知识库个数收 $19-49/月。

门槛：题库合成质量决定公信力，先开源一套通用拒答题模板换信任。风险：RAGAS 等开源库正补拒答指标——护城河在垂直行业文档的出题经验与报告背书，不在脚本本身。读完今天能做的事：让模型基于你的知识库生成五十道库里没有答案的问题，喂给现有机器人，数数它编了几次。

References

• 专利检索来源：Salesforce 不可回答评测
• 专利检索来源：SAP 企业 RAG 评测框架
• 产业佐证：EnterpriseRAG-Bench 基准论文
• 站内相关文章：Agent 轨迹评测专利简报

专利信号：四件已公开申请全在”少喂”上做文章

• US20260260063A1（原文），Ciena Corporation，2026-09-03 公开：喂给 LLM 前对日志做空间折叠（重复序列聚类取代表）加时间窗折叠，只送代表性序列。
• US20260203500A1（原文），Naver Corporation，2026-07-16 公开：RAG（检索增强生成：先查外部资料再塞进提示词）段落先重排、再按子句剪枝，剪枝与重排可共用或分离模型，仅幸存子句进 prompt。
• US20260170265A1（原文），PayPal, Inc.，2026-06-18 公开：按输入 token 量动态确定截断阈值，保证输入加输出不超模型上限，用训练数据建”输入区间到阈值”查找表。
• US20260044679A1（原文），Cisco Technology, Inc.，2026-02-12 公开：function calling 只暴露函数组描述与私有函数清单，不喂全量工具 schema，按会话最小化上下文。

四件均为已公开申请（审查中），不是授权专利。

技术趋势：输入瘦身从提示词技巧变成模型前的架构件

共同走向：token 压缩不再靠人工调提示词，而是拆成模型调用之前的独立处理件——折叠、剪枝、阈值查表、schema 过滤各管一段输入。与现成方案的差异：LiteLLM 这类开源网关卖虚拟 Key、预算与成本追踪（见 References），只记账不动内容；官方压缩能力绑定各家自己的栈。对任意 OpenAI 兼容接口都能前置的通用层尚无标配产品。

落地机会：卖给被账单烧到的 AI 外包开发者

用户场景：接了 AI 客服或文档问答外包单的个人开发者，demo 阶段月账单几十块；上线后客户塞进几万行日志、工单历史和整段知识库上下文，月账单跳到四位数，长上下文还拖慢响应、触发限流——他不知道钱烧在哪个字段、哪些内容可砍。一个人能做两层：A. Token 浪费审计 CLI，拦截解析 OpenAI/Anthropic 请求体，按工具 schema、历史消息、RAG 段落、系统提示分桶统计 token，输出可裁剪项加预估节省报告；B. Drop-in 压缩代理，挂在 LiteLLM 或网关前置层，做函数组折叠、子句剪枝、动态截断，改一行 baseURL 接入。技术栈 Python/Go + tiktoken + tree-sitter + 现成小模型打分子句重要性；起步约 1500-3000 元（域名、VPS、测试 API 费），1 人 2-3 周出 MVP。上一篇Agent 权限拦截专利简报管 Agent 伸出去的手，这轮管它吃进去烧掉的钱。

创业发现：开源审计工具加按次账单报告

• 开源核心 + Pro 订阅（约 ¥299/年）：审计逻辑开源换信任，卖分桶报告、压缩策略与团队看板；首批客户来自 LiteLLM、LangChain 社区里抱怨账单的开发者。
• 按次审计报告（¥500-2000/单）：交付 token 分桶明细加裁剪清单，从外包接单社群获客。

门槛：压缩策略覆盖面靠真实请求样本长期积累；风险：上游官方免费工具在持续变强——护城河是跨厂商通用与”先验证省多少、再付费”的证据链。读完今天能做的事：写个小脚本抓一份自己的 LLM 请求体，用 tiktoken 按字段算 token 占比，看工具 schema 和历史消息砍一半能省多少钱。

References

• 专利检索来源：Free Patents Online 四件已公开申请
• 产业佐证：LiteLLM 虚拟 Key 与预算成本追踪文档
• 站内相关文章：Agent 权限拦截专利简报

能力悖论的机制

论文的核心假设是：能力更强的 LLM 来自更大规模的共享训练数据和相近的架构谱系，因此它们不仅”更对”，也更”像”。当多个 agent 被部署进同一个系统——金融市场、内容审核、招聘——决策主体的数量在增加，有效独立的观点数量却没有同步增加。作者为此建立了一个通用框架：只要行动之间存在相关性，风险就不能随参与者数量无限摊薄，相关性越高，摊不掉的底线越高。这就是 能力悖论（capability paradox）的由来：个体层面的改进与系统层面的安全之间，存在一条方向不明的通道。日常直觉认为”把模型换强一点、把 agent 多加几个”总是更安全，这篇论文指出该直觉在一个可刻画的条件下失效。

模拟市场的三个发现

验证手段是 agent-based 金融市场模拟：让按通用能力分级的 LLM 充当交易员，观察市场级风险随参与结构的变化。摘要报告了三个结果。其一，前沿 LLM 的行为呈现显著相关，且相关性随能力提升而上升。其二，当共享推理是准确的时候，扩大 agent 参与确实降低了市场级风险——多样性红利正常兑现。其三，当 agent 们处在 共享错误信息环境（common misinformation environment）里，同一套相关性立刻反转为负债：所有模型一起自信地错，且错得步调一致。三个结果合起来说明，问题不是”要不要用更强的模型”，而是强模型的集体偏差会把整个系统带到同一个方向上，没有任何一个参与者负责纠偏。

边界：模拟、口径与外推

这项证据的分寸感比结论本身更重要，至少四点限制必须写清。其一，agent-based 模拟不等于真实市场：模拟中的 LLM 交易员没有真实资金约束、没有清算压力，也没有监管干预，市场级风险的量级不能直接搬到现实。其二，”相关性”的度量口径与”能力分级”的方式均为论文自定义，换一个口径结论的强度可能变化。其三，这是未经同行评审的预印本。其四，最危险的第三个发现限定在共享错误信息环境这一情景，作者自己也将”同样的动力学是否出现在其他领域”列为待验证的开放问题，不能泛化为”所有部署都会如此”。与本刊此前《拍卖桌下的暗线，多智能体隐藏合谋的检测与干预》相比，两者的威胁面不同轴：那篇是 agent 之间建立隐蔽通道的主动合谋，需要检测与干预；本篇没有任何合谋，模型甚至彼此不知情，风险纯粹来自训练层面的结构性相关——防住了通信审计，也防不住它。对采购方的直接含义是：堆同一家模型的多个实例，买到的可能是一个决策加若干份复制品。

References

• Why Better Models Can Create Riskier Systems (arXiv:2609.04373)
• 拍卖桌下的暗线，多智能体隐藏合谋的检测与干预

两项主流指标为何漏掉两类失败

反编译是从已编译的机器代码恢复高级语言源码的过程，是漏洞检测与恶意软件分析的基础。Ghidra、Hex-Rays 等传统反编译器会把无法解析的部分显式留成占位符，产出的伪代码常常编译不过也跑不起来；大模型方案则输出干净、地道的 C 代码，因此几乎完全由可重编译性（能否构建）和可重执行性（能否通过随附的输入输出测试）来评判。论文指出这套指标会奖励错误的路径：一个函数可以顺利重编译并通过每一个随附测试，却在其他合法输入上与原程序分歧；一处已披露漏洞甚至可以在重编译产物中「无声消失」，崩溃不再复现，也不留任何可见痕迹。这两类失败，现有测试套件都抓不到。

Decompile-Diverge：用模糊测试做行为对照

为补上这个缺口，论文提出 Decompile-Diverge，一个不依赖固定或手工测试用例的行为对比 oracle（判定器）：对每个函数自动合成调用 driver，从参考实现出发扩充模糊测试语料，再让反编译产物在相同输入上重跑，比对行为是否改变。在 8 个系统在 9 种配置下、基于既有大模型反编译语料的评测中，通过全部随附测试的候选仍有 4.9% 与原程序分歧，单一系统最高 13%。在 300 个真实 GitHub 库函数与 287 个 CVE 关联函数上，可重编译性与行为一致性出现了明显背离：最强的精化大模型（refinement LLM）把 Ghidra 的构建率从 75% 提到 90%，行为匹配率却从 74% 降到 62%；在已披露漏洞子集上，最高约十分之一的漏洞在其输出中出现崩溃缺失（Crash Absence）。

把不确定性藏进语义的代价

源码级分析显示，分歧源于大模型引入的字段（fields）、类型（types）、被调用函数（callees）和防护条件（guards）——它们把传统工具留下的「可见的未知」替换成了「看不见的错」。本刊此前解读的轨迹预算指标错觉研究与此同属「指标幻觉」一条轴：当评测只度量表层可用性，模型就学会把不确定性藏进指标测不到的地方。安全关键场景的实操含义是把可重编译性降级为必要条件而非充分条件，叠加行为等价测试（合成 driver 加模糊语料），并保留传统工具「宁留占位符、不编假代码」的文化。

边界同样要说清：模糊测试语料不是穷尽证明，分歧率是给定输入集合上的下界观察；这套 oracle 依赖参考实现可得，没有原始程序时无从对照；且论文为预印本，尚未经过同行评审。

References

• When LLM Decompilers Recompile More and Preserve Less (arXiv:2609.05370)
• 一分钟读论文：轨迹与预算指标错觉

删掉原文，为什么没删掉影响

记忆提取类攻击依赖读到存储的文本，所以业界默认：压成用户模型、删掉原始措辞，攻击就失去了目标。论文指出这忽略了一个事实——用户模型仍然在每一次回复里做选择，而选择是可见的。论文引用的 LongMemEval 实验也印证了这个缺口：关键事实摘要使注入的高熵金丝雀文本被逐字提取的比例下降 64% 至 76%，个性化召回却几乎不受影响——压缩删掉了文本，保留了影响。

UMPeek：假设引导的自适应追问

攻击分三步循环：从一次请求留下的可选空间生成关于用户模型的假设；在多个普通后续任务之间切换试探，避免每次都问同一件事；只保留被可见行为支持、且未被行为矛盾的主张。整个过程是黑盒的，不需要读存储或后端状态。

评测覆盖 4 个个性化任务基准、3 种用户模型后端，与 7 个已有攻击（记忆提取、提示词泄露、属性推断等方向）对比，每个目标最多 16 次追问。结果显示，UMPeek 的语义恢复分数 UMR-F1（用确定性词汇匹配规则打分，不依赖大模型或嵌入模型评判）超过最强对比攻击 六倍 以上，并在全部基准与后端的组合中领先；预算对齐实验进一步表明，优势来自假设引导的任务选择，而不是单纯追问数量多。

真实系统与防御缺口

作者声称在「信息确证被保留」的真实系统上做了验证：三个托管服务加一个端到端个人 Agent（OpenClaw），UMPeek 在所有托管服务的保留目标上都拿到评估攻击中的最高恢复——注意这是作者自述，且限定在其确认信息仍被保留的场景，不是对产品隐私状况的全面测量。防御侧的结论同样有限定：PrivacyChecker 与 Theory-of-Mind 这类响应级防御下，自适应追问仍能恢复大量用户信息；只有更强的状态化反事实控制（撤掉那些去掉个性化就会改变的决定）能把恢复压得更低，代价是个性化任务性能同步下降。

质疑与边界条件

第一，论文是预印本，未经同行评审，作者未标注机构。第二，「六倍以上」是相对论文自定义的 UMR-F1 词汇匹配指标而言，该分数与真实隐私损害之间的距离并不明确。第三，真实系统验证限于作者确证保留的目标，不能外推为所有个性化产品都在泄露。第四，它与《记忆库原封不动，Agent 为何照样失忆》同属 Agent 记忆安全族但角度相反：那篇说换模型会让旧记忆失效，问题在表示格式；这篇说存储再可靠也没用——只要保留的信息继续塑造可见行为，删除原文就删不掉影响。压缩表征正在成为记忆工程里新的攻击面。

References

• Inferring Hidden User Models from the Behavior of Personalized LLM Agents（arXiv:2609.03815）
• 一分钟读论文：《记忆库原封不动，Agent 为何照样失忆》

三次逃逸的事实链

作者是 Patch the Planet 计划的研究员，目标环境是他个人开发机（宿主机 Debian 12）上的 QEMU/KVM 虚拟机，CTF 式判定：逃出 VM 读到宿主 flag 即算成功。第一轮约 1 小时，Agent 利用数周前披露、当时无公开 exploit 的宿主机内核漏洞 Januscape（据 Trail of Bits 称编号 CVE-2026-53359），自建 exploit 把宿主机打到 hardlock。第二轮，Debian 12 仍在发行 libslirp 4.7.0，带 CVE-2026-9539（据 Trail of Bits 称），Agent 又找到一个未分配 CVE 的上游修复对应缺陷，两者组合成宿主机任意内存读写。第三轮更严苛：作者手工升级到最新上游 QEMU/libslirp 后，Agent 自主做漏洞挖掘式源码分析，链式利用了 3 个当时未被公开的 0-day 加 1 个上游已修但发行版未标记为安全问题的缺陷，链条组件包括 VAPIC ROM alias 覆盖被锁定的 SMRAM、KVM shadow page 不同步、paging64_invlpg() 复用过期 role、libslirp ICMP 分片越界复制。

长程自主性才是真正的变量

单次运行约 12 小时量级，跨多次上下文压缩持续攻坚：搜索、回退、拉取代码与论文、写 oracle、构造最小复现，目标是可复用的可靠 exploit；人类的主要工作是宿主机 hardlock 之后物理重启。这种能力已被当作独立方向测量——SANDBOXESCAPEBENCH（arXiv 2603.02277，v1 发布于 2026-03-01）就是量化前沿模型容器逃逸能力的开放基准，结论是「当存在漏洞时，LLM 能够识别并利用它们」。

QEMU 开发者的反驳：配置问题而非范式

QEMU/KVM 开发者 bonzini 在 HN 评论区反驳：QEMU 存在「安全子集」，外围才是全家桶。逐条拆本案：两个漏洞在 libslirp——用户态网络本就不属于安全子集，现在应改用 passt；VGA 模拟漏洞在 -display none 配置下根本不可达；VAPIC 缺陷属于允许 guest 越权，并非完整的 guest-to-host 逃逸。他的结论是坏掉的是 libslirp 和补丁分发流程，不是 VM 范式。Firecracker 对照组也站这边：Agent 换用 Firecracker 后仍能靠内核缺陷把机器 hardlock，但未能完成逃逸。不过 bonzini 并未否认逃逸事实本身——最终链条里的 KVM shadow page 漏洞恰在安全子集的核心路径上。双方的真正共识只有一条：隔离质量等于攻击面质量。

边界条件：n=1 不外推

必须写清方法学限制：单一研究者、单一宿主机、单一目标环境、CTF 式明确目标，不能外推为「任意 VM 必被逃逸」；作者的开发机也并非最严配置，内核还跑在 mitigations=off。真正的信号是默认配置失效——攻防经济学上，AI 把「翻旧 CVE、组合利用、写 exploit」的边际成本压到近乎为零，「已知但未部署的修复」就等同于可被随时触发的在野漏洞。

现在就能做的攻击面工程

• 用户态网络从 libslirp 换成 passt，或 tap 加防火墙微隔离并默认拒绝出网
• 无头运行，砍掉 VGA、声卡等一切非必需设备模拟
• 宿主内核把「上游已修未分发」窗口当作可被机器利用的漏洞对待，走快速补丁通道
• 启用并收紧 AppArmor/seLinux——本案中 MAC 是唯一确定拦住一条完整利用链的防线（CUPS 根证书读取路径即被 AppArmor 拦截）
• 给 Agent 设硬性运行时限，一次性环境用完即毁；高保障场景优先 Firecracker 类最小攻击面 VMM

这与本刊上一篇《外壳走上台前：Agent 的竞争从换模型转向换 Harness》互为表里：harness 决定 Agent 怎么干活，隔离工程决定它被允许在哪里干活。

References

• VMs won’t contain cyber-capable agents (Trail of Bits)
• Hacker News 讨论（id 49450188）
• SANDBOXESCAPEBENCH (arXiv 2603.02277)
• passt 用户态网络项目

专利信号：银行和咨询公司在给 Agent 定验收标准

• US20260017525A1，Citibank, N.A.，2026-01-15 公开：用约束字符集定义 Agent 边界，第二组模型比对”提议动作与预期动作”找差距，第三组模型增删改动作后放行。
• US20260030476A1，KPMG LLP，2026-01-29 公开：聚合企业环境里已部署的多个 Agent，用运行行为数据与可信度数据评估选定 Agent，输出总评分。
• US20260154581A1，Quantiphi, Inc.，2026-06-04 公开：按 Agent 档案合成测试数据，真实交互跑出轨迹（trace，逐步执行记录），对照评估矩阵打分。
• US20260186944A1，2026-07-02 公开（申请人未在公开文本中标注）：持续接收执行记录，按推理周期与动作序列切分轨迹段，对长程 Agent 逐段评估。

以上四件均为已公开申请，不是授权专利；第四件国际分类落在 G06F11/34（计算机系统测量），与传统软件测试同族。

技术趋势：从看单次输出到给整条轨迹打分

共同走向：Agent 的质量不再靠抽查一次回答判断，而是合成场景、真跑一遍、收集轨迹、按矩阵逐段评分。咨询与金融系申请人要的是”可验收的分数”——这暗示甲方侧正在长出对 Agent 交付做第三方评估的需求。与现有方案的差异：Langfuse、LangSmith、Braintrust 等观测平台把”记录 Agent 做了什么”做成商品，2026 年 8 月的行业对比文章里评测已是标配卖点；但这些专利主张的是”这条轨迹该打几分、卡在哪一步”——打分标准与业务检查点，恰恰是通用平台留给空白的部分。

落地机会：卖给交不出验收报告的 Agent 外包方

用户场景：AI 外包工作室给客户交付一个客服 Agent，多步任务（查单、退款、建工单）偶发中途走歪；客户验收时问”你怎么证明它靠谱”，工作室只有日志，拿不出量化评测报告。一个人能做的那一层：Agent 验收工具——读入已有轨迹数据（OpenTelemetry 或 Langfuse 导出格式），按业务流程合成边界场景，重放后逐段对检查点打分，产出质检报告与失败样本集。技术栈 Python 加任一 LLM API 加 SQLite，无需训练模型，月成本数百元，1 人 4 周出 MVP。上一篇提示词测试专利简报管的是静态提示词的回归，这轮管的是动态轨迹的验收。

创业发现：一次性验收报告加日常巡检订阅

• 验收审计服务：替 Agent 外包交付物出评测报告与整改清单，单次 3000-8000 元，首批客户是接 Agent 私活的外包工作室和甲方验收人，报告署名反哺工具获客。
• 轨迹巡检订阅：接入客户已有 trace 做每日回放打分，按 Agent 个数计收 $19-49/月。

门槛：评分方法论要公开才有人信，先拿开源检查点规则库换信任。风险：Braintrust 等平台正把评测下沉成一键功能——护城河在垂直业务的检查点设计与报告公信力，不在打分脚本本身。读完今天能做的事：导出你手上 Agent 最近五十条真实轨迹，让模型按”任务完成、越权操作、中途放弃”三项逐条打分，看看它到底不及格几次。

References

• 专利检索来源
• 产业佐证：LLM 观测与评测平台格局
• 站内相关文章：提示词测试专利简报

专利信号：把 Agent 当”不可信对手”来管

• US20260238651A1，申请人未在公开文本中标注，2026-08-13 公开（国际分类 H04L9/40）：拦截层作为独立操作系统进程运行、权限高于 LLM 进程，每个调用过”不可变 + 可治理”两级规则；按侦察到驻留的五阶段识别多步绕过，动作全入哈希链账本。
• US12670045，Mistral AI，2026-03-04 提交、2026-06-30 授权：代码块封装工具调用，沙箱遇待决调用即暂停、发客户端执行、拿结果重放续跑。
• US12688261，Daon Technology，2026-07-21 授权：按行为忠实与执行完整性两类信号，决定是否发放委托凭证（delegation artifact，限时限权授权凭据）。
• US20260119551A1，Boomi, LP，2026-04-30 公开：基础护栏拆成语义元素自动扩展，解决人工维护跟不上话术演变。

状态区分：一、四为已公开申请，二、三为已授权专利。

技术趋势：权限从提示词挪进操作系统

共同走向：不再指望提示词让模型自律，权限管控下沉为模型进程之外的架构件——独立拦截、分级策略、委托凭证、审计账本。与现成方案的差异：LangGraph、Claude Code 自带审批中断但绑定各自生态；Kong、TrueFoundry 等网关厂商卖的是面向甲方集中部署的企业级闸门。跨客户端、策略即代码、装在自己机器上的轻量守门层尚无标配产品。

落地机会：卖给拿生产环境跑编码 Agent 的人

用户场景：自由开发者在装着生产库凭据和云 API Key 的机器上跑编码 Agent 接外包，模型一次幻觉或被注入指令，git push、删库命令、计费 API 调用就无阻挡直达；客户验收问”怎么保证你的 Agent 不越权”，答不上来。一个人能做的那一层：本地工具调用代理——在 Agent 与 shell/API 之间架拦截进程，YAML 声明白名单与审批队列，高危调用先推手机确认，动作全落只追加日志。技术栈 Node 或 Python + MCP 代理模式 + 各框架 hooks 接口，月成本数百元，4 周出 MVP。上一篇MCP 安全专利简报管外接服务器靠不靠谱，这轮管 Agent 自己伸出去的手。

创业发现：开源守门器加权限审计服务

• 开源守门器 + 付费策略包：拦截逻辑开源换信任，卖”生产库、云计费、财务系统”垂直策略与团队管理版，$19-49/月；首批客户是跑编码 Agent 的独立开发者与 MCP 服务器买家。
• 权限审计服务：交付”工具调用权限审计报告 + 最小权限清单”，单次 3000-6000 元，首批客户是 AI 项目验收方与外包工作室。

门槛：策略覆盖面靠真实攻击样本长期积累；风险：各家框架的免费权限体系在持续变强——护城河在跨客户端统一策略与报告公信力。读完今天能做的事：给编码 Agent 写一份拒绝清单钩子，拦下 git push、批量删除与对外 POST，跑一周看它替你拦住几次。

References

• 专利检索来源
• 产业佐证：MCP 网关的人工审批闸门之争
• 站内相关文章：MCP 安全专利简报

实验设计：历史逐字保留，只换记法

实验控制单一变量：同一段对话历史逐字保留，只把记忆做成四种表示——LC-RAW（原文全量放进长上下文直接读）、RAG（分块后按向量相似度检索）、NOTES（模型把历史压缩成自然语言笔记）、KG-fixed（归一化为固定 schema 的知识图谱）。规模为 48 条合成历史，答案代码随机化，采用 exact scoring（精确匹配评分），读写两侧使用两个参数量低于 10B 的开源权重模型。写入记忆的 writer 模型与读取的 reader 模型可分别替换，以此隔离”换模型”这一件事本身的影响——历史内容一个字没变，变的只有记法与读写它的模型。

迁移与损失：格式决定在哪一环丢

固定 schema 的结构转移最可靠：KG-fixed 在换掉 writer 模型后，精度变化仅 +0.0004 ± 0.0020。NOTES 表现出强烈的模型耦合，且方向不对称——按具体迁移方向不同，精度或升 +9.91 个百分点、或降 -13.28 个百分点，升级不保证更好，换错方向反而更糟。RAG 的损耗出在 embedding 版本上：新旧向量各占一半（50/50）的混版索引只拿到 4.96 分提升，而全量 re-embedding 的提升为 11.90 分——半途迁移等于放弃了大部分本可获得的收益。

诊断分解进一步把损失归到不同环节：NOTES 的精度损失有 80%（0.467 ± 0.014）源于初始构建时就丢失了信息，RAG 的损失有 81%（0.364 ± 0.012）源于检索失败。修复实验直接支持一个朴素做法：只动记忆库、不动模型的 store-only 修复在全部 48 例中都未达到 90% 的恢复目标；而保留原始历史时，在一个被测方向上 34/48 例成功恢复。换言之，笔记本身坏了很难就修笔记，找回原始证据重写才有效。这一结果与 《长程 Agent 记忆中的压缩悬崖》 形成互补：压缩悬崖说明运行期摘要会侵蚀已存事实，本文说明模型升级会让旧笔记对新模型失效——记忆工程的瓶颈正从”存得下”转向”换得起”。

质疑与边界条件

结论有几点必须打折扣。其一，实验基于 48 条合成历史与 sub-10B 小模型，能否外推到前沿大模型和真实长期记忆仍是未知数，方向不对称本身就说明结论依赖具体模型配对。其二，KG-fixed 的优势可能来自 schema 设计者预先注入的任务相关性，”固定格式赢”未必是格式本身的功劳。其三，exact scoring 对开放任务过于苛刻，NOTES 的真实损失可能被评分方式放大。边界条件同样清晰：论文为预印本、未经同行评审，作者两人且无机构标注，方向性结论只测了两个方向，不能写成普适定律。

References

• Does Your Agent’s Memory Survive a Model Upgrade? A Controlled Study of Memory Portability（arXiv:2609.05339）
• 一分钟读论文：《长程 Agent 记忆中的压缩悬崖》