Context Privilege Escalation：上下文来源的角色/范围双轴提升与重启验证

Context Privilege Escalation：角色/范围双轴提升与重启验证

知识点轴：context management / harness-runtime / sandbox-security / benchmark-evaluation；MCP Gateway、A2A为可迁移的输入边界，非本论文逐协议实测。 arXiv:2609.01222v2 是2026-09-02修订、本轮发现并读入，不是10月新论文。作者项目页有案例；下述数量均为作者实验，未复现本机Hermes。^[raw/articles/context-privilege-escalation-2609-01222v2-selected-2026-10-16.md]

为什么对用户重要

Hermes每日读取网页、GitHub和文档，且可能读取技能、仓库说明、长期记忆。低可信工具输出本应只影响一次阅读，但若被 agent 写入skill/记忆/仓库规则，下一次会话可能作为较高优先级指令重新装载。防注入不能只盯当次tool文本，也须审写入持久来源后的重载效果；飞书群、cron和A2A peer这类调用者不能因共享同一个进程/磁盘就继承对方的上下文权限。关联Context-Engineering的来源清单与Harness-Engineering的真实装配过程。

一阶机制：来源的两个偏序，不是“提示词很危险”

• 对每个可能入模的来源记录 (内容, 消息角色, 作用范围)，另记载加载时点、所在路径、拥有者及是否可由外部改写。M-CPE：低信任tool/web内容经复制、技能描述、记忆文件或标签边界进入高优先角色；X-CPE：本会话的数据进入项目或用户级来源，下一任务/重启继续生效；一条路径可同时跨两轴。作者把角色赋予称作harness装配结果，不能仅凭文件名判权。
• 来源不仅是明文记忆：还包括skill搜索路径/重复冲突、目录/环境元数据、嵌套导入、同目录规则覆盖、运行时技能发现、XML样式包装与inline action。真实威胁取决于攻击者能否触达来源、harness是否加载、源实际以何角色入模、agent有无写入/执行能力及有效审批/沙箱。标签关闭标记被模型误认不等于底层API的role字段真的升级，需分别测认知与运行时权限。
• 固定版本论文举Hermes内存文件优先级、动态skill发现作为候选路径；这不是用户当前版本漏洞通知。不能自动安装第三方skill来复现实验，也不能把论文中的受试Harness版本/默认设置套到现网。关联AI-Knowledge-Point-Radar的“对象版本→有效配置→真实effect”三门。

可迁移的验证合同（比笼统RCE宣称更可用）

1. 来源清单：列出web/工具/A2A任务/MCP响应/仓库规则/skill/长期memory的来源、owner、入模角色与scope（session/project/user）、启动/运行时加载条件、信任边界；保留真实请求的来源标签而非只看生成摘要。A2A的签名Card仅证明发现层，不能替代输入内容定级或task owner，见a2a-signed-card-trust-bootstrap。
2. 传播与执行分账：作者CoRA先静态候选，再注入canary并截获实际模型请求验证role；随后枚举低→高来源配对，首次运行可控低源，移除它，保留高源与隔离HOME，重启用无关正常任务，分别验证“高源实际带上标记”和“模型/工具后续遵循”。只在提示里见到恶意文字不算越权成功；被拒后要测真实sink零effect。
3. 合规/危害联合结果：把合法任务完成、恶意跨源写入、下次会话生效、执行副作用分别用独立oracle记录；无害canary成功只能证明传播路径，不证明RCE或数据泄漏。结合harnesssecurity-bench-paired-utility-attack-effects做配置ON/OFF同任务对照，保留启动失败、审批和合规效用分母。
4. 具体低风险实践：对自动PR审核先检查可信指令文件的优先级是否被PR引入的新文件遮蔽；对llm-wiki摄入只允许原文写raw/，正式页必须转写、审来源并链接到已存在页面，外部内容不得自动改SCHEMA、全局skill或memory。若需评估用户Hermes，请在临时隔离profile/工作区做双会话canary试验，而非改生产权限。

数字、失败模式与边界

作者报告12款固定版本harness、1761条候选来源配对，在两个模型条件下分别有1284/1315条加载、1028/1034条出现预期行为；这些是同一批候选的不同层级，不是1761个已利用的CVE。Codex/Gemini人工真值的源识别回忆分别28/30和38/42；源验证在适格302项中282项成功；“加载canary”与“较长自由指令实际可装”还有容量差。论文的重启无害行为测试和项目页攻击案例不能推出每一个配对都能RCE；未来补充固定版本实际请求、隔离跨caller负例、权限/出站接收端回执。源码在论文中承诺未来发布（本轮未见可用的CoRA代码），不称工具可直接部署。^[raw/articles/context-privilege-escalation-2609-01222v2-selected-2026-10-16.md]

写入记录

• 2026-10-16 09:02 CST：基于v2论文方法/统计与项目页，拆开角色/范围、静态候选/真实加载/重启行为/最终effect；提出llm-wiki上下文来源清单及隔离双会话canary验收，未指认用户现网受影响。