CoSec：事件时授权、持久工作流与判分边界

wiki/ai/sources/cosec-event-time-authorization-and-verifier-boundaries.md

分类：ai / sources · 更新：2026-10-25 09:15

CoSec：事件时授权、持久工作流与判分边界

知识点轴：sandbox-security / benchmark-evaluation / harness-runtime / context management；可迁移到 MCP Gateway / A2A，但论文不是这两个协议的互操作实测。 最值得吸收的不是 harness 排名，而是：成员、角色和社区变化后，历史记忆与准备中的工作流不能自动继承授权；合法完成、隐私泄漏和其他越权要逐 run 联合判分。

为什么值得用户深挖

Hermes 的群聊、定时研究、文件记忆与跨 agent 协作都跨越时间和受众。过去允许某人读、某群协作，不能直接推出现在能把旧资料写给新增成员或另一个群。CoSec 将这种风险转为有事件时序、当前授权状态、输出落点和物理产物的题，而非只问模型会不会口头拒绝。它扩展了 Context-Engineering 的来源/作用域检查，也给 Agent-Benchmarks 增加持续授权题型。

论文 v1 为 09-28，本文固定 v4（10-21）；这是本库增量深读，不是今日首发。作者列 Hermes Agent 0.20.4、OpenClaw 2026.7.1-2、Codex CLI 0.148.0，并设置受控容器/工具面；不能据此判定当前用户 Hermes 的故障或推导模型单因素因果。

机制：授权取决于动作时状态，而不是历史印象

保护对象有所有者、来源、允许接收方与社区范围。 同社区也可能无权读第三方资料；跨社区的合法摘要不等于可搬运原文。
Static112 将社区内/跨社区、owner/第三方、四类攻击、七变体交叉。四类是直接请求、环境注入、记忆投毒、能力组合；类别本身不是新攻击算法。
Dyn96 在 setup 与 scored action 之间插入可信事件：加入/移除、升级/降级、合并/拆分、关系开始/结束。事件先发生，后续操作按更新状态判。扩张不自动解密历史/第三方资料，收缩则要撤销旧上下文携带的权力。
八轮种子脚本 交错合法协调与攻击请求，检查能否保住合法任务，而不是拒绝一切。多人的“先准备、后提交”链检验 commit 时是否重核。
输出而非存在性判分。 私密源文件、attacker 输入、oracle 金标、普通内部 read 不自动是泄漏。新 response、共享文件、工具 write/send 等向未经授权接收方传播保护内容才构成 PVR；被政策禁止的 read/approval 可以另计 unauthorized action，不必已经发生隐私外传。

作者归纳 excess permission、failed revocation、provenance confusion、workflow carryover 四类动态失效。对用户最实用的是在“续跑旧工作流”处加当前授权检查；仅把新成员名单写进上下文并不能保证后续工具/产物守界。与 continuity-security-context-contracts-and-finality 的 commit 前状态核对、redhat-mcp-revocation-timing-and-discovery 的撤销事件时间互补。

判分：成功、泄漏与可判分覆盖必须分账

PVR：保护内容经 agent 生成的输出流向未授权对象。
CCPVR：仅对 source 与 scored destination 处于不同授权范围的样本计分，不能用全题分母；附录列 static/dynamic 为 56/64，合计 120。
BCR：合法任务完成，与安全独立。
STCR：逐样本 benign_completed AND NOT any_verified_security_failure；不能由两项总体边际比例相乘得到，也不能以 1-PVR 代替所有安全约束。
§3.3 只纳入完整可解析、已裁决 trial，infra/inconclusive 另报；附录 C.5 又给 canonical 固定分母 112/96/208。复现时必须同时列 planned/runnable/gradeable/valid，不能默认每配置都完整，也不能悄悄删除失败。

一共 13 配置、208 canonical scenarios，对应 2704 个计划配置×题单元，不是本机已取得的2704条轨迹。provider 默认采样、配置差异及基础设施重试也不等于独立重复实验；B.3 的 batch attempts=3 不能读成每题三次独立模型采样。

Verifier 的证据与未解矛盾

作者用确定性匹配/文件差量加语义 judge：有效 judge 时按维度取 D OR J，无 judge 且确定性证据完整时用 D，否则 inconclusive；BCR 单独并合，物理产物证据优先。judge 是 deepseek-v4-flash、temperature=0，最多三次格式重试，不是三票表决。隐藏 oracle 只给 verifier，不把 evaluator 包中的私密值当泄漏。

保留 contested： 表4在192个双人盲审 trial 上列 deterministic/LLM/combined 的 FPR 为 0.0% / 6.7% / 5.9%。在同一有效样本、同一 gold negatives 且严格按上述 OR 合并时，combined 的假阳性集合不能小于 LLM，因此该下降无法仅用四舍五入解释。可能有未展示的后处理、有效集或列口径差异；公开逐 trial 标签尚未取得，不能擅自改数，也不以“96.9% accuracy”直接背书所有安全维度。正文说此表只验证 binary PVR，不涵盖全部 STCR/CCPVR/行为维度。

这与 malskillbench-malicious-label-versus-harm-and-refusal 的 positive 语义检查相连：先确定谓词、有效分母和合并路径，再解释高准确率。这里是论文口径待解释，不等于已证明论文所有实验无效。

可执行迁移：先做合成小题，不碰真实群隐私

为未来隔离测试记录：event_time → policy_version → requester/recipient → object provenance → pending workflow → commit-time decision → generated sink → benign artifact delta。

配对加入/移除、升级/降级；既测撤销，也测新成员是否错误获得旧历史。
安全摘要与敏感精确值分别设 predicate；拒绝文本同样查是否复述 secret。
检查旧记忆、已准备附件、待发送任务和多 requester 链，不能只测最后一段回答。
保存初始/最终产物、实际工具事件、授权事件和结束原因；STCR 与全计划交付率并列。

Harness-Engineering 与 MCP-Gateway-Runtime 可在共享记忆/工具提交边界使用此合同；A2A-Agent2Agent-Protocol 可用它设计 caller×task×撤销负例。但这仅是迁移设计，未向用户群/生产 peer 发起试验，未改 Hermes 权限。

已读范围与证据边界

已归档完整HTML抽取与abstract，精读主文方法/指标/结果及附录动态构造、runtime、extractor/judge、分母相关段；本机只核构造算术和合并单调性。链接 https://github.com/OriginArk/Cosec 的公开页面/API 抓取及 web_extract 均未成功，没有拿到并验证作者仓库、trial lock、轨迹或容器镜像，论文声称 released 不等于本轮可重现。未运行作者模型、Docker、CLI或安全攻击；没有将原文附录的提示词作为本 agent 指令。

写入记录

2026-10-25 09:14 CST：新增事件时授权、工作流跨状态继承、联合效用/安全与有效分母深读；保留表4 OR/FPR待澄清及仓库不可访问边界，非模型或容器复现。