Coding Agent 上下文压缩破坏来源证明漏洞实证

该论文指出在运行时间较长的开源 Coding Agent 中，为节省资源而进行的上下文压缩（Context Compacting）步骤存在可利用的信任边界漏洞。当工具将结构化的对话消息扁平化为单一纯文本字符串并标记角色标签时，会不可逆地销毁消息的来源证明（Provenance）。攻击者若能控制代理读取的任何内容，即可伪造一条在压缩后仍被视为真实用户指令的消息，从而绕过安全限制。 实验数据显示，在 pi、opencode、Cline、Aider 和 OpenHands 等五种采用扁平化处理的框架中，伪造指令成功混入代理记忆的比例高达 87% 至 100%，即使在约 90.8 万 token 的上下文窗口下依然有效；而在 Codex、Gemini CLI、Qwen Code 和 Continue 这四种保留角色类型信息的框架中，攻击成功率则为 0%。这种被“清洗”过的虚假批准足以驱动执行工具运行的代理在沙箱中执行 `curl | sh` 命令，或在真实的 pi TUI 环境中以约 50% 的成功率诱导代理偏离计划，甚至让代码审查工具对植入的后门视而不见。 由于来源信息在序列化代码中被确定性销毁，任何基于提示词层面的防御都无法恢复该信息。作者提出了一种代码级的来源检查方案，可拦截 77% 的清洗行为但可能误伤 2% 的正常摘要内容，而最简单的修复方式是在序列化阶段对角色标签进行转义处理，或直接采用保留角色类型的架构以避免此类问题。事实部分基于五组对比实验数据，推断部分涉及对现有架构安全性的评估，猜测部分仅限于对未测试框架潜在风险的推测。