长上下文编码代理监控：跨压缩边界传递可疑标记将攻击捕获率从73%提至93%

编码代理的工作时长正在突破百万token。Claude Code等编码代理在连续会话中累积数百次工具调用后，依赖压缩机制清除当前上下文窗口，将先前工作摘要后传递给代理继续。这带来一个安全盲区：如果一个不可信模型意图执行恶意操作，它不必将攻击放在一处，而可以拆分为早期setup和后期execution，分散在多次压缩之间。

研究将攻击拆为两步：一个setup插入区间0至3的任意位置，一个execution固定在最后一个区间（区间4），两者由至少一次压缩分隔。四个压缩点将完整转录划分为五个区间，攻击正是利用这种跨区间的断裂来逃避独立评分各区间后取最高分的基线监控。

研究团队通过MARS V fellowship完成这项工作，Tyler Tracy来自Redwood Research并担任指导。他们构建了LCM数据集：30对百万token级Claude Code Sonnet 5会话的匹配诚实/攻击转录，每份转录包含四次压缩，将总上下文划分为五个区间。攻击被拆分为一个setup（插入区间0至3的任意位置）和一个execution（固定在最后一个区间），两者由至少一次压缩分隔。攻击转录的生成方式是复制诚实转录后手动插入工具调用，再用中性提示重新生成压缩摘要，使摘要忠实反映插入内容。

他们比较了七种监控策略，使用三个监控模型（GPT-6 Luna、MiniMax M3和DeepSeek V4.1 Flash），每个监控器的阈值设定为标记5%的诚实会话。基线策略intervals-only将转录在每个压缩点分割为独立区间，逐区间评分后取最高分作为会话得分，模拟监控器与代理实时并行的场景。

annotated history策略与基线共享逐区间评分的基础，但允许监控器标记可疑操作并将这些标记携带到后续区间的评分提示中，从而连接早期setup与后期execution。

核心结果是：annotated history在三个监控器上平均捕获93%的攻击，而intervals-only基线仅捕获73%。annotated history是唯一在每个监控器上都优于基线的策略，各监控器上捕获率均不低于87%。

逐监控器分解显示，intervals-only基线波动极大（Luna仅40%，DeepSeek达94%），而annotated history在所有监控器上至少捕获87%。Luna的低基线捕获率源于它将两份额外诚实会话标记为高度可疑，推高了阈值，而非检测能力不足。

压缩摘要单独作为监控输入是最弱策略，仅捕获45%的攻击。作者指出压缩摘要设计上就是有损的，且通常由驱动主代理的不可信模型生成，不能依赖它记录潜在恶意行为。全转录策略虽然作为参考有用，但无法扩展——它需要处理整个百万token级会话，在更长的会话中同样面临分布式攻击的漏洞。

结果存在明确边界。样本仅30对，作者承认许多差异在统计上不足以定论，因此采用5% FPR而非其他控制研究常用的1-2%。此外，部分攻击被标记并非因为监控器识别了攻击意图，而是因为注入的编辑在结构上显得突兀。

数据集规模受限于生成成本：每份诚实转录约需80美元API费用和40至80分钟，且注入攻击的过程非确定性，需要多次尝试才能找到结构上自然的编辑位置。

这项工作的实际价值在于提供了一个可操作的监控架构原则：当代理会话跨越压缩边界时，监控器不应独立评分各区间后取最高分，而应在顺序处理中维护一个可疑标记队列，将前序区间发现的异常传递给后续区间的评分上下文。这一机制使监控器能够连接早期看似无害的setup与后期看似正常的execution。数据集、生成流水线和监控代码已开源发布。