📰 今日 AI / Vibe Coding 新聞
更新時間：2026-10-31 11:00 HKT
AI / Vibe Coding 每日新聞選輯 — 2026-10-31
> 第 38 期｜檢索窗口：2026-10-17 至 2026-10-31（14 天）｜發布時間：2026-10-31 10:00 HKT > > 本期為「Evaluating 'Vibe Coding'」（University of Liverpool, MSc Computer Science）_capstone_ 的每日選輯。今日 arXiv 公告了新的週五批次：/list/cs.SE/recent 顯示 Fri, 30 Oct 2026 (showing 50 of 50 entries)，/list/cs.CR/recent 顯示 Fri, 30 Oct 2026 (showing 83 of 83 entries)（cs.CY 另有 Fri, 30 Oct 2026 37 篇）。本期精選的 5 篇 arXiv 預印本全部來自這一最新批次，並自其中篩出 8 篇 FRESH 候選。另以 GitHub Changelog（2026-10-28 至 10-29）、Snyk RSS（1,678 筆）、The Register /security/ 與 /ai-and-ml/ 區段頁、HN Algolia（3 組關鍵字）與 Endor Labs／AgenticBench 公開排行榜作交叉掃描，補入 1 則產業安全報導 與 1 則主流科技媒體深度報導。所有 arXiv 條目均以 /abs/<id> 正規頁面的 citation_title、citation_author、citation_date metadata 逐篇核對（標題與作者全部相符），並以 dedup_audit.py 對全部 37 期既有 JSON 執行 ID 與 URL 兩層比對，5 篇精選 + 8 篇附錄 + 2 則產業來源全為 FRESH、0 則硬性衝突。 > > 本期主題：覆蓋率的分母是誰決定的？——裁決歸屬、工具盲區與「誰該被問」。 前一期（2026-10-30）追問的是「『通過』離開原本的上下文之後還站得住嗎」（裁決的可攜性、綁定與衰減）；本期往下追問的是更上游、也更少被問的問題：那個裁決的分母是誰劃的？ 七則選材指向同一件事——覆蓋率從來不是工具的客觀屬性，而是一連串「誰有權判定什麼算被檢查、什麼算通過、什麼算合格」的決策結果；而這些決策由不同持份者（掃描器廠商、AI 安全代理廠商、模型供應商、agent harness、judge、開源社群、修復團隊）各自持有，導致同一個「安全」主張在不同手裡會得到不同的分母。本期最有診斷力的兩個數字來自同一組實驗：Snyk VulnBench 2.0 中確定性 SAST 與 AI 安全代理各自覆蓋不同的弱點集合、兩者聯手才逼近天花板（89/108 + 85/108 → 101/108），以及同一個模型在有／無 harness 內建審查政策時，命中數從 16 掉到 9——亦即「AI 漏了什麼」在同等程度上取決於 harness 而非模型；而 Joern 的研究則把同一問題推到最尖銳處：一個否定性裁決會把一個 finding 從人工覆核中移除，而這種否定裁決的選擇性根本無法被測量。 > > 已跳過（前數期已收錄，避免重複）：arXiv:2610.35987（PROBE）、arXiv:2610.36947（Beyond QASecClaw）、arXiv:2610.36114（Context Is a Pipeline）、arXiv:2610.36405（kw-bench）、arXiv:2610.37332（Instruction Stacks）、arXiv:2610.37055（Blindfold）；Snyk VulnBench JS 1.0（2026-10-04 期已收錄——注意本期是 2.0，基準、語言與受測配置皆已更換）；GitHub Changelog 2026-10-28 之 agentic-workflows／Copilot Fusion／Security Extension 等五則（2026-10-29 期已收錄）；The Register PHP2Shell 系列（2026-10-22 至 10-26 期已收錄）。
1. How Deterministic SAST and AI Security Agents Divide the Work: Coverage, Harness Policy and Cost in Snyk VulnBench 2.0
– 出處 / 發表日期: arXiv:2610.38617 [cs.CR / cs.AI / cs.SE]；首次提交 2026-10-28，arXiv 公告日 2026-10-30（Fri, 30 Oct 2026 批次） – 作者: Tal, Liran; Liu, Chris; Fereday, Charlotte; Roth, Sebastian; Clark, Brian（Snyk Labs） – URL: https://arxiv.org/abs/2610.38617 ｜ 基準與完整 run data: https://vulnbench.com ｜ Artifact: https://github.com/snyk-labs/snyk-vulnbench – 重點摘要: 1. 這是迄今最直接的「確定性 SAST vs. AI 安全代理」分割實驗：VulnBench 2.0 收錄 108 個人工審校、攻擊者可達的弱點，分布於 20 個開源 web 應用（Go、JavaScript/TypeScript、Python、Java），其中 62 個跨檔案流動；計分規則極嚴——finding 必須同時定位到攻擊者控制的 source 與危險的 sink，且各自在兩行以內。 2. 在單一盲測協定下評估 9 種產品化配置：Snyk Code 靜態分析器、Claude Code /security-review（3 種模型 × effort 設定，其一掛載 Snyk MCP server）、Codex Security（GPT-5.6 Luna／Terra／Sol）、DeepSec（2 種模型後端）。結果：Snyk Code 達 82.4% macro recall（89/108），Claude Code（Opus 5, xhigh）達 79.3%（85/108）；兩者在 28 個弱點上不一致（16:12 分割），統計上無法區分優劣——兩者單獨皆不足，聯手達 101/108，即七種可比配置的上限。AI 配置另回報至少 7 個真實但不在參考集中的弱點（Snyk Code 未回報）。 3. 最關鍵的方法學發現：AI 引擎「漏了什麼」在同等程度上取決於其 harness 而非模型——移除 Claude Code 內建的審查政策後，同一個模型在該政策排除／限制的弱點類別中只命中 9 個而非 16 個（20 個中的 19 個應用補充實驗）；Codex Security（GPT-5.6 Sol）在檔案層級定位到 80 個弱點，但在行層級只剩 34 個；DeepSec 的 model-free 檔案選取則只為 108 條流中的 56 條保留了相關檔案。覆蓋率與成本僅呈鬆散相關。 – 與本論文的關聯（RQ1／RQ3）: – RQ1（SAST 覆蓋率） — 本項直接給出「覆蓋率」在 2026 年的可操作分解：覆蓋率 = (SAST ∪ AI-agent) 的聯集，而聯集遠大於任一單獨引擎（89 ∪ 85 = 101 > 101 > 89 或 85）。更關鍵的是，計分規則本身（source 與 sink 各在兩行內）與定位粒度（檔案層 80 → 行層 34）會把同一份工具輸出變成完全不同的分母。這意味著本論文若只報「AI 掃描出 N 個弱點」，其分母在方法上是不完整的：必須聲明分母如何構造、定位粒度為何、以及與確定性工具的聯集。 – RQ3（跨模型基準） — 「同模型在不同 harness 下命中數 16 → 9」是本窗口最乾淨的 harness 混淆因子證據之一，且是在受控盲測協定下、以產品化配置（非實驗室 harness）取得。因此本論文的跨模型比較，必須把「審查政策」列為顯式受控因子並公開其內容，否則模型差異將無法歸因。
2. When Static Reachability Says No: Checking Joern-Based Negative Verdicts for Python Against Execution
– 出處 / 發表日期: arXiv:2610.39504 [cs.SE / cs.CR]；首次提交 2026-10-29，arXiv 公告日 2026-10-30（Fri, 30 Oct 2026 批次） – 作者: Zięba-Kozarzewski, Artur; Grzegorzewski, Bartosz – URL: https://arxiv.org/abs/2610.39504 – 重點摘要: 1. 切入點極精準：一個否定性可達性裁決（negative reachability verdict）會把一個 finding 從人工覆核流程中移除——因此 SAST 的「覆蓋率」實際上是由這些否定裁決所排除的項目所界定。作者建立 SourceLens pipeline，把 Semgrep 的 findings 對映到 Python 程式呼叫圖，其邊取自 Joern 在 code property graph 中連結的呼叫。 2. 在 PyCG 巨集基準中，人工呼叫圖與 Joern 互相矛盾的兩個命令列程式上：以 Joern 判斷，asciinema 有 123 個函式從程式進入點不可達；但該專案自己的整合測試腳本實際執行了其中 86 個，而作者的所有執行則觸及 113 個。Sublist3r 中 24 個有 19 個實際被執行。最新的 Joern 版本給出完全相同的裁決——錯誤不在版本，而在建模。 3. 缺漏的呼叫多經由值傳遞（類別、到處傳遞的函式）或根本沒有呼叫表達式（with 區塊、property reads）。在 asciinema 中，僅 4 條缺漏邊便讓 113 個被執行函式中的 50 個重新變成可達。將否定裁決改判為「未知」的規則可回收 113 個中的 62 個、19 個中的 15 個（多靠 dunder 與 private method 名稱辨識），但對 5 個帶否定裁決的安全 finding 一個都回收不了（它們全在被執行的函式中）。該規則的選擇性（specificity）無法被測量——只有 10 與 5 個否定裁決對應到未被執行的函式；且在 library entry-point 模型下，它會讓每一個否定裁決都退化。 – 與本論文的關聯（RQ1／RQ2）: – RQ1（SAST 覆蓋率） — 這是本期對「分母」最尖銳的一項：覆蓋率報表中未被回報的部分，往往是被否定裁決「靜默移除」的，而移除的正確性無法用靜態方式驗證、只能靠執行比對。更關鍵的是，作者同時證明了兩種常見修補方式的代價：改判為「未知」會讓安全 finding 全部漏掉（0/5），而維持原狀則讓大量真實執行路徑被誤判為不可達。因此本論文在報覆蓋率時，必須把「不可達」與「未被執行」分開報告，否則分母本身是未經驗證的。 – RQ2（LLM-as-Judge 效度） — 否定裁決是「裁決」的一種最原始形態，而本文證明任何裁決只要會把證據移出人工覆核，就必須承擔與 LLM judge 同級別的驗證責任。這也說明 RQ2 的效度框架不能只檢驗 LLM judge：靜態分析器的否定判斷同樣是「自動裁決」，同樣需要執行式錨點。
3. When Skills Tell Agents Not to Ask: A Large-Scale Study of Oversight Directives in Agent Skills
– 出處 / 發表日期: arXiv:2610.37734 [cs.CR / cs.AI / cs.SE]；首次提交 2026-10-27，arXiv 公告日 2026-10-30（Fri, 30 Oct 2026 批次） – 作者: Sanko, Timofey; Tian, Yuan – URL: https://arxiv.org/abs/2610.37734 – 重點摘要: 1. 首個大規模實證研究，量化 agent skill 中「放寬監督（oversight-loosening）」指令的普遍程度：分析 GitSkills 的 153 萬個英文 skill，切分為句子／條列／表格儲存格／程式碼行等單位，建立以極性、機制、範圍標註的 codebook，人工標註 2,097 個單位後訓練偵測器以擴展分析。 2. 結果：約每 17 個 skill 就有 1 個（約 8.8 萬個 skill）含有放寬監督的指令；這類指令最常透過權限旗標（permission flags）放寬監督，且 70.1% 為無條件生效，而非僅限於 CI 等特定情境。會執行 shell code、安裝套件或使用 sudo 的 skill，其含有放寬指令的機率為同監督語言量 skill 的 1.7–1.8 倍，且此關聯在所有穩健性檢查下成立，且這些 skill 並未以更多「收緊」指令作為補償。 3. 傳播路徑高度集中：2.4% 攜帶放寬指令的 skill 家族貢獻了全部帶放寬指令 skill 的一半拷貝數，1.1% 的相異放寬單元貢獻了一半的放寬事件——放寬主要透過少數上游 skill 傳播，而非下游採用者的編輯。關鍵的能力落差：現有開源 skill 掃描器最多只能抓到 46% 的放寬指令，且精確率低於 0.4；而以同一 codebook 提示其背後的 LLM 則可抓到 61%、精確率 0.71。 – 與本論文的關聯（RQ1／RQ2／RQ4）: – RQ2（LLM-as-Judge 效度） — 這是本期最直接的 LLM-as-judge 對照實驗：同一個安全語意任務上，規則式掃描器 46% recall / <0.4 precision，LLM（給定 codebook）61% recall / 0.71 precision。這為本論文提供一個可在自身資料集上重做的量化錨點：LLM judge 相對確定性掃描器的增益不是「有或無」，而是可以用 recall / precision 兩個數字分別表達的。同時它也示範了 LLM judge 的已知弱點：62% 的放寬指令仍會漏掉，precision 0.71 代表每四個判定就有一個是錯的。 – RQ1（SAST 覆蓋率） — 「skill 掃描器的覆蓋率」在 2026 年是 vibe coding 供應鏈的實際前沿，而本文證明現有掃描器的覆蓋上限約 46%，且該數字是在單一 skill 層級；結合前一週期已收錄的組合安全發現（clean skills 的不安全組合），「逐項掃描安全」的可推論上限遠低於實務需求。 – RQ4（持份者整合） — 2.4% 上游家族貢獻一半傳播量，意味著治理槓桿點集中在上游發布者而非下游採用者；這是 RQ4 治理模型中一個可直接操作的介入點。
4. Repairs for Whom? Evaluator-Executor Mismatch in Selecting Repairs for Failed LLM Agents
– 出處 / 發表日期: arXiv:2610.38610 [cs.SE / cs.CL]；首次提交 2026-10-28，arXiv 公告日 2026-10-30（Fri, 30 Oct 2026 批次）；17 pages, 4 figures, 11 tables – 作者: Liao, Yijun; Liang, Fanwei – URL: https://arxiv.org/abs/2610.38610 – 重點摘要: 1. 研究問題極具 capstone 相關性：當 LLM agent 失敗時，修復方法會用「貪婪重播（greedy replay）、更強的模型、環境 oracle、或讀取失敗日誌的 judge」來評分候選修復——這些 evaluator 選出的修復，是否真的對「即將執行它的那個 agent」有益？ 作者固定失敗軌跡與候選單步修復，用被部署策略的獨立 rollout 標記每一候選，測量每個 evaluator 的選擇損失了多少部署價值。 2. 在未依修復價值預先篩選的失敗上：貪婪重播相對於「以被部署 agent 自身 rollout 選修復」損失 ALFWorld 上 0.08–0.13 的期望淨成功率、WebShop 上 0.06–0.13 的淨獎勵。等 rollout 預算下，用 Qwen2.5-14B 的 rollout 為 Qwen2.5-7B 選修復，損失 ALFWorld 0.25、WebShop 0.07；每候選 20 次 14B rollout 的價值不超過 7B agent 自身 2 次 rollout 的價值；而在「兩模型偏好相反修復」的分歧案例上，新鮮 rollout 確認了這種相反。在不同家族的相近規模模型之間，損失在兩個環境中雙向出現（0.07–0.17）。 3. 評分用的 executor 本身會改變修復位置的標籤與方法排名。結論具規範性：修復應以「將會執行它的那個 executor」來驗證，且修復標籤必須標明其 executor。 – 與本論文的關聯（RQ2／RQ3）: – RQ2（LLM-as-Judge 效度） — 本文提供了 RQ2 最缺乏的那塊：judge 與 executor 的分離本身就是效度威脅，而且是可量化的（0.08–0.25）。這意味著本論文的 LLM-as-Judge 章節不能只報告 judge 與人工的一致率，必須額外報告 judge 所依據的 rollout 是否來自將實際執行程式碼的那個模型與 harness。若用更強模型做 judge 而用較弱模型執行，judge 的「更好」判斷會系統性偏移。 – RQ3（跨模型基準） — 「20 次 14B rollout ≤ 2 次 7B 自身 rollout」與「跨家族損失雙向出現」共同說明：跨模型的修復／評分結論必須在同一 executor 上取得，否則量到的是 executor 差異而非模型差異——這與 VulnBench 2.0 的 harness 效應是同一族證據。
5. Beyond Passing Tests: A Systematic Review and Controlled Re-evaluation of Techniques for Improving the Quality of LLM-Generated Code
– 出處 / 發表日期: arXiv:2610.38977 [cs.SE / cs.CL / cs.LG]；首次提交 2026-10-28，arXiv 公告日 2026-10-30（Fri, 30 Oct 2026 批次）；55 pages + 120 pages 補充材料 – 作者: Kadam, Prashank – URL: https://arxiv.org/abs/2610.38977 – 重點摘要: 1. 系統性文獻回顧 628 篇主要研究（2021 年 7 月至 2026 年 10 月），依階段、訊號來源與品質目標組織技術。作者指出此領域的結構性缺陷：多數研究只量測自己宣稱的那一個品質維度；增益常伴隨不變或未報告的正確性；單一自動化品質訊號會被「game」；計算預算、變異與污染（contamination）極少被報告。 2. 受控再評估：在等預算下，於 4 個模型上跑 10 種技術，量測正確性、可維護性、效率與安全；再延伸至 13 個當代模型與 repo 層級任務；並在 Gemma 4 31B 上 head-to-head 比較 66 種技術。結果：單次呼叫下，quality prompting 會拉高 analyzer issue count，卻幾乎不動 complexity 與 judge 分數；在等預算下，best-of-n 加上 analyzer-weighted ranker，在該 ranker 未最佳化的量測上持平或優於 prompting、planning、self-refinement、reviewer agent 與 retrieval；analyzer feedback loop 與 fine-tuning 只在 analyzer issue count 上勝出。 3. 兩個對基準研究具破壞性的發現：其一，HumanEval+ 上出現的大幅正確性損失，在模型訓練截止日之後舉辦的競賽題上並未重現——HumanEval+ 極可能已污染且接近天花板；其二，在 66 種技術的 head-to-head 中，只有 1 種在它的主要目標上以超出 95% 區間擊敗 best-of-n，此比率與隨機（chance）一致。作者的結論即本論文的方法學前提：增益應以「等預算的取樣基準」為對照組報告，且量測應獨立於該技術自身所最佳化的訊號。 – 與本論文的關聯（RQ2／RQ3）: – RQ2（LLM-as-Judge 效度） — 「66 種技術中只有 1 種超越隨機」與「單一自動化品質訊號會被 game」是對整個 vibe coding 品質主張體系的冷卻劑：若一個技術只在自己最佳化的那個訊號上看起來有效，該訊號就已被污染。這為本論文提供一條可直接抄用的對照組設計規則：所有 LLM-as-Judge 分數必須與 (a) 等預算的取樣基準、(b) 獨立於 judge 的第二訊號 同時報告。 – RQ3（跨模型基準） — HumanEval+ 污染的證據是本窗口最具體的基準完整性警告：先前引用 HumanEval+ 進行的跨模型比較若未標註污染狀態，其結論需重估。本論文的跨模型基準應優先採訓練截止日之後的題目集，並公開題目生成與截止日的對齊證據。
6. Researchers find bugs in 5 AI developer tools, with OpenAI and Microsoft flaws still unpatched
– 出處 / 發表日期: The Register（Security），Jessica Lyons；2026-10-29（URL 日期路徑 2026/10/29；article:published_time 為 2026-10-29T23:12:26Z） – URL: https://www.theregister.com/security/2026/10/29/researchers-find-bugs-in-5-ai-developer-tools-with-openai-and-microsoft-flaws-still-unpatched/5306508 – 重點摘要: 1. AI 安全新創 Forever Security 在 5 款 AI 開發工具中發現多個漏洞：Cursor、GitHub Copilot、Anthropic Claude Desktop、VS Code、Codex。共同弱點是嵌入式瀏覽器被賦予了超越一般瀏覽器的能力——Forever 將此類命名為 "Embrace"（EMbedded BRowser），指出這些擴充「侵蝕了傳統威脅模型」：作為 agent 輸入、作為分頁自身網址的權威、或作為對主機的觸及能力。後果分別為 Cursor 的程式碼執行、Claude Desktop／Codex／VS Code 的資料竊取、GitHub Copilot 的網址列偽裝。 2. 披露與修補流程的失效極具指標性：研究團隊於 2026-09-10 向 Cursor 披露，Cursor 於 10-01 靜默修補，未發布安全公告、亦未回應研究團隊；Copilot 的網址列偽裝缺陷於 09-26 在 Copilot 1.1.27 發現，GitHub 於 10-13 在 1.1.29 獨立修補——未收到漏洞報告；Anthropic 於 07-23 收到 Claude Desktop 漏洞報告後，以「workspace trust 屬安全邊界、報告無效」為由拒絕，一天後 Noma Security 報上同一缺陷，Anthropic 才改為接受；Forever 於 07-27 向 OpenAI 披露 Codex 缺陷後未獲回應，該缺陷至今未修補；VS Code 缺陷於 09-10 披露後同樣被標為「workspace trust 邊界、報告無效」，且至今未修補。 3. 技術根因值得記錄：三家廠商的 coding assistant 都允許在內建瀏覽器開啟的本機 HTML 檔案逃逸其邊界並存取其他檔案；Claude Desktop 與 VS Code 雖限制本機頁面只能存取專案資料夾，但該限制不適用於 Web Worker（背景執行緒），因此本機頁面可啟動 worker 並繞過限制讀取主機上任意檔案；Codex 則完全沒有此限制，本機頁面可直接讀取任意檔案。 – 與本論文的關聯（RQ1／RQ4）: – RQ1（SAST 覆蓋率） — 本項為 RQ1 提供一個全新且危險的分母：vibe coding 的攻擊面並不止於被掃描的程式碼，而包含 IDE／agent 執行環境本身（嵌入式瀏覽器、web worker、本機檔案邊界）。任何只在 repo 內做 SAST 的覆蓋率量測，在分母上就已經漏掉這一整層。 – RQ4（持份者整合） — 這是本期 RQ4 最強的證據：「披露—回應—修補—公告」這條鏈在五個持份者身上分別以不同方式失效（靜默修補不公告、獨立修補不回覆、以信任邊界為由拒收報告、披露後逾三月未修補）。這意味著 RQ4 的持份者整合模型必須包含漏洞回應行為本身作為一個可量測變項（回應時效、是否發布公告、報告有效性判定），而不能只測量「組織是否採用了工具」。
7. The 'Pain in the Ass' Math That Could Save Vibe Coding From Itself
– 出處 / 發表日期: WIRED，Paresh Dave；2026-10-29（datePublished 2026-10-29T11:00:00-04:00 / 15:00 UTC） – URL: https://www.wired.com/story/software-verification-is-the-hot-new-answer-to-the-ai-safety-crisis/ – 重點摘要: 1. WIRED 報導形式化驗證（formal verification）正在成為回應 vibe coding 安全問題的產業答案：新創 &Truth 於上週四公開上線、已募得 7,000 萬美元，共同創辦人暨 CSO Ilya Sergey 提出「橋梁與大樓之所以不倒塌，是因為建造前先做了數學」；Robinhood 執行長 Vlad Tenev 共同創辦的 Harmonic 已募得 2.95 億美元，其數學取向 AI agent Aristotle 支援驗證 C 語言程式與 Verilog 硬體設計。Sun 研究團隊曾以 AI 驗證 Signal 訊息加密程式碼的一部分。 2. 與本論文最直接相關的一點：上週 Anthropic 與驗證新創 Theorem 共同宣布，雙方以 AI 協助在開源軟體中找出「數兆次測試都未曾偵測到」的缺陷，並為 Claude 推出協助其他開發者進行驗證的 add-on。「測試全過但仍存在缺陷」正是 vibe coding 安全論述的核心命題，而這一命題現在有了產業級的實作回應。 3. 但報導也保留關鍵懷疑：形式化驗證仍處於原型階段，高度依賴「計算機與人如何互動」的假設；專家對其能否捕捉源自使用者操作錯誤與硬體故障的缺陷表示懷疑，且不清楚客戶願意支付多少、以及偏好如何採用。 – 與本論文的關聯（RQ4／RQ2）: – RQ4（持份者整合） — 這是本期 RQ4 的產業層對照組：當「vibe coding 不安全」的論述在業界落地，回應不是更多 code review，而是把保證的形式基礎從「測試」換成「證明」。本論文的 RQ4 應把「組織採用的保證形式」視為一個可觀測的持份者決策變項：同一批受訪者（開發者、資安主管、平台方）若被問「你們用什麼保證 vibe coding 的產出」，其答案分佈本身即是研究結果。 – RQ2（LLM-as-Judge 效度） — 形式化驗證提供了一個不依賴 LLM judge 的外部裁決錨點（可執行、可重放、可被形式系統檢查）。這與 VulnBench 2.0 中「確定性 SAST 與 AI 代理聯手才逼近天花板」是同一方向證據：裁決權需要分散到異質且可獨立驗證的裁決者手上——這是本論文 RQ2 章節可以直接採納的設計原則。
對本論文（Implications for the Capstone）
本期 7 則選材呈現一個共同訊號：vibe coding 的安全保證不是一個技術問題，而是一連串關於「誰有權界定分母」的治理決策；因此覆蓋率從來不是工具的客觀屬性。 前一期（2026-10-30）追問裁決離開原上下文後是否還站得住，本期把問題推到更上游——裁決本身由誰做出、以什麼分母做出、漏掉的由誰承擔。具體而言：(RQ1) 覆蓋率的分母必須被拆成三層並各自聲明失效邊界：排除層（Joern 證明否定裁決會把 finding 從人工覆核中移除，而「不可達」與「未被執行」必須分開報告，改判為「未知」則 5/5 安全 finding 全漏）、聯集層（VulnBench 2.0 顯示確定性 SAST 與 AI 代理聯手達 101/108，任一單獨皆不足，且 AI 另回報至少 7 個參考集外的真實弱點，故分母必須是聯集而非單一引擎）、定位粒度層（同一份 Codex Security 輸出在檔案層為 80 個弱點、行層僅 34 個；且 SAST 覆蓋率本身並未涵蓋 IDE／agent 執行環境——嵌入式瀏覽器、web worker、本機檔案邊界這一整層在 repo 內掃描中根本不會出現）；(RQ2) 本期是 RQ2 章節迄今最具操作性的兩份證據——skills 監督指令研究給出同任務的直接對照數字（規則掃描器 46% recall / <0.4 precision vs. 同一 codebook 提示下的 LLM 61% / 0.71），證明 LLM judge 相對確定性工具的增益必須以 recall 與 precision 分開表述，而「Beyond Passing Tests」的 66 種技術中僅 1 種超越隨機則證明單一自動化品質訊號必被 game，故本論文必須同時報告 (a) 等預算的取樣基準、(b) 與 judge 訊號獨立的第二訊號、(c) judge 與 executor 的同一性（Evaluator-Executor Mismatch 顯示貪婪重播損失 0.08–0.13、跨模型 rollout 損失最高 0.25，故 judge 若非實際執行者，其判斷會系統性偏移）；(RQ3) 三則獨立證據指向同一設計要求：模型版本、harness 審查政策、與測試題集生成截止日三者都必須被凍結並公開——因為同一模型在有／無 Claude Code 內建審查政策時命中數從 16 掉到 9，且 HumanEval+ 的污染已使其與訓練截止日後的競賽題產生相反結論；(RQ4) 控制權正由「人的覺察」移往持份者間的制度化介面：漏洞回應鏈本身已成為可量測變項（Forever 的披露在五個廠商身上分別以「靜默修補不公告」「獨立修補不回覆」「以信任邊界拒收報告」「披露逾三月未修補」四種方式失效），而產業端對 vibe coding 的正式回應已從 code review 轉向形式化驗證（&Truth 7,000 萬、Harmonic 2.95 億、Anthropic×Theorem 以 AI 找出數兆測試未偵測的缺陷），因此 RQ4 的持份者整合模型應新增兩個變項：「保證形式」的選擇（測試 vs. 證明）與「漏洞回應行為」的時效與透明度。綜合而言，本期為本論文的方法學立場再添一條硬約束：任何關於 vibe coding 安全性的主張，其有效性取決於「分母由誰劃、裁決由誰做、漏掉的由誰承擔」——這三者必須被寫成可重演、可稽核的研究設計，而不是留在報告的附註裡。
編按：本期來源構成為 5 篇 arXiv 預印本（全部取自 arXiv 標示為 Fri, 30 Oct 2026 的最新批次，cs.SE 與 cs.CR 為主；每篇均以 /abs/<id> 頁面的 citation_title／citation_author／citation_date metadata 逐篇核對，並以 dedup_audit.py 對全部 37 期既有 JSON 執行 ID 與 URL 兩層比對，5 篇精選 + 8 篇附錄全為 FRESH、0 則硬性衝突）＋ 1 則產業安全報導（The Register／Forever Security "Embrace" 揭露，2026-10-29）＋ 1 則主流科技媒體深度報導（WIRED／&Truth、Harmonic、Anthropic×Theorem，2026-10-29）。另以 HN Algolia（3 組關鍵字、近 14 日）、Snyk RSS（1,678 筆）、The Register 兩個區段頁、GitHub Changelog（2026-10-28 至 10-29）、Cursor changelog 與 AgenticBench／Endor Labs 公開排行榜作交叉掃描確認；Snyk 自 2026-10-28 的 PHP2Shell 事後檢討後無新文（已於 2026-10-29 期收錄），Cursor changelog 各則條目均為已見項目，GitHub Changelog 2026-10-28 之 Dependabot reachability analysis／AI Scan for repositories／Code scanning for AI applications 三則與本期主題高度相關，已列入下方附錄。 另有以下條目已審閱但本期未列入精選，留供下期或延伸閱讀： – arXiv:2610.38521 — Security Impact of Coding Agent's Memory Files（2026-10-28；de Moura, Thiago Santos; Güler, Selma; Noller, Yannic；對 12 個 CWE 類別各製作兩種惡意記憶檔（Qualified 變體把移除防禦檢查包裝為「工程最佳實踐」，Forceful 變體直接命令移除），在 36 個 SecRepoBench 任務上以 Claude Code（Sonnet 5.5）與 OpenCode（Qwen 3.8 27B、DeepSeek V4.1 Flash）對照執行：惡意記憶檔使安全完成率變動 −8 至 +6 個百分點，且跨 agent 與變體無一致模式；Claude Code 約三分之二的最終訊息會點名該檔案，而 OpenCode 幾乎只在 reasoning trace 中提及、不到開發者讀到的最終訊息；把該檔案標記為攻擊並不能可靠保護程式碼）——對 RQ2 是「judge 讀的是最終訊息還是 reasoning trace」的直接證據，對 RQ4 是跨 agent 揭露行為差異的實證。 – arXiv:2610.37901 — Scan Before You Install: Detecting and Mitigating Local and Composite Vulnerabilities in Skills（2026-10-27；Gandhi, Parth A.; Aviv, Avital; Wudali, Prasanna N.; Elovici, Yuval; Shabtai, Asaf；六模組掃描器在 SkillTrustBench 的 556 例子集達 95.90% recall / 4.22% FP，在 1,000 個 MalSkillBench skill 上 F1 = 0.947，優於 Cisco Skill Scanner、NVIDIA SkillSpector、AgentSkillsScanner 與 SkillSieve；在 75 個高星 repo 的 1,587 個 skill 中，三位分析師確認 53/59 發現（89.8% precision）涵蓋 23 個 repo；複合分析 F1 = 0.991，優於 CompoSkill 三個 SkillsGuard 配置的 0.816–0.858；47/55 個 GitHub 發現的緩解措施在所有試驗中阻擋了 PoC 攻擊）——與本期第 3 則構成「掃描器能做到什麼」與「現有掃描器做不到什麼」的完整對照。 – arXiv:2610.39840 — Surprise Alone Learns Lies: Evidence-Gated Continual Learning for LLMs from Streaming Claims（2026-10-29；Metales, Abdelkader; Grabenheinrich, Miriam；LoRA 適配的 Qwen2.5-1.5B／3B 與 Llama-3.2-3B；真實 LLM judge 會連無來源的真實陳述也一併拒絕，模型自身 prior 能以 AUC 0.78–0.83 分離「已知事實的謊言」但對「同類事實的合法更新」只有 AUC 0.53，並可節省 43% judge 呼叫，但攻擊者可挑選能通過它的謊言；當攻擊者為 30% 的謊言植入匹配來源時，整體系統反而比單用 judge 更差）——對 RQ2 是「驗收訊號各自回答不同問題、沒有任何一個能單獨決定真偽」的量化版本。 – arXiv:2610.40234 — Unraveling the Efficacy of Neuron Coverage Criteria on Testing Large Language Models（2026-10-29；Ren, Xiaoning; Song, Jiayang; Liu, Chongyang; Li, Jie; Ma, Lei; Xue, Yinxing；已發表於 ACM TOSEM 2026；評估六項 neuron coverage criteria，錯誤樣本相較雜訊樣本僅多出 0.32% 的額外覆蓋，即對揭露對抗性錯誤的敏感度極低；coverage criteria 在 33 個設定中的 26 與 30 個能有效評估分佈多樣性與樣本公平性；納入 neuron-wise coverage 指引於測試生成僅使對抗樣本產出增加 4.56%）——「覆蓋率標準只是安慰劑」的教科書式案例，對 RQ1 具方法論警示價值。 – arXiv:2610.39122 — Appreciation Teaches Unauthorized Execution: Self-Evolution Degrades the Robustness of Personal Agents to Indirect Prompt Injection（2026-10-29；Wang, Xinyan; Liu, Xiaogeng; Shao, Jun; Xiao, Chaowei；兩階段方法論——適應期（agent 依使用者回饋自我演化）與測試期（第三方在外部內容寫入相似任務，使用者測試請求並未授權）；相較不演化的 base agent，skill evolution 使平均攻擊成功率上升 14.0–48.8 個百分點、reinforcement learning 使之上升 3.0–39.3 個百分點）——對 RQ3/RQ4 是「agent 越學習越不安全」的首份受控量化。 – arXiv:2610.40535 — Efficient Scalable Oversight via Rewinding（2026-10-29；Guan, Ziyi; Kalai, Yael Tauman; Rothblum, Ron; Xi, Zoe；提出 rewindable interactive proofs（RIPs），允許 verifier 將 prover 回捲到互動中的較早狀態並繼續，因此可在不假設兩個 prover 之一誠實的情況下達成 scalable oversight；構造比先前不依賴誠實 prover 的相對化證明更有效率且不使用密碼學，honest prover 執行時間與原計算線性相關；已實作並以 MNIST 初步實驗驗證，顯示 RIP 可能快於已部署的最先進證明系統）——對 RQ2 是「裁決者可否重放被裁決過程」的理論基礎。 – arXiv:2610.38799 — CARI: Cross-Boundary Adversarial Runtime Injection in Coding-Agent Workflows（cs.CR / cs.SE，Fri 30 Oct 2026 批次）— 編入 arXiv 標題掃描，摘要尚未核對，留待下期。 – The Register — Attackers turn GitHub issues into supply chain campaign against 61 public repos in less than an hour（2026-10-29；Radware 資深研究員 Gabi Nakibly 與 Zvika Babo；攻擊者以 74 個 GitHub 帳號、在 43 分鐘內發布 77 個惡意 issue／PR／comment（其餘 6 個在兩分鐘內），惡意命令藏在 HTML 註解中以避開渲染頁面，GitHub 事件自動觸發 CI workflow，一秒內即自動執行，workflow 將攻擊者控制的內容直接嵌入 shell source，執行後蒐集環境變數並外傳；已確認 83 個 GitHub 項目、61 個 repo，含 google/langextract（38.9K stars）、aquasecurity/trivy（38.4K）、CopilotKit（38K）、QwenLM/qwen-code（28.5K）、mlflow（28.4K）、discordjs（26.8K）、cilium（25.6K）、brave/brave-browser（23.9K）、github/docs（21K）、apache/doris（16K）等；建議對 CI/CD workflow 套用最小權限，並將外部事件觸發的 workflow 與具高權限的 job 分離）——與本期第 6 則共同指向「agentic 開發鏈本身即供應鏈攻擊首選目標」。 – Forever Security — Markdown Is the New Executable: Attackers Are Dropping Agent Instructions Into Your Downloads Folder From the Web（2026-10-26 起於 HN 討論、2026-10-28 列入 HN；研究團隊在真實客戶機器上捕獲此攻擊：網站可安靜地在員工電腦的 Downloads 資料夾投放一個指令檔（AGENTS.md 類），Codex 與 Claude Code 開啟該資料夾時會自動載入並當作命令服從，可被誘導交出密碼或執行攻擊者程式碼；此向量無法單純修補，因其濫用工具的設計行為；在受測公司中有一半有員工在跑這些 assistant，而其中每一位使用瀏覽器者皆暴露）——與本期第 6 則為同一研究團隊的相鄰發現。 – AgenticBench 公開排行榜（agenticbench.org；dateModified 2026-10-28；由 Agentic Thinking LTD 維運；11 項檢查、每列標明 harness 版本與發布日／測試日，衡量的是 agent 自身對機器與資料的行為——egress、telemetry、workspace 邊界與 secrets，而非它所寫程式碼的安全性；目前有多個 harness 達 11/11 通過）——本論文若要借用「harness 版本 × 測試日期」的可稽核列示格式，此排行榜是現成範本。 – GitHub Changelog 2026-10-28 三則與本期主題直接相關（本期未列入精選，留作後續週期的主來源候選）：Prioritize Dependabot alerts with reachability analysis（JavaScript／TypeScript 公開預覽，於受控 GitHub Actions workflow 中以 CodeQL 建立跨 repo 與相依套件的呼叫圖，為每個 advisory 標出通往弱點函式的呼叫路徑與證據）、AI Scan for repositories in public preview（AI Scan 告警直接流入 code scanning backlog，可用 agentic autofix 修復或加入 security campaign，合併修復不會自動關閉告警，以 Code Security AI credits 計費且可設 SKU 層級預算）、Code scanning for AI applications in public preview（code scanning 可偵測 AI 應用與 agent 弱點，於 PR 的 Conversation／Files changed 分頁提供修復指引）。三則共同構成「以可達性與執行路徑取代嚴重度分數來排序告警」的 2026-10 產品化方向，與本期第 2 則（否定裁決的可達性）形成理論—實作的對照。
AI 新聞每日自動收集並發佈
Leave a Reply