"When Context Gets Root: Privilege Escalation in LLM Harnesses" قُدّمت إلى arXiv في 16:03:57 UTC يوم 27 أغسطس. وتقول إن البرمجية التي تحيط بالنموذج — لا النموذج نفسه — ترفع محتوى الملفات الذي يتحكم فيه المهاجم إلى خانة التعليمات الأعلى امتيازًا لدى الوكيل، بحيث يمكن أن يُخترق وكيل مطيع تمامًا.

ما الذي جرى اختباره

ستة هياكل تشغيل على نسخ مسماة وحديثة: Claude Code (Opus 4.8، v2.1.210)، Codex (GPT-5.5، v0.138.0)، Gemini CLI (Gemini 3.1 Pro Preview، v0.50.0)، Qwen Code (Qwen3.7 Max، v0.21.4)، Kimi (Kimi 3، v0.36.0) وOpenCode (DeepSeek-V4-Pro-0813، v1.18.1). وقد أُعيد تنفيذ الهجمات عبر ميزات مشحونة أصلًا — الأهداف الدائمة والمهام المجدولة — وهو ما يجعلها عملية لا نظرية.

رقم الملخص

"With unrestricted action execution, the attacks achieve all 13 objectives on all six harnesses," و"under automatic permission review, the attacks achieve all 13 objectives on all three harnesses that provide this mode." وتضيف المقدمة معدل نجاح متوسطًا قدره 97.3% للترقية من الأداة إلى المستخدم، و80.3% من الأداة إلى النظام.

ما الذي يخطئ فيه الإطار الشائع

"Thirteen of thirteen on six of six" تبدو وكأن كل وكيل يسقط في كل مرة. لكن جداول الورقة نفسها تقول شيئًا أضيق: 13/13 تعني أن كل هدف نجح مرة واحدة على الأقل عبر محاولات متكررة — لا أن كل محاولة تنجح. أما أرقام كل محاولة تحت Full Access، وهي الإعداد الأكثر تساهلًا المتاح، فهي Claude Code 31.7%، وGemini CLI 61.7%، وQwen Code 61.7%، وKimi 64.9%، وOpenCode 72.5%. وحده Codex يصل إلى 100.0% حقيقي. والخلاصة الصادقة هي أنه مع ما يكفي من الإعادات ينجح كل هدف في النهاية على كل وكيل، لكن بمعدلات إصابة تتراوح تقريبًا بين الثلث والكامل.

ثانيًا، يُعرض النظامان كما لو كانا متكافئين، وهما ليسا كذلك. لقد ساعدت مراجعة الأذونات التلقائية بشكل قابل للقياس على هيكل واحد فقط: Codex انخفض بمقدار 27.8 نقطة، وتقول الورقة لماذا — "Codex's Auto PR actively inspects newly inserted function calls and their runtime behavior." أما على Claude Code فارتفع المعدل من 31.7% إلى 37.1%، وهو ما يبدو في هذه الأحجام العينية ضجيجًا أكثر منه دفاعًا فعالًا. إن عرض النظامين على أنهما مكسوران بالطريقة نفسها يمحو الآلية الوحيدة في الدراسة التي فعلت شيئًا.

ثالثًا، المقام: ثلاثة من الهياكل الستة لا تملك أصلًا وضع مراجعة أذونات، لذا فإن عبارة "all three harnesses that provide this mode" تعني من ثلاثة، لا من ستة.

المراجع الذي وافق على الهجوم

تستحق إحدى جمل الورقة أن تُقتبس كاملة: "In successful Claude Code cases, the reviewer observes the modifications made to the todo server but still approves their execution." لقد جرت المراجعة، ورأت التغيير، ثم قالت نعم.