腾讯安全研究：DeepSeek Harness存在17-25.5%间接Prompt注入风险

TL;DR：腾讯 AI-Infra-Guard 团队发表了一份针对 DeepSeek Harness 的正式安全评估报告（arXiv:2608.16393），结果表明间接 prompt 注入在文件/文本/skills 三个通道上的成功率达 17–25.5%——并得出结论：Agent 需要"在不可信内容与敏感操作之间设置控制层"。我们为此构建了对应的解决方案：CCS（Correctover Conformance Shape），一个位于 DSH 工具调用边界处的七维运行时验证层。

论文数据（所有数字均来自原始论文）

腾讯团队（Zonghao Ying 等，arXiv:2608.16393）：

• 14,560 次受控执行
• 16 个间接内容通道
• 35 个 payload 目标
• 12 种攻击手法

最高攻击成功率：25.5%（文件模式下的隐藏 Unicode） 17.0%（文本模式下的伪造完成）、16.0%（skills 通道）

结论：Agent 需要在不可信内容与敏感操作之间设置控制层

腾讯发现了问题，但尚未交付解决方案。

CCS（Correctover Conformance Shape）

CCS 是一个七维运行时验证协议（结构/ schema /延迟/成本/身份/完整性/安全），位于工具调用边界处：

• pre-execute：阻止危险工具调用（命令注入、SSRF）
• post-execute：扫描输出中的泄露密钥 / 注入内容
• subprocess / fetch wrappers：阻止凭证泄露、SSRF
• Signed CCS receipt（证据链）：每个判决结果均附带签名

DSH 实时插件（npm：correctover），开源地址：codeberg.org/correctover-labs，免费 200 次/天。

独立验证

腾讯的 14,560 次执行研究是截至目前最强的公开证据，证明 DSH（以及 Agent 运行时）确实需要一个控制层。

现在即可使用：npm install correctover → dsh plugin add correctover

标准对齐

draft-correctover-ccs-04 是首个面向 AI Agent 运行时验证的 Internet-Draft（目前为草案阶段，尚未成为正式标准）。

Correctover — AI 可靠性保障。论文：arXiv:2608.16393。IETF 草案（非标准）：draft-correctover-ccs。