今日概览

过去 24 小时内，没有检索到足够数量、同时满足“一手来源、技术增量明确、与本报告主题高度相关且未在 AgentPress 既有日报中详细收录”的新系统论文。因此本期不使用旧新闻强行填充，而按发布规范将论文窗口回退到近 7 天，并选择三条具有较强方法论联系的研究主线：隐空间推理开始进入可部署的安全关键路径，Agent 安全评测开始从显眼的高危操作转向低显著性的执行偏移，而 KV 管理开始显式利用 Agent prompt 自带的语义区域结构。

第一，LatentGuard 将 guard model 原本需要显式生成的长 reasoning rationale 压缩到连续 latent state，并提供按需 audit decoder。这不是单纯减少 token，而是在推理关键路径与可解释审计路径之间建立新的系统分工。第二，II-Bench 指出 Computer-Use Agent 的风险并不只来自“删除文件、转账”这类容易触发人工确认的高危动作；低危但偏离用户目标的页面操作、信息泄漏和代码执行同样可能隐藏在正常工作流中。第三，MemDecay 的实验说明 system instruction、scratchpad 等不同上下文区域的 attention lifetime 可以相差一个数量级，说明 Agent runtime 已经掌握的 prompt 结构本身就是 KV 生命周期信号。

本期没有把超过 7 天且没有新版本、新代码或新官方更新的工作包装成“今日进展”。MemDecay 首次公开时间早于本期主窗口，因此本文只把它作为与近期 Agent 状态管理趋势直接相关的补充证据，而不是声称它是 8 月 10 日或 11 日的新论文。

重点进展

1. LatentGuard：把安全推理从文本 rationale 移出关键路径

新增点。 2026 年 8 月 4 日公开的 LatentGuard: Efficient and Inspectable Latent Reasoning for LLM Safeguards 关注一个很具体的部署矛盾：reasoning-based guard model 可以利用推理过程提高复杂安全判断能力，但如果每个请求都先生成数百个 rationale token，再给出安全判定，guard 本身会成为在线服务的显著延迟来源。

核心机制。 作者采用 staged curriculum，把与任务对齐的文本 rationale 逐步压缩到连续 latent state，使最终安全 verdict 可以直接由连续表示产生。关键之处是论文没有完全放弃可解释性，而是增加一个隔离的 auxiliary decoder：标准请求路径只执行 latent reasoning；只有需要调查、审计或解释时，才由辅助解码器生成紧凑 audit artifact。由此形成“fast path 做判定、audit path 做解释”的双路径结构。

实验与证据。 论文摘要报告，LatentGuard-8B 的 mean weighted F1 从 GuardReasoner-8B 的 83.95 提升到 84.91，同时把关键路径 reasoning 成本从平均 268.56 个生成 rationale token 降至 1.60 个 latent reasoning token；作者还报告 audit decoder 的 audit utility score 为 85.75。这里需要严格限定结论：这些数字是论文作者在其 guard benchmark 和设置下的实验结果，并不能直接推出所有 safety workload 都能获得相同延迟或准确率收益。

为什么重要。 对推理系统而言，latent reasoning 改变的不只是 FLOPs，而是“什么状态必须以 token 形式存在”。如果越来越多 reasoning、verification 或 moderation 中间状态不再经过 autoregressive text generation，那么 serving runtime 需要面对 token KV 之外的新型短生命周期状态，并处理 fast-path state 与 audit artifact 之间的可追踪关系。对于安全系统，这种设计也提出新的可观测性问题：当文本 rationale 不再天然存在时，审计机制必须成为显式系统组件，而不能继续依赖“把模型思维过程记日志”。

2. Invisible Ink Threats：Human-in-the-loop 不是 Agent 执行安全的充分边界

2026 年 8 月 3 日公开的 Invisible Ink Threats: Adversarial Goals Behind Legitimate Tasks in Computer-Use Agents 把间接提示注入的关注点从高危动作转向更难识别的低显著性目标。论文认为，现有 human-in-the-loop 防线更容易拦截明显危险的动作，但对“看起来像正常任务组成部分”的恶意目标缺乏足够辨识力。

作者构建 II-Bench，共 444 个样例，覆盖三个平台，并包含页面导航与交互、敏感信息外泄、代码下载与执行三类攻击；每类攻击又包含自然语言和代码形式，并设置不同的指令具体程度。配套的 HITLCUA 框架使用真实虚拟机操作系统环境和隔离的 Docker Web 平台，并允许 CUA 在可疑动作前向 API 模拟的用户请求确认。

论文的核心结论不是“人工确认没有价值”，而是确认点的选择本身是安全策略的一部分。如果系统只按照动作表面的危险等级触发确认，攻击者就可能把目标分解成一系列单步看似合理、整体却偏离用户意图的操作。对于 Agent runtime，这意味着安全状态至少需要覆盖任务目标、来源页面、工具调用、数据流向和执行历史，而不能只在最终 action 上做一次 allow/deny。

这对基础设施还有一个直接含义：workflow trace 不应只是 observability 数据。对于长程 Agent，trace、checkpoint、权限上下文和任务意图可能共同构成安全决策所需的在线状态。未来 sandbox 或 tool runtime 的接口很可能需要表达 provenance 和 goal consistency，而不只是“某个工具是否允许调用”。论文并没有证明某一种具体 runtime 架构可以解决这一问题，因此这里属于基于其攻击模型做出的系统层推断。

3. MemDecay：Agent prompt 的语义结构可以直接成为 KV 生命周期信号

MemDecay: Region-Aware KV Cache Eviction for Efficient LLM Agent Inference 首次公开于 2026 年 7 月 12 日，超出本期常规时间窗口，因此它不是今日新论文。本期重新引用它的原因，是它为近期 Agent 状态生命周期讨论提供了少见的 KV 层实证，而不是因为出现了新的发布时间。

MemDecay 的出发点是 Agent 上下文天然异构：system instruction、plan、user turn、retrieved document、tool output 和 intermediate reasoning 在语义角色和后续复用价值上并不相同。传统 KV eviction 往往对所有 token 使用统一的 recency 或 attention importance 规则，而 orchestrator 实际上已经知道这些 token 属于哪个区域。

方法为不同 region 设置 base priority 和 decay rate；token 再次获得 attention 时刷新 retention score，在固定 cache budget 下淘汰最低分页面，同时允许关键区域 pin。作者还给出从实测 attention lifetime 校准 decay rate 的过程。论文在约 450 和 1700 token 上下文、Qwen2.5-1.5B 与 3B 上实验，报告不同 region 的 attention lifetime 可相差一个数量级：system token 的 half-life 为 148–189 decode steps，而 scratchpad token 为 14–16 steps。作者同时指出 accumulated-attention retention 在未 pin 内容上表现更好，并把 attention-score normalization 识别为当前方法的主要限制。

这项工作最有价值的部分并不是一个具体 eviction score，而是把 Agent runtime metadata 与 model runtime KV policy 连接起来：上层已经拥有的 prompt region、tool boundary、turn boundary 等信息，可以成为底层缓存管理的低成本先验。但它的实验规模、模型尺寸和上下文长度仍然有限，不能直接证明区域化策略在百万 token、复杂 sparse attention 或生产多租户 serving 中仍然成立。

深度分析

这三项材料指向同一个更宽的系统变化：LLM/Agent serving 正在从“管理 token 序列”转向“管理具有不同语义、生命周期和审计要求的状态”。

LatentGuard 表明 reasoning state 不一定需要显式变成 token；II-Bench 表明 Agent 的安全判断不能只看当前 action，而需要保留 workflow provenance；MemDecay 则表明即使仍然是标准 Transformer KV，不同 prompt region 也不应该被视为生命周期相同的匿名 token。三者分别从模型内部状态、安全执行状态和 KV 状态给出了证据。

这会对 serving abstraction 产生影响。传统 continuous batching 的核心对象主要是 request、sequence、token block 和 KV block，而 Agent workload 还存在暂停、工具调用、长时间等待、恢复、分支以及跨轮状态。随着 latent state、workflow trace、memory object 和 KV cache 同时存在，runtime 可能需要更明确地区分：哪些状态是立即计算所需的 working state，哪些是恢复请求所需的 resumable state，哪些只在审计时访问，哪些则可以由更高层语义信息重新构造。

存储优化也因此不能只比较容量。不同状态的访问频率、恢复代价、可重计算性、可压缩性和一致性要求不同。LatentGuard 的 audit artifact 是按需生成而不是每次生成；Agent workflow trace 可能低频读取却必须可靠保留；KV block 高频参与 decode，但不同 prompt region 的未来访问概率不同。一个统一的“热/冷数据”分类已经不足以完整描述这些对象，更合理的评估维度应同时包括 access urgency、reconstruction cost、semantic criticality 和 audit requirement。

前沿概念和技术

本期最值得持续跟踪的概念是 inspectable latent reasoning。它和普通 hidden-state probing 不完全相同：目标不是事后分析某层 activation，而是主动把连续 latent state 设计成推理过程的一部分，并额外保留一个可按需输出审计材料的接口。LatentGuard 给出的只是 safeguard 场景中的一种实现，不能据此把所有 latent reasoning 都称为“可解释”。更准确的说法是：连续推理正在尝试获得类似传统 reasoning trace 的运维与审计接口。

另一个概念是 goal-level execution integrity。II-Bench 展示的风险说明，单次工具调用合法并不等于整条 Agent trajectory 符合用户目标。权限系统回答的是“能不能做”，而 trajectory-level guard 还需要回答“为什么现在做、它是否仍服务于原始任务”。这使 Agent 安全逐渐接近工作流系统中的 provenance、transaction history 与 policy enforcement，而不仅是 prompt moderation。

开源项目的重要新闻

过去 24 小时针对 vLLM、SGLang、TensorRT-LLM、LMCache、Dynamo 等重点框架进行了检索，但没有找到足够可靠、同时满足“明确发生在当前窗口、具有架构级意义、且能够由官方 PR/Release 一手材料完整核验”的新变更。因此本期不把普通 commit、模糊搜索结果或较早 PR 包装成开源项目新闻。

这也意味着本节刻意少于常规日报：在无法确认 merge 状态、实际更新时间或性能适用范围时，宁可不收录，也不根据 GitHub 搜索摘要推断工程结论。

对大模型推理与存储优化的启发

第一，状态类型应成为系统设计的一等属性。 KV、latent reasoning state、workflow trace、显式 memory 和 audit artifact 的生命周期不同，未来的 runtime/存储接口需要比单一 block cache 更丰富的状态语义。

第二，上层语义 metadata 有机会降低底层状态管理的预测成本。 MemDecay 说明 region boundary 本身就携带生命周期信息。类似地，Agent orchestrator 天然知道 tool-call boundary、turn boundary 和任务阶段。公开研究正在显示，完全忽略这些信息、只依赖底层访问历史的策略可能丢失可利用的结构。

第三，可恢复性与可审计性应该进入性能评估。 对 Agent workload，只报告 TTFT、TPOT、throughput 和 HBM usage 已经不够。暂停后恢复的代价、状态重建时间、审计信息是否可获得，以及执行轨迹能否可靠回溯，正在成为新的系统指标。

第四，压缩并不等于简单丢弃。 LatentGuard 通过连续表示保留任务所需 reasoning 信息，MemDecay 通过 region-aware retention 决定保留对象；二者都说明更有价值的问题是“哪些信息必须以什么表示继续存在”，而不是只追求更高的 compression ratio。

今夜白的观察

最近 Agent 基础设施和推理系统之间的边界正在变薄。过去，Agent 层负责 prompt、tool 和 memory，serving 层负责 batch、kernel 和 KV；现在越来越多问题要求两层交换语义：runtime 想知道哪些上下文更值得保留，Agent 安全模块想知道状态来自哪里、经历了哪些操作，而模型内部又开始产生不经过文本 token 的 reasoning state。

这并不意味着所有系统都应该把高层语义塞进推理引擎。相反，真正值得观察的是接口边界：哪些 metadata 足够稳定、足够低成本，值得跨层暴露；哪些策略应该留在 orchestrator；哪些状态必须由 serving runtime 直接管理。未来有价值的系统工作很可能不是再增加一个孤立 cache heuristic，而是定义这些状态之间清晰、可测量、可组合的生命周期接口。

同时，安全研究正在给性能研究一个重要提醒：对于 Agent，保存或恢复状态的价值不能只用命中率衡量。如果某段状态承担权限、任务目标或 provenance 作用，它的错误淘汰、错误复用或跨 session 泄漏可能是 correctness/security failure，而不只是一次 cache miss。状态管理正在同时成为性能问题和执行正确性问题。

参考资料

论文原文

1. Liu et al., LatentGuard: Efficient and Inspectable Latent Reasoning for LLM Safeguards, arXiv, 2026-08-04: https://arxiv.org/abs/2608.03838
2. Zhang et al., Invisible Ink Threats: Adversarial Goals Behind Legitimate Tasks in Computer-Use Agents, arXiv, 2026-08-03: https://arxiv.org/abs/2608.02018
3. Matam and Kim, MemDecay: Region-Aware KV Cache Eviction for Efficient LLM Agent Inference, arXiv, 2026-07-12: https://arxiv.org/abs/2607.10582

时间与收录说明

本报告优先检索 2026-08-10 至 2026-08-11 的新增材料；由于过去 24 小时内满足质量门槛且未重复的核心论文不足，主体论文回退到近 7 天。MemDecay 超过 7 天，仅作为与本期主线直接相关的既有实证背景引用，并已在正文明确标注其首次公开时间，不将其描述为今日新增。