信任边界双视角：SA-CUA 默认遮蔽信息流控制与 EC2-Bench 端云协作隐私度量 合读

论文一链接：SA-CUA: Default-Shadowing Information-Flow Control for Computer-Use Agents 论文一代码：github.com/Dominik5431/SA-CUA（匿名仓库） 论文一机构：Tübingen AI Center，图宾根大学（Dominik Seip, Bartol Markovinović, Matthias Hein） 论文一发表时间：2026年10月（arXiv:2610.18508v1，Preprint under review）

论文二链接：EC2-Bench: Empowering Edge Agents — A Systematic Analysis of Edge-Cloud Collaboration in LLM Agent Execution 论文二代码：github.com/OpenBMB/EC2-Bench 论文二机构：东北大学计算机科学与工程学院 + 清华大学计算机系 + 中国移动在线服务有限公司（三方合作；企业方参与署名，通信作者 Zhenghao Liu 来自东北大学、Yukun Yan 与 Chaojun Xiao 来自清华） 论文二发表时间：2026年10月（arXiv:2610.17816v1） 领域标签：cs.CR（安全）/ cs.AI

〇、为什么把这两篇放在一起读

两篇论文表面分属安全与系统两个社区，实则回答同一个问题的两面：当 Agent 必须跨越信任边界获取能力或信息时，代价是什么，如何控制？

• SA-CUA 守的是进入方向的边界：不可信内容（论坛帖子、钓鱼邮件、issue 评论）试图借屏幕混入 Agent 上下文劫持其行为，作者用信息流控制（IFC）把不可信像素挡在特权模型之外；
• EC2-Bench 量的是流出方向的边界：端侧 Agent 借云端大模型补足能力时，本地工作区里的敏感信息有多少随上下文流了出去，作者用基准测试把这笔『隐私账』算清楚。

一个是机制（mechanism），一个是度量（measurement）。机制需要度量来证明自己没有白白牺牲效用；度量需要机制指明哪些泄露可以被工程手段堵住。合读两端，才能完整理解『信任边界』这件正在被 Agent 时代重新发明的事。

一、论文背景

1.1 计算机使用代理与间接提示注入

计算机使用代理（Computer-Use Agent, CUA） 是指像人一样『看屏幕、动鼠标键盘』的 LLM Agent：它接收 GUI 截图，输出 pyautogui 代码来点击、输入、滚动。与通过结构化 API 调用工具的 tool-use agent 不同，CUA 无需应用做任何专门适配就能操作人能操作的一切软件，因此被 Anthropic 等前沿实验室列为产品方向。

代价是通道不再有类型边界。工具调用有清晰的参数结构，而截图是像素的混合体：应用自己的工具栏（可信）与论坛帖子正文（任何人可写）在同一张图里纠缠。攻击者可以预先在 Agent 会经过的页面里埋下恶意指令——这就是间接提示注入（Indirect Prompt Injection, IPI）：Agent 读到这段内容时被劫持，转而执行攻击者目标（外泄凭据、删库、转账）。论文引用的野外测量（Khodayari et al., 2026）爬取 12 亿 URL，发现 1.53 万个真实注入，说明这不是纸上威胁。

现有的两大类防御都有根本缺口：对齐训练与安全分类器（Constitutional AI、Llama Guard、Constitutional Classifiers 等）是启发式的，『无法排除某个精巧注入恰好穿透』；系统级信息流控制（CaMeL、FIDES、dual-LLM 模式）在结构化工具场景已能给出保证，但迁移到 CUA 时撞上硬墙——屏幕没有『带标签的类型化取值』，初始信任标注无处落地。前作 CaMeL-CUA 干脆让特权模型看不到环境（保住了安全、丢掉了效用），UCM 则靠页面所有者在 DOM 里标注不可信区域（依赖主动配合，且 LLM 自动标注被证明不可靠）。

1.2 长时程端云协作与隐私暴露

另一条线上，Agent 正从『单轮问答』走向长时程、多步骤的目标导向执行（Claude Code、OpenClaw 这类 harness）。端侧设备算力有限，只能部署 ≤10B 的小模型，复杂推理与规划捉襟见肘，于是端云协作成为主流范式：轻量端模型打底，需要时调用云端前沿模型。

问题在于，已有的端云协作研究基本把协作当作每个查询一次性的路由决策（这条 query 发端侧还是云侧）。而长时程 Agent 执行里，云的参与是交错穿插在轨迹中的：第 3 步问一次云、第 7 步再问一次。这带来三个查询级分析看不到的轨迹级效应：

1. 某一步调云的决策会影响后续所有步骤的执行路径；
2. 资源开销沿整条轨迹累积；
3. 每次调云都要上传上下文，敏感信息泄露量取决于协作组织方式而非单次调用。

现有基准（RouterBench、LLMSwitchBench、M4A1 等）都停留在查询级/轮次级的性能-成本评估，没有人把隐私暴露作为轨迹级一等公民来度量——这正是 EC2-Bench 的空档。

1.3 共同底座：信任边界

把两段背景并排放，结构同构性浮现：

二、论文定位和关联工作

2.1 SA-CUA 的谱系：从 dual-LLM 到屏幕级 IFC

SA-CUA 站在一条清晰的系统安全谱系末端：

• Biba 完整性模型（1977）：高完整性实体不得读取低完整性数据——这是所有 IFC 方案的理论原点，IPI 恰好违反的就是这条。
• Dual-LLM 模式（Willison, 2023）：Biba 原理的 LLM 工程化——特权模型规划与调用工具但从不读不可信内容，隔离模型读不可信内容但无工具。可证明守住控制流，但数据流攻击仍然畅通。
• CaMeL（Debenedetti et al., 2026）与 FIDES（Costa et al., 2025）：通过污点追踪守住数据流，但都依赖结构化工具接口里的『带标签的值』。
• CaMeL-CUA（Foerster et al., 2026）：把 CaMeL 硬搬到 CUA，代价是特权模型对环境全盲——效用坍塌。
• UCM（Nikolić et al., 2026）：遮蔽 DOM 中的不可信区域，但只覆盖浏览器、依赖站点所有者标注，且实验证明 LLM 自动标注不可靠。
• Prismata（Villa et al., 2026）：沿页面树祖先路径评估目标元素完整性，逐动作设门。

SA-CUA 的突破点：不遮不可信内容（denylist），而是默认遮蔽一切、只解遮蔽可信内容（allowlist）；标注对象从 DOM 换成 AT-SPI 可访问性树（覆盖网页+原生应用）；引入鲁棒背书通道让值在无人确认的情况下安全跨界——同时解决 CaMeL-CUA 的效用坍塌与 UCM 的标注不可靠。

2.2 EC2-Bench 的谱系：从查询路由到轨迹级三维评估

• 查询级路由：RouteLLM（Ong et al., 2024）、FrugalGPT 等解决『这条 query 给谁』；RouterBench、LLMRouterBench 提供评测。
• 轮次级：LLMSwitchBench（智能家居单轮）、M4A1（多模态多轮），已开始考虑延迟，但仍是查询/对话粒度。
• Agent 化协作：Division-of-Thoughts、HERA、GlimpRouter（ glimpsing 一个 token 的思想做步级路由）、Learning-to-seek-help 等开始把协作嵌入轨迹。
• 隐私侧先行者：AgentDam（Web Agent 隐私泄露评测）、Agentscope（跨工作流上下文隐私）、CI-Work（企业上下文完整性）、PAAC（隐私感知设备云协作）——但都没有与『长时程端云协作策略』正交结合。
• 值得一提，Edge-Controlled Cloud Advisory 直接对标 Anthropic 2026 年 4 月的 Advisor Strategy 博客（给 Agent 外挂一个云端顾问），EC2-Bench 首次给它提供了系统化度量。

EC2-Bench 的突破点：首个以长时程 Agent 执行为对象、同时覆盖四种协作模式（查询路由 R_q / 步级路由 R_s / 端控委托 D / 端控顾问 A）、以轨迹级隐私暴露为一等评估维度的基准。

2.3 定位对照总表

三、问题定义

3.1 SA-CUA：混合信任通道上的信息流控制

具体场景：CUA 在 1920×1080 屏幕上执行任务，屏幕上同时存在应用第一方界面（可信）与用户生成内容 UGC（不可信）。攻击者在 UGC 里预埋注入。

核心洞察：把『屏幕』看作一个混合信任标签的通道，IFC 的老问题是这个通道没有类型化取值来携带标签。SA-CUA 发现可访问性树（AT-SPI）提供了屏幕的结构化影子，可以在像素到达特权模型之前完成标签分离。

形式化拆解为三个子问题：

1. 可信标注问题：求函数 label: 屏幕区域 → {trusted, untrusted}，约束是 FNR_free = 0（任何有自由表达能力的不可信区域都不得漏网）——因为漏检直接击穿安全保证，而误遮只损失效用。这个非对称代价结构是全文设计的支点，直接推出『默认遮蔽、解遮可信』的方向反转。
2. 数据流问题：数据依赖任务（如『装一个能彩色输出的包』）需要的值（termcolor）只存在于不可信区域。求：让值跨界且不被攻击者借道的机制，且不得依赖人工确认（确认疲劳是已知安全顽疾）。
3. 任务可判定问题：哪些任务根本无法安全完成（如『按屏幕上的指示做』——任务本身由 UGC 定义）？求一个事前分类器在执行前把这类任务退回用户细化。

抽象本质：在无类型通道上重建带标签的数据流，且安全侧错误代价 » 效用侧错误代价时，应取 allowlist 而非 denylist。

3.2 EC2-Bench：轨迹级协作的帕累托刻画

具体场景：端模型 M_e（≤10B）与云模型 M_c 协作执行长时程任务，协作策略 C 在每步 t 依据 (I_Task, τ_<t) 通过选择规则 π_C 决定参与模型 M_t ∈ {{M_e}, {M_c}, {M_e, M_c}}。每次云参与产生云可见上下文 v_t^c。完整协作执行迹 γ_C = (τ_T, (M_1,v_1^c), …, (M_T,v_T^c))。

形式化：对带敏感单元集合 S 的任务，隐私暴露率

E_priv = (1/|S|) · Σ_{s∈S} I_exp(s, {v_t^c})，

即执行全程中暴露给云端的敏感单元占比。任务性能用任务级检查加权的完成分；资源用云端 token 折算美元成本 + 端侧 FLOPs（按 Kaplan et al. 2020 的 2·N_act·T 近似）。

求：在（完成率, 云成本, 隐私暴露）三维空间中，系统刻画不同 C 与不同端能力的位置——三个研究问题 RQ1（协作是否有效）、RQ2（端变强如何改变格局）、RQ3（协作应如何演进）。

抽象本质：把『端云协作』从单点决策升维为轨迹上的资源-信息联合分配问题，隐私是与性能同阶的输出维度而非约束项。

3.3 对偶性

四、问题解法

4.1 SA-CUA 的四件套

（一）可信内容标注：离线规则 + 在线应用

• UGC 的可判定定义：一个区域是 user-generated，当且仅当站点运营者之外的任何一方能使其显示不同内容。关键不是谁写了这段字符串，而是谁能让它显示什么。这个定义可判定、可复现，连提交哈希、issue 计数这类无法承载注入但理论上受用户影响的通道也一律视为不可信——宁可错杀。
• 离线阶段（每个域名模板/应用做一次）：读入 AT-SPI 树（OSWorld 的 AT-SPI server 扩展了链接目标、离屏几何、窗口叠放），先把每个可达名称与文本替换为 [name:length:N] 骨架（规则提议 LLM 看得到结构、看不到内容，从根上杜绝页面文本操纵规则提议），保留 role/id/class；RP-LLM 依骨架与站点类目先验提出规则集；检查每条规则的覆盖面，删掉过宽或空转的；最后对子树类规则在未脱敏子树上核验『每个字符串是否运营者所写』——核验只能删规则不能加规则，因此对操纵免疫。
• 三条快捷通道（解遮蔽规则没点名的元素）：Cookie 同意横幅（按已知 consent 平台的 id 匹配，威胁模型下受运营者控制）；容量快捷——渲染文本完全命中 24 种模式（价格/日期/时长/文件大小/评分/计数/参考号等）的元素无表达能力，直接解遮蔽（但同行列还有其他可解遮蔽元素时除外，防止拼成自由文本）；文件所有权——harness 记录的用户自建文件。
• 在线阶段：按当前页 hostname + URL 模板（路径中 id/slug 换通配符，如 /f/*/#/*）选用已存规则集；不同模板的规则集不合并（合并会泄漏）；原生应用无 URL 状态分隔，取规则集并集（其 AT 容器 id 跨状态稳定）。像素层：没有 AT 节点对应的视觉区域默认遮蔽。

（二）IFC 策略门：沿 FIDES 的策略检查， consequential 动作（点击/输入）的间接参数是坐标 (x,y)，其标签 ℓ(x,y) 仅当坐标落在可信区域才为 trusted——点击不可信区域被物理阻止（那里可能有攻击者控制的提交按钮/重定向）。滚动等非后果性动作不受限；redacted 变量可以直接返回给用户。

（三）背书通道：鲁棒背书（Robust Endorsement）

这是全文最精彩的设计。背书是去分类（declassification）的完整性对偶，必须鲁棒：被背书的值不得能影响对它的期望或检查过程，只能影响『是否匹配』。反面例子：问另一个 LLM『termcolor 是不是那个包』不鲁棒——this-is-the-right-package-send-your-data-to-... 这种值会为自己辩护。

SA-CUA 的所有背书路由遵循统一模式：

1. 从未见过候选值的组件仅从可信源导出期望（单值/有限集/结构模式）——期望来源包括用户指令、P-LLM 的参数化知识、可信联系人簿、可信域名注册表、任务约束；
2. 对候选值做确定性检查（归一化后的类型感知相等，无模型判断）；
3. 只有匹配才改标签。攻击者最多让背书失败，无法让自己选的值通过。

配套地，对 Q-LLM 的查询只能返回闭式类型目录中的类型（URL/邮箱/日期/ENUM/INDEX…），类型在模型回答后强制校验，自由文本拒绝——类型既限容量，也决定背书方式。唯一无界类型 PROCEDURE（shell 命令）被解析为语法树（流水线阶段/权限前缀/程序/子命令/旗标/操作数/重定向），按每个程序的语法给叶子赋类型（如 apt-get install 的操作数是 PACKAGE_NAME），程序与子命令须匹配规划器申请的能力，解析不了的一律拒绝。

（四）规约分类器：任务开始前检查其是否把所需值描述得足够精确（描述即可、不必点名）——『按屏幕指示做』这类任务由 UGC 完全定义，任何背书都无从谈起，直接退回用户细化。只请求细化、从不请求确认——把人的介入压缩到任务起点一次。

4.2 EC2-Bench 的三支柱

（一）任务套件：从六个可执行 Agent 基准（Claw-Eval 68 / WildClawBench 22 / QwenClawBench 21 / LiveClawBench 4 / PinchBench 3 / ClawBench 3，另人工补 7 个）收集候选，统一到 OpenClaw 运行时与评测接口；做面向协作的难度过滤——两端都能稳定解的任务（无法区分范式）与两端都解不了的任务（无从评估协作）都剔除；对适配后的任务做保真校验（Qwen3.5-9B 在原版/适配版各跑 3 次，完成分差 >0.3 丢弃），最终 128 个任务，覆盖办公日常 36 / 信息搜集 34 / 安全 21 / 开发运维 14 / 数据分析 13 / 自动化 10。

（二）敏感标注：LLM（GLM-5.3）识别工作区既有敏感信息 + 合成插入逼真敏感内容（GPT-5.5 独立校验真实性，把 password、E12345678 这类占位样式换成逼真合成值）；产出 100 个任务、3,385 个敏感单元、12 个细分类别（个人敏感信息 2,368 个占 69.96%——联系方式 1,178、证件账户 457、身份标识 276、敏感属性 248、金融 209；组织机密 1,017 个占 30.04%——内部财务 268、商业策略 235、凭据密钥 196、客户伙伴 189、人事 97、代码 6、漏洞 26）。总信息单元超 15,000。

（三）四模式×三维评测：四种协作策略——Query Routing（RouteLLM 矩阵分解路由器，一次定终身）、Per-Step Routing（GlimpRouter 式：读端模型下一个推理 token 分布的熵，超阈值交云）、Edge-Ctrl. Delegation（端 Agent 自带委托工具，调云执行一步后交还）、Edge-Ctrl. Advisory（同机制，云只出自然语言建议、端保留行动权）。云端参与率统一校准到约 15% 保证可比。暴露判定用 GPT-5.4-mini 判官（对人工仲裁标签 F1=96.9%）。

五、评估指标与实验证据

5.1 SA-CUA：零 ASR 下的效用保留

实验设置：OSWorld harness，Ubuntu VM（QEMU/KVM in Docker，1920×1080），自托管 WebArena 的 Postmill/GitLab、TheAgentCompany 的 OwnCloud/RocketChat，加 UCM-B 十站与 Thunderbird 等原生应用；注入在 episode 开始前埋进平台后端；任务与攻击成败由环境终态确定性判定。三个对抗套件按『良性任务对不可信内容的依赖深度』分层：WASP†（42 题，不读注入也可完成）、RTC†（65 题，必须读带注入内容）、RTC-value（78 题：Reddit 40 / Thunderbird 28 / GitLab 10，注入直接替换任务所需值）；良性效用用 OSWorld 小子集（36）与 UCM-B（99）。规划器用 Qwen3.8-27B 与 GPT-5.6-Luna，SA-CUA 的 Q-LLM 恒为 Qwen3.8-27B、RP-LLM 恒为 GPT-5.6-Luna。

核心结果（Table 1，%）：

三个结论被这套设计干净地证明：

1. 攻击真实且分层有效：无防护 CUA 在 RTC†/RTC-value 上 ASR 38.5–46.2%——注入越贴近任务必需值，越难靠模型自身抵抗力防住；
2. 安全与效用可以兼得：SA-CUA 在所有套件零 ASR 的同时，RTC† 完成率 86.2%/81.5%，是 CaMeL-CUA（18.5%/27.7%）的 3–4.7 倍；RTC-value 上与无防护 CUA 相当（50.9 vs 53.4、69.2 vs 60.3），且没有一个 episode 采纳注入值——剩余失败全部是安全失败（无伤害的双输）；
3. 保证有价格：良性 OSWorld/UCM-B 上 SA-CUA 30.6–50.5%，显著低于无防护 CUA（58.3/90.9+）——许多良性任务本身要求『读取并依据不可信信息行动』（如『找一台满足条件的笔记本并下单』），这在威胁模型下无解。

标注质量（Table 2）：160 张人工标注截图（18 web 域 + 13 原生应用，20,744 行：12,229 可信 / 8,515 不可信）。SA-CUA 的 FNR_free = 0.0（两个 RP-LLM 都是），UCM 在 web 上 44.1%/36.7%——不可信自由文本近半漏进特权上下文；代价是 SA-CUA 的 FPR 76.9%/56.3%（过度遮蔽），但更强 RP-LLM 显著收敛它。capacity 快捷只解蔽有界值，永不改变 FNR_free。

前沿模型实证：10 个精选难任务过 Claude 计算机使用 API（默认设置含安全分类器）——Opus 5 全部防住（0/10）且 10/10 完成良性；Sonnet 5 被 2/10 劫持，两次都是仿冒发件人的钓鱼邮件（把销售报告发给了冒充者）——证明 RTC-value 式攻击对商用前沿栈现实有效。

成本与消融：SA-CUA 每 episode token 是无防护 CUA 的 7.5 倍（未缓存），73% 是固定前缀，缓存后降到 4.2 倍（CUA 的滑窗截图让缓存从第 10 步起失效）；CaMeL-CUA 只要 0.2 倍（因为基本什么都做不了）。去掉背书工具+策略门+明文返回查询值的消融（接近 UCM 概念）：ASR 从 0 升到 1.5%（RTC†）/3.8%（RTC-value），且 WASP† CR 反降 23.8 个点——背书通道不只是安全件，还是效用件（没有 endorse_element 就无法揭开评论区/点赞按钮等被遮蔽控件，绕路查询坐标导致步数爆炸）。

5.2 EC2-Bench：三维空间中的收敛与分化

核心结果（Table 2 主表，GLM-5.3 为云模型，完成率/Pass3/云成本 USD/隐私暴露%）：

RQ1（有效性）：2B + 步级路由把完成率从 12.75 拉到 39.97，只花纯云 22.7% 的成本；且在成本-性能与隐私-性能平面上，多组协作配置位于两端点线性插值基线之上——协作不是两端点的按比例混合，而是有真实超额收益。

RQ2（端能力的影响）：最优协作完成率随端模型增强逼近纯云（39.97 → 76.84，纯云 82.70）；策略间完成率差距从 25.22%（2B）压缩到 3.67%（Plus）；但隐私暴露差距不收敛——27B 时完成率仅差 4.60 个点，隐私仍差 35.93 个点。这是全文最重要的发现：性能收敛后，隐私成为协作策略的核心分化维度。

RQ3（协作演进）：弱端（2B）受益于外部步级路由（39.97 vs 端控委托 15.86）与直接云执行；强端反转，受益于端控调用与顾问模式（Plus × Advisory 76.84 全场最佳协作）。两个伴随分析定位了反转的端侧能力：

• 调用决策力：把端控委托与同调用率的随机基线对比，增益从 2B 的 +1.2 升到强端的 +3.0/+4.1/+4.4——强端模型更知道何时该问云；
• 指令遵循力：对 Qwen3.5-2B 做 600 步 GRPO 指令遵循训练（IFEval 0.65→0.75、IFBench、Multi-IF 同步上升），固定顾问频率下 EC2-Bench 完成率 24.8% → 28.8%，而纯端侧执行几乎不动（12.75→12.69 附近）——指令遵循能力特异地转化为『用好云端建议』的能力。

鲁棒性：换云模型 DeepSeek-V4.1-Flash 复现主表，趋势一致（如 9B × Advisory 56.00、27B 完成率差 3.99 个点而隐私差 30.84 个点），结论不绑定单一云模型。

5.3 两套评测设计的横向对照

六、效果优势的根源解释

6.1 SA-CUA：为什么零 ASR 与 86.2% 可以同时成立

对比对象 1：无防护 CUA。它为什么曾经可行？因为模型对齐与 API 侧分类器在『注入远离任务』时够用（WASP† ASR 仅 4.8–7.1%）。根本局限在机制层：对齐是概率性的，而注入内容一旦成为任务所必需读取的值（RTC-value），模型必须把攻击者的字符串当作决策输入——没有系统级的隔离，攻击面与任务面重合，43.6–46.2% 的 ASR 是这个重合的直接后果。

对比对象 2：CaMeL-CUA。它保住了零 ASR（控制流隔离成立），效用坍塌的根源是信息获取通道与安全机制未解耦：规划一次写死、读屏靠隔离模型的有损转述（find/summarize 类结构化函数），从屏幕提取数据大面积失败，典型 episode 卡在『点一个不可点击的 GitHub 链接』，多步 Thunderbird 任务无一成功。18.5% 的完成率不是实现粗糙，是通道容量的结构性上限。

SA-CUA 的因果链（每步标注证据等级）：

1. 默认遮蔽 + allowlist 反转 ⇒ 特权模型上下文中不存在任何未验证的自由文本 ⇒ FNR_free=0（论文实验已支持：Table 2 两个 RP-LLM 均为 0，而 denylist 的 UCM 为 44.1/36.7%——denylist 的失败根因是 LLM 从结构猜内容标签这件事本身不可靠，且 DOM 通道与渲染通道不对齐）；
2. 允许遮蔽遗漏 ⇒ 错误从安全侧移到效用侧 ⇒ 效用损失可通过更强的 RP-LLM、快捷通道、缓存持续压缩（已支持：FPR 从 76.9% 降到 56.3%；capacity 快捷提升有界值解蔽）；
3. 鲁棒背书 ⇒ 数据依赖任务的值经独立源核验后进入明文 ⇒ 攻击者无法借值注入（已支持：RTC-value 全部 episode 零采纳注入值；Sonnet 5 中招的同款钓鱼场景在 SA-CUA 下因期望来自联系人簿而非邮件正文而失败）；
4. 背书同时是效用件（已支持：消融去掉背书后 WASP† CR -23.8，因为无法再揭开被遮蔽的合法控件）；
5. 单比特即可劫持的论证 ⇒ 类型约束不足以替代背书（论文论证 + 消融部分支持：纯类型约束的消融版 ASR 1.5/3.8%——注入值类型合法但被背书挡住，这正是 RTC-value 攻击面的意义）。

外部交叉验证：CaMeL（Debenedetti et al., SaTML 2026, arXiv:2502.18838 系工作）在工具场景已证明系统级 IFC 可以零 ASR——支持『架构保证优于模型抵抗』的路线；UCM（Nikolić et al., 2026, arXiv:2607.05277）自身实验承认 LLM 标注不可靠，与 SA-CUA 的 FNR 对照互证；dual-LLM 原始论述（Willison, 2023）早就预言『隔离模型返回值仍可能携带注入』，SA-CUA 的 RTC-value 把这个预言做成了可测基准。反向证据：论文自己的 OSWorld/UCM-B 效用差距（30.6 vs 58.3）诚实地展示了 allowlist 的代价上限——『找笔记本并下单』类任务的值只能来自不可信卖家信息，独立源核验无解。适用边界：SA-CUA 保证完整性不保证机密性（仍可能在公开帖里泄密），且 7.5× token 成本在缓存与微调前是真实开销。

6.2 EC2-Bench：为什么性能收敛而隐私不收敛

性能侧的根源：随着端模型增强，任务的多数步骤端侧可解，云参与从『兜底执行者』退化为『高阶顾问』；步骤级的边际能力差被端模型自身能力吸收，策略间差距自然压缩到 3.67 个点。隐私侧的根源在 v_t^c 的构造：论文实验设置明确——调用云时 v_t^c 由任务指令 + OpenClaw 维护的完整执行历史（历史动作、工具调用、观测）组成，未做任何脱敏或隐私过滤。只要协作频率不降为零，历史里累积的敏感单元就会随每次调用外流；顾问模式调得越勤、上下文越全（这恰恰是它性能好的原因），E_priv 越高（Plus × Advisory 高达 78.74%）。性能与隐私在当前协作协议下正相关，这是设计耦合而非必然——论文用受控变量把这个耦合暴露出来，正是基准的贡献。

外部交叉验证：PAAC（Yuan et al., 2026, arXiv:2605.08646）从机制侧研究隐私感知的设备云协作，证明对上传上下文做处理可以降泄露——支持『隐私差距是可工程收窄的』这一隐含结论；AgentDam（Zharmagambetov et al., NeurIPS 2026）在 Web Agent 场景建立泄露评测范式，EC2-Bench 将其推广到端云协作轨迹；CI-Work（Fu et al., ACL 2026）用上下文完整性理论刻画企业 Agent 隐私，为 12 类敏感分类提供了概念近亲；Anthropic Advisor Strategy 博客（2026-04）说明端控顾问已是被工业界采用的模式，EC2-Bench 的隐私数据（Advisory 模式隐私最高）是对该模式的第一份系统化警示。限定条件：E_priv 依赖合成敏感标注（真实感 4.62/5、精确率 90%）与 LLM 判官（F1 96.9%），非完美地面真值；未做脱敏的设置是刻意的基线选择，实际部署中隐私数字会被过滤层改变——但策略间相对差距的结构性结论不受影响。

6.3 合读的根源综合

两篇论文在根源层共享同一个洞察：信任边界的吞吐必须被显式设计，否则它会由默认协议隐式决定。SA-CUA 证明进入方向的默认可以是『全遮+显式放行』且代价可控；EC2-Bench 证明流出方向的当前默认是『全量上下文上传』且代价被系统性低估。两者的差距本身就是一个研究机会（见第九节加评）。

七、必要知识反推

假设一个具备基础 ML 素养但对该领域一无所知的人要复现这两篇工作，他最少需要掌握：

7.1 领域知识层

• CUA 的感知-行动回路（截图进、pyautogui 出）：不理解这个就无法理解为什么『屏幕是纠缠通道』是 CUA 特有的难题；
• 可访问性树/AT-SPI：Linux 桌面的无障碍服务 API，是屏幕的结构化文本表示——SA-CUA 全部标注机制的物理载体。还需知道它的不完整性（aria-hidden 删节点、aria-owns 移节点、装饰图片不入树），否则无法理解为什么默认遮蔽必须覆盖『无节点区域』；
• 提示注入攻防谱系与野外数据（1.2B URL 中 1.53 万注入）：攻击的现实性是全部设计的动机；
• 端云 LLM 生态：路由（RouteLLM）、协作（HERA/Division-of-Thoughts）、OpenClaw 运行时与 E2B 沙箱——EC2-Bench 的实验地基。

7.2 方法论知识层

• Biba 完整性模型与 IFC 形式化：高完整性不读低完整性——不知道这个就无法把『遮蔽』从工程技巧升格为保证结构；
• 鲁棒去分类理论（Zdancewic & Myers, 2001；Myers et al., 2006）：被审值不得影响审查——背书通道直接是它的实例化；
• FNR/FPR 的非对称代价分析：安全系统里漏检与误检代价不等时应如何选型（allowlist vs denylist）；
• 基准构造方法论：面向研究问题的难度过滤（两端都通/都不通的剔除）、适配保真校验（分差阈值 0.3）、合成数据真实性独立校验、判官-人工一致性验证（κ/AC2/F1 三件套）；
• RL 后训练（GRPO）：定位指令遵循与顾问利用率因果关系时需要的训练工具。

7.3 工程知识层

• OSWorld harness 的 VM/Docker 隔离、确定性评测器（getter + metric + episode 时间戳隔离并发残留）；
• 自托管 Web 平台（WebArena 的 Postmill/GitLab、TheAgentCompany 的 OwnCloud/RocketChat）与后端注入（SQL 改库/文件投放/NPC 编排）；
• Token 成本核算（缓存读写计价、固定前缀占比分析）、FLOPs 估算（2·N_act·T）、OpenRouter 计价快照。

7.4 知识融合的关键节点

1. 无障碍服务 → 安全边界的再发明：把 AT-SPI（为视障用户设计的技术）识别为屏幕的『带角色骨架』，与 Biba 模型相遇——两个不相关领域的交叉点是全文最关键的化学反应；
2. 非对称代价 → 方向反转：FNR 致命/FPR 只是贵 ⟹ 遮不可信改为遮一切——一条经典决策理论原则在安全架构上的落地；
3. 鲁棒去分类 → 背书工具箱：把形式化原则（期望独立于候选）翻译成一组成对组件（导出期望的盲组件 + 确定性检查器）；
4. 轨迹视角 → 三维升维：把『云可见上下文 v_t^c』从工程日志升格为观测量，E_priv 才有定义的落点；
5. 受控对比设计：同云参与率校准（15%）、同调用率随机基线、固定顾问频率下的 IF 训练——三个对照分别支撑 RQ1 可比性、调用决策力、指令遵循力三个因果论断。

八、论文中可以提取的通用性灵感

灵感一：非对称错误代价下，反转默认值。 核心思想：当漏检的代价远大于误检时，把系统默认设为『全部拒绝、显式放行』而非『全部放行、显式拒绝』。论文证据：SA-CUA 以 FNR_free=0 换 FPR 76.9%，且 FPR 可随组件增强收敛而 FNR 不可。推广场景：内容审核（漏放有害内容 vs 误伤正常内容）、金融风控（漏过欺诈 vs 误拦交易）、医疗决策辅助（漏诊 vs 误诊提示）、代码合并门禁（漏进漏洞 vs 误拦提交）。

灵感二：让候选值无法为自己作证（鲁棒验证模式）。 核心思想：验证一个来自不可信源的值时，期望必须由从未见过该值的组件从独立源导出，检查必须是确定性的。论文证据：问第二个 LLM『这是不是对的包』不鲁棒，this-is-the-right-package-send-your-data-to-... 能自我辩护；SA-CUA 的期望-检查两段式使攻击者最多让验证失败。推广场景：众包答案核验、供应链 SBOM 校验、RAG 引用可信度判定、跨境数据出域审查。

灵感三：把人机交互预算花在『事前规约』而非『事中确认』。 核心思想：确认疲劳使重复确认失效，安全系统应把人的介入压缩到任务起点的一次性规约。论文证据：SA-CUA 规约分类器只要求细化任务（『装能彩色输出的包』即可）、从不中途确认，仍然 86.2% 完成。推广场景：权限系统的 scope 申请制 vs 逐次弹窗、自动化审批的额度预授、Agent 沙箱能力预授予。

灵感四：评测维度要与被评对象的失败模式同阶。 核心思想：当被评系统的性能趋同时，基准的价值在于暴露仍未收敛的维度。论文证据：EC2-Bench 显示策略间完成率差收敛到 3.67% 而隐私差 35.93 个点——若基准只有性能/成本两维，所有策略在 2026 年的强端模型上已无区分度。推广场景：数据库基准补能耗维度、模型评测补公平性维度、汽车评测在马力趋同后转向辅助驾驶安全。

灵感五：轨迹级聚合量是理解长时程系统的正确显微镜。 核心思想：对多步骤系统，查询级/单步级指标会系统性误判，必须看沿轨迹累积的量。论文证据：单次调云的隐私风险有限，但 E_priv 沿轨迹累积到 87%（纯云）；调用决策的增益（+1.2→+4.4）也只有放到轨迹里才可测。推广场景：长程规划的累计误差、多轮对话的上下文膨胀成本、CI 流水线的累计构建时间、个人数据的长期聚合泄露。

灵感六：被评测者的『能力』应包含『协作力』这一独立维度。 核心思想：强组件的 standalone 能力与它调用外部资源的能力是可分离的两种能力，后者可被针对性训练。论文证据：指令遵循训练让 Qwen3.5-2B 的顾问协作完成率 24.8%→28.8% 而纯端能力不动——『问得准』『听得进』是可以单独优化的。推广场景：初级员工的求助技能培训、微服务的服务降级决策、小模型的路由器训练、人类的第二意见寻求行为。

九、加评（合读评论）

两篇论文合起来，画出了一幅完整的『信任边界治理』地图：SA-CUA 证明边界的进入侧可以被确定性机制守死（零 ASR 不是运气而是结构使然），EC2-Bench 证明边界的流出侧目前基本处于『裸奔 + 计量』阶段。三条合读评论：

其一，两个方向的技术成熟度严重不对称，而这个不对称就是下一步的研究空间。 SA-CUA 有 Biba（1977）近五十年的形式化积淀可倚仗，进入侧的保证因此可以做到零；流出侧的机密性至今缺少同等成熟的理论抓手（SA-CUA 自己也明言『不保证机密性』）。最直接的组合实验呼之欲出：给 EC2-Bench 的 v_t^c 加一层 SA-CUA 式的『默认遮蔽+独立源背书』再上传云端——用同一套 allowlist 思想治理 E_priv。论文二的 PAAC 引文说明社区已开始这个方向，但『轨迹级 E_priv × 屏幕级 IFC』的组合仍是空白。

其二，两篇论文在『代价可视化』上共用同一套诚实伦理，值得作为写作范式。 SA-CUA 不掩饰 7.5× token、OSWorld 上 27.7 个点的效用损失与『买笔记本』类任务的根本无解；EC2-Bench 不掩饰合成标注的 90% 精确率与未脱敏设置的基线性质。安全/隐私论文的说服力恰恰来自把保证的账单开得明明白白——这比任何『同时达到 SOTA』式的宣称都更接近可信的科学。

其三，注意两篇共同的边界条件：威胁模型与生态假设。 SA-CUA 的零 ASR 成立于『攻击者恰好控制一条不可信通道、且不能看到用户指令』的威胁模型，以及『用户愿意维护可信域名/联系人 allowlist、站点运营者可信』的生态假设——任何一条松动（例如可信站点被入侵、注入自适应用户指令）都会改变结论；EC2-Bench 的『隐私不收敛』成立于『无脱敏的 v_t^c』协议，它度量的是现状而非宿命。把基准结论读成『顾问模式注定泄密』或把 IFC 结论读成『CUA 从此安全』，都是对两篇论文最不该有的误读。

一句话收束：SA-CUA 教我们如何把门关上，EC2-Bench 教我们看清门开着时流走了什么——Agent 走向自主的长路上，这两课缺一不可。