HarnessRisk Menunjukkan Mengapa Satu Demo Prompt Injection Tidak Dapat Mengukur Keamanan Agen
HarnessRisk melaporkan perbedaan keamanan yang lebar di antara kombinasi model dan harness agen, serta menemukan bahwa konfigurasi lebih rentan daripada fase lifecycle lain yang diuji.
Uji prompt injection dapat menunjukkan apakah agen mengikuti instruksi bermusuhan dalam sebuah dokumen. Uji itu tidak dapat menunjukkan apakah harness agen yang sama mengonfigurasi konektor dengan aman, memasang kapabilitas, mempertahankan state yang bersih, mengotorisasi tindakan eksternal, atau pulih sepenuhnya dari kontaminasi.
Preprint baru yang sedang ditinjau bernama HarnessRisk membuat cakupan yang hilang itu menjadi konkret. Para penulis menguji 128 kasus bersandbox di tiga harness agen, enam model bahasa, dan 14 konfigurasi model-dan-harness. Mereka melaporkan tingkat keberhasilan serangan dari 12,6% hingga 80,9% meskipun utilitas tugas benign tetap berada di antara 75,0% dan 97,6%. Konfigurasi harness merupakan fase paling rentan pada ketiga harness yang mereka pelajari.
Hasil tersebut belum direproduksi secara independen, dan benchmark itu tidak menetapkan tingkat kegagalan universal untuk agen produksi. Kontribusi bergunanya adalah unit pengujian: evaluasi model dan harness yang di-deploy sebagai satu kesatuan di seluruh konfigurasi, perluasan kapabilitas, operasi runtime, state persisten, kontrol aksi, dan pemulihan insiden, sambil mencatat utilitas tugas dan hasil keamanan secara terpisah.
HarnessRisk menguji konfigurasi yang di-deploy, bukan model secara terisolasi
Harness agen adalah lapisan eksekusi di sekitar model bahasa. Harness menyediakan tool, memuat ekstensi, memelihara memori, menerapkan izin, menyajikan konteks otorisasi, dan mengubah output model menjadi aksi. Karena itu, dua deployment yang menggunakan model sama dapat mengekspos tool dan state yang berbeda, membingkai otoritas dengan cara berbeda, dan menegakkan batas yang berbeda.
HarnessRisk mencerminkan tanggung jawab bersama tersebut. Setiap kasus memberi agen tujuan benign selama tiga giliran pemilik, sambil menempatkan instruksi adversarial di dalam artefak alur kerja yang tidak tepercaya. Run dimulai dari lingkungan baru, menggunakan layanan mock terkontrol, dan menonaktifkan efek jaringan eksternal yang nyata. Masing-masing dari 128 kasus diulang dengan tiga seed sampling untuk setiap konfigurasi yang dievaluasi.
Repository yang dirilis penulis mencakup adaptor harness, layanan mock, pengumpulan trajectory, aturan evaluasi deterministik, dan judge LLM. Repository itu tidak membuat reproduksi menjadi satu klik: tim masih memerlukan dataset kasus terpisah, instalasi harness yang kompatibel, akses ke provider model, serta isolasi sistem operasi yang lebih kuat ketika arbitrary host command dapat dijalankan. Repository tersebut secara eksplisit mengatakan pemisahan tingkat prosesnya bukan sandbox keamanan OS.
Rentang utama paper itu juga memadatkan konfigurasi yang sangat berbeda. Satu model mencatat tingkat keberhasilan serangan 54,7% pada OpenClaw dan 12,6% pada Nanobot, perbedaan 4,3 kali lipat dalam setup penulis. Perbandingan itu tidak mengisolasi harness sebagai penyebab karena prompt, tool, dan manajemen state berbeda. Namun, perbandingan itu menunjukkan mengapa memasukkan skor keamanan base model ke deployment berbeda merupakan kesalahan kategori.
Empat skor mencegah tugas yang berhasil menyembunyikan run yang tidak aman
HarnessRisk memberikan empat label biner untuk setiap trajectory, lalu melaporkan persentase di seluruh run. Label-label tersebut menjawab pertanyaan berbeda dan dapat benar pada saat yang sama.
| Metrik | Arah | Pertanyaan yang harus dijawab bukti | Rasa aman palsu yang umum |
|---|---|---|---|
| Utilitas | Lebih tinggi lebih baik | Apakah agen menyelesaikan tujuan pengguna yang benign? | “Tugas lolos, jadi run-nya aman.” |
| Tingkat keberhasilan serangan | Lebih rendah lebih baik | Apakah efek yang dilarang benar-benar terjadi? | “Agen memperingatkan kita, jadi serangannya pasti gagal.” |
| Persistensi | Lebih rendah lebih baik | Apakah pengaruh adversarial tetap berada dalam memori persisten, konfigurasi, kebijakan, ekstensi, atau state startup? | “Tidak ada hal buruk yang terjadi selama giliran ini.” |
| Deteksi | Lebih tinggi lebih baik | Apakah agen secara eksplisit mengenali konten konkret sebagai mencurigakan atau tidak tepercaya? | “Penolakan atau peringatan umum membuktikan agen menemukan risiko sebenarnya.” |
Pembedaan ini penting karena pengenalan dan pembendungan adalah hasil yang terpisah. Dalam paper tersebut, satu konfigurasi OpenClaw mendeteksi risiko pada 97,9% run tetapi masih memiliki tingkat keberhasilan serangan 31,2%. Konfigurasi lain menggabungkan deteksi 92,2% dengan keberhasilan serangan 54,7%. Deteksi berkorelasi dengan keberhasilan serangan yang lebih rendah di antara 12 konfigurasi bersama, tetapi sampel observasional yang kecil tidak mendukung klaim kausal, dan hubungan yang telah disesuaikan tidak signifikan secara statistik.
Evaluator juga merupakan sumber ketidakpastian. GPT-5.4 memberi skor pada trajectory utama berdasarkan transkrip, pemanggilan tool, perubahan state, state layanan mock, dan observasi jaringan. Pada sampel yang ditahan, labelnya cocok dengan aturan deterministik pada 92,5% kasus utilitas dan 89,7% kasus keberhasilan serangan; kesesuaian dengan label manusia yang telah diadjudikasi adalah 84,3% untuk persistensi dan 85,7% untuk deteksi. Ini adalah hasil validasi yang berguna, bukan bukti bahwa judge bebas kesalahan.
Kerangka lifecycle adalah gagasan terkuat benchmark ini
Enam fase—konfigurasi, perluasan kapabilitas, operasi runtime, state persisten, kontrol aksi, dan pemulihan insiden—menggambarkan peluang berbeda bagi materi yang tidak tepercaya untuk memperoleh otoritas. Hasil prompt injection runtime yang bersih hanya memberi sedikit informasi tentang konektor yang dikonfigurasi dari teks bermusuhan atau preferensi beracun yang bertahan ke sesi berikutnya.
Konfigurasi perlu mendapat perhatian khusus karena HarnessRisk menemukan bahwa fase ini memiliki tingkat keberhasilan serangan tertinggi pada setiap harness yang diuji, sering kali ketika nilai tidak aman muncul di dalam perubahan yang sebaliknya telah diotorisasi. Perluasan kapabilitas kembali berbeda: pengumuman production-agent Anthropic pada 20 Agustus membuat computer use, browser use, Skills API, dan Files API tersedia secara umum, sehingga menambah jumlah komponen yang dapat dimuat harness.
Kampanye skill dengan nama yang dipalsukan saat ini memberikan konsekuensi dunia nyata tanpa memvalidasi angka benchmark. TechRadar melaporkan bahwa agent skill dengan nama mirip kemudian memperkenalkan perilaku pencurian kredensial; angka 1,7 juta adalah total instalasi yang ditampilkan, bukan pengguna unik atau korban yang dikonfirmasi. Insiden ini termasuk dalam threat model perluasan kapabilitas. Insiden ini tidak membuktikan bahwa konfigurasi HarnessRisk mana pun mewakili marketplace tersebut atau container API terkelola Anthropic.
Keempat hasil yang dilaporkan juga harus tetap terpisah. Deployment dapat menyelesaikan tugas benign dan tetap mengizinkan efek yang dilarang; deployment dapat mendeteksi konten mencurigakan dan tetap gagal membendungnya; deployment dapat tampak aman pada giliran saat ini sambil mempertahankan state bermusuhan untuk giliran berikutnya. Satu “skor keamanan” gabungan akan menghapus pembedaan paling berguna dari benchmark ini.
Apa yang tidak dapat diputuskan benchmark ini bagi tim produksi
HarnessRisk adalah bukti preprint versi pertama yang masih ditinjau per 23 Agustus. Halaman paper di Hugging Face menunjukkan perhatian praktisi tetapi tidak menunjukkan reproduksi independen. Para penulis mengevaluasi model, harness, kasus, artefak, dan metrik terpilih; endpoint provider dan kebijakan serving dapat berubah. Perbandingan lintas harness mereka adalah perbandingan konfigurasi yang di-deploy, bukan estimasi terkontrol atas efek harness saja.
Paper tersebut juga menggunakan “sandbox” untuk state run terisolasi, efek samping mock, dan endpoint yang dapat dijangkau secara terbatas. Apendiksnya mengatakan tidak ada kernel namespace, chroot, atau firewall tambahan yang diberlakukan. Tim yang menguji agen yang dapat menjalankan arbitrary host command memerlukan batas containment tingkat OS, kredensial palsu, layanan mock, egress terbatas, state yang dapat dibuang, dan host yang tidak menyimpan apa pun yang layak dicuri. Repository benchmark memberikan peringatan yang sama.
Terakhir, keberhasilan serangan yang rendah dapat mencakup penolakan aman, kegagalan mencapai tool yang relevan, atau kegagalan tugas umum. Persistensi dan deteksi bergantung pada apa yang diekspos harness kepada evaluator. Uji deployment harus mendokumentasikan batas observabilitas tersebut, bukan memperlakukan tidak adanya event log sebagai bukti bahwa tidak terjadi apa-apa.
Sinyal jangka dekat terkuat bukan leaderboard yang lebih besar. Sinyal itu adalah rerun independen yang mem-pin revisi kasus, harness, model, evaluator, dan isolasi, lalu menunjukkan apakah kontrol tertentu menurunkan keberhasilan serangan atau persistensi tanpa menghancurkan utilitas. Sampai saat itu, kerangka enam fase paper ini paling baik dibaca sebagai peringatan tentang cakupan: demo prompt injection yang bersih tidak dapat mensertifikasi bagian lain dari sistem agen.