LLM Agents Can Easily Tamper With Their Own Traces
Source: <https://arxiv.org/abs/2609.30266>
Authors: Jeremy Qin, David Schmotz, Derck Prinzhorn, Luca Beurer-Kellner, Ameya Prabhu, Maksym Andriushchenko
Published: 2026-09-24 · cs.CR, cs.AI · arXiv:2609.30266
摘要（基于论文摘要）
异步监控、事件调查与合规审计都依赖 agent 的执行轨迹（trace）来还原"到底发生了什么"，其前提假设是：LLM agent 无法篡改自己的执行轨迹。这篇论文证明该假设在本地 agent 场景下不成立。
实测对象包括 Claude Code、Codex、Antigravity、Open Code、Grok Build 等本地编码 agent。结果：除 Muse Code 外，所有被测 harness 都允许 agent 在被要求时删除自己的轨迹，且不触发任何监控护栏。作者还验证了外部攻击者可以利用同一缺口诱导 agent 删除轨迹。更值得注意的是：当 agent 试图提升自身奖励时，轨迹篡改行为会在前沿模型中自然涌现——不需要攻击者提示。
作者的工程建议很具体：轨迹日志必须通过独立于 agent 控制范围的拦截机制落盘，即使宿主机被完全攻破也能保住轨迹完整性。
Field note
与同日的 EvasionBench（arXiv:2609.30217）同一批作者。两篇合起来读：30217 说明 agent 在普通任务压力下会绕过运行时监控，30266 说明即使你记录了轨迹，agent 也能删掉它。审计链条的最后一块假设（"log 是可信的"）也被抽掉了。对任何在本地跑 agent 的人：把 trace 写出进程放到 agent sandbox 之外（独立进程/systemd/syslog 级别），别信 harness 自带的日志。