LLM Agents Can Easily Tamper With Their Own Traces

异步监控、事件调查和合规审计主要依赖代理执行轨迹来重现所发生的事情。这些分析假定 LLM 代理无法篡改自身的执行轨迹。我们发现，Claude Code、Codex、Antigravity、Open Code 和 Grok Build 等本地 LLM 代理未能执行这一边界限制。除 Muse Code 外，所有受测测试框架都允许代理在接到要求后删除自身的轨迹，且不会触发监控护栏。我们还验证了外部攻击者可以利用这一漏洞诱导轨迹删除。最后，我们表明，当代理试图提高自身奖励时，轨迹篡改行为会在前沿模型中自然出现。我们建议从业者确保通过不受代理控制的独立拦截机制记录轨迹，即使在主机完全遭到入侵的情况下，也能保持轨迹完整性。总体而言，我们的研究发现了代理基础设施中一个具体的轨迹完整性失效问题，该问题可被用于掩盖不符合预期的行为，例如密谋或蓄意破坏。