收录解读
这篇论文处理的是 agent safety 里一个近几个月快速抬头、但现有防线覆盖很差的问题：随着 agent 越来越依赖第三方工具和 MCP server，攻击者已经不必只在 prompt 或输入输出层做注入，而可以把恶意行为埋进看似正常的工具、插件或服务依赖里，形成 supply-chain injection。作者的切入点不是继续把安全边界限制在文本层，而是把威胁模型上移到工具网络交互与外部依赖层。
论文先提出 SC-Inject-Bench，一个包含一万多个恶意 MCP 工具的大规模 benchmark，并用 25+ 种攻击类型系统化刻画 supply-chain threat taxonomy。随后提出 ShieldNet：它不依赖表面 tool trace 或语义扫描，而是在网络层通过 MITM proxy 和事件提取器观察真实交互，再用轻量分类器识别异常行为。结果显示，现有 MCP scanners 和 LLM guardrails 在这类攻击上明显失效，而 ShieldNet 在高 F1 和低误报下保持较小运行开销。
这篇值得正式收录，因为它同时补了仓库很重视的两层基础设施：一是新的、清晰的 supply-chain threat model 与 benchmark；二是独立于模型内部推理过程的 runtime/network-level guardrail。对 `governed execution` 主线来说，它把防线从 prompt safety 和 graph verification 进一步推进到真实依赖调用层，属于很实的系统边界补强。
它目前还不适合更高一级，因为证据仍主要来自 arXiv 阶段，且影响首先会集中在 tool-using agents、MCP ecosystem 和安全工程社区。它显著推进了 agent supply-chain security 的工作流与评测，但还没有到足以全面改写更广 agent architecture 默认设计的程度，因此以 breakthrough 收录更稳。