来试试攻破我的智能体隔离层。如果你成功了，我会写成文章并署上你的名字。

我构建了 WarrantKit，这是一个面向 AI 智能体的失效即关闭（fail-closed）运行时隔离层（Python，Apache-2.0 协议，仓库见文末）。我自己编写的对抗测试只能覆盖我想到的攻击方式，这是单人安全研究的根本性弱点。所以：来攻破它吧。此前的一轮对抗性审查已经发现了一些真实问题（伪造的租约、未签名的授权凭证、可篡改的准入记录）。每一个都已修复，并附带回归测试。现在是第二轮。 **这些主张**（均可证伪，并在 CI 中测试；下面发布的软件包构建自 commit `ad09e92`，并已通过已发布包的冒烟测试）： 重放或复制的 Warrant 无法调用任何操作。网关会消耗运行时持有的执行权限，因此单独一个序列化的 Warrant 是无效的。 重放的运行时报告、被篡改的事件以及序列号操纵都无法通过验证。校验是封闭的，而不是向前推演的。隔离发生后，所有绑定到旧 epoch 的东西会立即失效。没有凭证 TTL 窗口可以等待熬过。外部证据无法将「已观测（observed）」升级为「已验证（verified）」，也无法引入权限。 **在范围内：** `pip install warrantkit==0.1.2`（目标是已发布的包；main 分支在打包后已经有了新改动，所以请测试这个包，而不是分支），或者检出 `ad09e92` 的仓库。如果你从源码构建，请使用 `--recurse-submodules` 克隆；普通克隆会导致 `AgentContainment/` 目录为空。欢迎提供复现脚本。Linux cgroup-v2 真实终止路径和无需 root 权限的模拟演示都在攻击范围内，只是请说明你攻破的是哪一个。 **不在范围内：** GitHub/PyPI 基础设施、对我进行社会工程学攻击、你所运行主机上的内核零日漏洞。请攻击机制本身，而不是周边管道。 **声明的假设**（请不要在这里浪费时间，我心里有数）：拥有 epoch 权限的运行时是可信的，操作系统内核是可信的，证明密钥（attestation key）得到了正确管理。如果你认为这些假设本身就是漏洞，这也是一个有效的发现，只需明确标注出来即可。 **如果你攻破了它：** 开一个 GitHub issue 并附上复现步骤，或者私信我。我会确认问题、修复、添加一个以该攻击方式命名的回归测试、把攻破过程写成文章，并在 README 的安全说明中署上你的名字。即使只是「我读了代码，认为主张 1 是错的，因为 X」也算，只要 X 成立就行。来吧。