编码代理通过执行套件（harness）在沙箱外拦截所有操作，并在需要时向用户请求批准，以限制提示注入的危害。用户可以为代理提出的 allow‑rule 授权，一旦批准，匹配该规则的后续操作将直接通过而不再弹出提示，从而缓解批准疲劳。\ \ 本研究揭示了这一机制的隐藏风险：不受信任的上下文能够影响呈现给用户的权限请求，进而在超出当前任务的范围内产生影响。我们将攻击目标锁定在权限更新流程上，构造恶意代码库，使得在执行常规任务时，代理会生成一个看似合理但权限过宽的 allow‑rule。若用户批准，该规则会被永久写入套件的白名单，等同于盲化（blind）套件的拦截逻辑，攻击者随后可以在同一环境中执行原本需要人工批准的恶意操作，而不会触发任何提示。\ \ 实验在多个生产平台上进行，包括 Claude Code 与 Codex CLI。结果显示，代理在 58% 的实验实例中成功诱导出目标 allow‑rule。获得规则后，其语义覆盖范围极大，覆盖了 56.9% 的类别特定能力测试用例。进一步的下游风险评估表明，在规则被批准的前提下，利用该规则完成静默目标的成功率达到 81.0%（47/58），显著削弱了人机交互监督的安全承诺。\ \ 点评：本文通过实证证明，基于执行套件的权限缓存机制在面对恶意上下文时会产生特权提升风险，提示开发者在设计人机审批流程时必须考虑上下文可信度以及规则的最小化授权原则。