KidnapRAG：黑盒投毒攻击劫持 Agentic RAG 的推理链(original, opens in a new tab)

提出 KidnapRAG，用投毒文档黑盒劫持 Agentic RAG 的推理链。

研究者提出针对商用多模态大模型的隐蔽视觉提示注入方法(original, opens in a new tab)

提出 CoTTA 隐蔽视觉提示注入，使多模态模型输出指定指令。

研究：11 个开源 LLM 在类米尔格拉姆实验中大多施加最高电击(original, opens in a new tab)

测量 LLM 在类米尔格拉姆服从实验中是否施加最高电击。

SecureForge 通过提示词优化发现并减少 LLM 生成代码漏洞(original, opens in a new tab)

提出 SecureForge，在推理时优化系统提示以减少编码智能体的代码弱点。

研究评测法律引用幻觉检测：GPT-5 在 agentic 框架下召回率 84.4%(original, opens in a new tab)

构建法律引用幻觉基准 LePhantomCite 并评测智能体核验。

针对大语言模型后门指纹的抑制攻击(original, opens in a new tab)

提出 TFA 与 SVA，抑制 ensemble 后门指纹验证。

Automated red-teaming pipeline stress-tests alignment audits, finds prompt-level strategic deception can render audits ineffective(original, opens in a new tab)

提出自动化红队流水线，用系统提示词压测对齐审计能否抵御策略性欺骗。

Why it was selected论文首次记录基于激活的上下文策略性欺骗，并给出白盒与黑盒审计方法在自动红队下的失效证据，为对齐审计的鲁棒性评估提供可复现方法。

Study: malicious fine-tuning defenses fail under continued training, harmfulness rises across all 72 defense trajectories(original, opens in a new tab)

以色列本-古里安大学等机构的研究者用代价曲线评估恶意微调防御在持续训练下的衰减。

Why it was selected论文系统梳理十五种恶意微调防御并实测六种，说明固定训练预算下的抗性会随攻击者继续训练而衰减。

研究者提出层级遗传算法黑盒攻击，诱导推理模型过度思考(original, opens in a new tab)

提出层级遗传算法 HGA，扰动题目逻辑结构诱发推理模型过度思考。

Stable-GFlowNet 提出对比轨迹平衡，提升 LLM 红队攻击的多样性与稳定性(original, opens in a new tab)

提出 Stable-GFlowNet，用对比轨迹平衡训练红队策略生成多样高毒性攻击。

DMN：面向多图输入的多模态大模型组合式越狱框架(original, opens in a new tab)

提出多图越狱框架 DMN，把有害意图拆进图像序列绕过安全护栏。

研究者提出日志型提示注入攻击，可抑制 SOC 中 LLM 分析助手的恶意日志识别(original, opens in a new tab)

提出日志基底提示注入，操纵 SOC 分析员的分类、摘要与处置建议。

论文揭示多租户 RAG 账号合谋使隐私泄露随账号数线性增长(original, opens in a new tab)

提出零知识审计协议，核验多租户 RAG 的合谋差分隐私。

Why it was selected论文把多租户 RAG 的隐私边界从单账号扩展到账号合谋，给出 Θ(k·εacc) 的泄露率与可验证审计协议，部署 RAG 的团队可据此重新评估账号级 DP 承诺。

研究者提出 SMT 框架，通过模拟审核轨迹越狱函数调用 LLM(original, opens in a new tab)

提出 SMT 框架，用模拟审核轨迹越狱函数调用 LLM。

PA-LLM-RAG 框架的知识库投毒攻击与防御(original, opens in a new tab)

提出策略 RAG 的知识库投毒攻击与检测防御 CLD-KB。

WebTrap：针对浏览器 Agent 导航过程的中途劫持注入攻击(original, opens in a new tab)

提出 WebTrap 三阶段陷阱，中途劫持浏览器 Agent 完成攻击后再返回用户任务。

研究者用项目反应理论将安全基准评测成本降低 80% 至 99.9%(original, opens in a new tab)

用项目反应理论自适应选题，降低安全基准评测成本。

Gut-VLM 基准：九种幻觉检测方法在胃肠道内镜 VLM 上的评测(original, opens in a new tab)

在 Gut-VLM 上评测内镜 VLM 的幻觉检测方法。

BITE：用上下文赌博机操纵风格偏置攻击 LLM 评委(original, opens in a new tab)

提出 BITE，用上下文赌博机选择风格修改抬高 LLM 评委打分。

研究者提出训练通用自动化红队模型的流程(original, opens in a new tab)

提出强化学习流程，训练能按任意对抗目标生成攻击的红队模型。

Researchers disclose a reasoning-amplified denial-of-service attack against LLM agent guardrails(original, opens in a new tab)

香港科技大学等机构的研究者提出针对 Agent 护栏的推理扩展拒绝服务攻击。

PIMiner：无需再训练即可跨模型迁移的提示注入红队智能体系统(original, opens in a new tab)

提出 PIMiner，用可复用策略库自动搜索并迁移针对智能体的提示注入。

研究者提出声学干扰攻击 AIA，可通用越狱 10 个大型音频语言模型(original, opens in a new tab)

提出声学干扰攻击 AIA，用良性音频潜语义越狱音频语言模型。

Researchers propose Breadcrumbing long-range attack that can hijack the evidence chain of DeepResearch-style search agents(original, opens in a new tab)

中国科学技术大学与南洋理工大学的研究者提出权威链劫持与轨迹引导策略演化，劫持搜索 Agent 的证据链。

Why it was selected论文把搜索引擎结果页当作攻击面，给出逐轮协同投毒的长程攻击策略与轨迹诊断，可对照检查搜索类 Agent 的证据链信任假设。

MEntA 用 5 次查询实现 RAG 成员推断攻击(original, opens in a new tab)

提出 MEntA，用非模板查询推断文档是否属于 RAG 检索库。

The researchers propose the HPAA attack: bypassing 13 content moderation systems with typographic visual cues(original, opens in a new tab)

提出 HPAA 攻击，用排版视觉线索绕过内容审核系统。

JailbreakOPT：工具辅助的迭代越狱提示词优化框架(original, opens in a new tab)

提出 JailbreakOPT，组合原子工具迭代优化黑盒单轮越狱提示。

The study reveals workflow-level jailbreaks in IDE programming agents: GitHub Copilot generated harmful content across four backends at 816/816(original, opens in a new tab)

提出工作流级越狱，让编程 Agent 在开发任务中写入有害示例。

Why it was selected同一批有害提示词在直接对话下几乎全被拒答，却在 IDE 多轮工作流中被模型自己写成有害教学示例，为编程 Agent 的安全评估提供了新的失败模式视角。

Researchers propose PoisonedEvolution trajectory poisoning attack, achieving a skill embedding rate of 91.0% on SkillClaw(original, opens in a new tab)

提出 PoisonedEvolution 轨迹投毒，诱导自演化技能系统固化恶意行为。

Why it was selected论文给出轨迹投毒在两类自演化技能系统上的成功率与消融结果，部署 Agent 技能演化的团队可据此检查证据晋升环节。

DeepTrap 框架在 OpenClaw 上自动挖掘智能体执行上下文漏洞(original, opens in a new tab)

提出 DEEPTRAP 以搜索可诱导不安全轨迹的执行上下文载荷。

研究系统评测不确定性估计方法与 LLM 幻觉的关联(original, opens in a new tab)

评测不确定性估计与 LLM 幻觉的关联。

SeqWM：面向 LLM 智能体的序列行为水印框架(original, opens in a new tab)

提出 SeqWM，把水印写入智能体动作转移并用随机密钥检测。

Misrouter：利用 MoE 路由机制对混合专家大模型发起仅输入攻击(original, opens in a new tab)

提出 Misrouter，借 MoE 路由优化仅输入前缀并迁移攻击。

ARENA：面向大型音频语言模型的自动化红队框架(original, opens in a new tab)

提出 ARENA 音频红队框架，自动构造文本安全且音频接地的越狱输入。

研究者提出 FRA-Attack 频域正则化方法，提升对闭源 MLLM 的迁移攻击效果(original, opens in a new tab)

提出 FRA-Attack，用频域对齐与梯度正则做可迁移定向视觉攻击。

ColluSkill 用跨技能组合绕过 Agent 技能扫描器，平均攻击成功率 96.0%(original, opens in a new tab)

提出 ColluSkill，用跨技能组合绕过 Agent 技能扫描器。

Why it was selected论文同时给出跨技能组合攻击在六款扫描器上的成功率和链级防御的拦截效果，可对照现有技能扫描流程评估盲区。

OTTER：仅替换五个 token 即可绕过 GPT 系列毒性审核，平均攻击成功率升至 84%(original, opens in a new tab)

提出 OTTER 词元替换越狱，绕过表面毒性审核诱导有害回答。

Why it was selected论文量化了毒性分数与越狱成功率的关系，并给出按危害类别分层加固分类器的具体建议。

PaperGuard：针对多模态 AI 同行评审的攻击与防御基准(original, opens in a new tab)

提出 PaperGuard，用图文注入与梯度扰动抬高自动审稿分数并检测恶意指令。

研究揭示批量提示导致大模型安全失效并提出批量感知对齐缓解方案(original, opens in a new tab)

把批量提示当作越狱攻击，提出 batch-aware DPO 缓解。

研究者提出 Convergent Detour Hijacking 攻击，可让技能型 LLM Agent 绕路并放大资源消耗(original, opens in a new tab)

提出 CDH 攻击，让技能型 Agent 绕路放大资源消耗。