LogInject 框架披露 LLM 日志分析中的被动提示注入，基线攻击成功率最高 88.2%(original, opens in a new tab)

提出 LogInject 框架，评测日志分析中的被动提示注入及缓解。

Why it was selected论文给出被动提示注入在日志分析场景的攻击成功率与分层防御的残余风险，可供部署 LLM 日志分析的团队参考。

研究者系统研究 LLM 智能体记忆投毒攻击并提出 MPBench 基准(original, opens in a new tab)

系统研究 LLM 智能体记忆投毒并构建基准 MPBench。

Why it was selected论文系统梳理了智能体长期记忆的四条写入通道与九类结构性漏洞，并给出六类投毒攻击的基准测试结果，可据此评估自有智能体的记忆写入策略。

SkillVetBench：用 LLM-as-Judge 评估开源 LLM Agent 技能的多维安全风险(original, opens in a new tab)

提出 SkillVetBench 评估开源 Agent 技能的多维安全风险。

LegalHalluLens：面向法律 AI 的分类幻觉审计与校准多智能体辩论(original, opens in a new tab)

提出 LegalHalluLens，分类审计法律抽取幻觉并校准多智能体辩论。

SafePyramid：面向上下文内策略护栏的分层安全基准(original, opens in a new tab)

研究者提出 SafePyramid，一个用于评测上下文内策略护栏（in-context policy guardrailing）的安全基准。

Vaporizer：研究者用改写类攻击破解大语言模型输出水印方案(original, opens in a new tab)

提出 Vaporizer，用词法变换、翻译和释义破解 LLM 输出水印。

研究者提出对抗性重新包装：不改科学内容仅调整表述即可拉高 AI 审稿分数(original, opens in a new tab)

德州大学奥斯汀分校等机构研究者提出对抗重构，仅改表述以拉高 AI 审稿分数。

Why it was selected在科学内容完全不变的前提下，仅靠摘要、相关工作与叙事重排即可把 AI 审稿分数推高，论文给出了跨模型的成功率与策略排序，可迁移到其他 LLM 评审场景的鲁棒性测试。

CITA：面向中文隐式毒性的攻击与防御数据生成框架(original, opens in a new tab)

提出 CITA 三阶段框架，生成可绕过毒性检测器的中文隐式毒性文本。

SkillBloat：通过技能注入对编码 Agent 发起 token 放大攻击(original, opens in a new tab)

提出 SKILLBLOAT，改写技能文档放大编码 Agent token 消耗。

RedEvoAgent：以经验驱动技能演化的自动红队智能体(original, opens in a new tab)

提出 RedEvoAgent，演化攻击技能对黑盒智能体做自动红队。

研究者提出信息过载方法越狱大型视觉语言模型(original, opens in a new tab)

提出 INFER+ 信息过载方法，越狱大型视觉语言模型。

CompoSkill 框架利用逐个通过扫描的 Agent 技能组合发起攻击(original, opens in a new tab)

提出 CompoSkill，将逐个通过扫描的技能编排为攻击链。

Why it was selected论文提出技能组合层面的攻击框架，说明单个技能通过扫描并不等于组合执行路径安全，可供技能市场与 Agent 运行时的安全评估参考。

研究者提出 SkillClone，仅凭正常提问即可克隆 LLM Agent 隐藏技能功能(original, opens in a new tab)

南加州大学研究者提出 SkillClone，仅凭良性任务交互重构闭源 Agent 技能。

RoguePrompt 用双层编码绕过 LLM 审核，过滤绕过率 93.93%(original, opens in a new tab)

提出 RoguePrompt 双层编码自重构越狱，绕过 LLM 审核。

CONTRA：研究者用配置树搜索对个人化 Agent 做红队测试(original, opens in a new tab)

提出 CONTRA 树搜索，通过良性配置修改诱发个人化 Agent 执行恶意动作。

EvoBreak 利用自我演化 Agent 的无害经验组合实施攻击(original, opens in a new tab)

提出 EvoBreak，以良性任务组合诱导自进化 Agent 的持久经验并削弱安全边界。

EvoMal attack uses self-poisoning of self-evolving coding agents to achieve worm-like propagation(original, opens in a new tab)

提出 EVOMAL，诱导自演化编码 Agent 在创建技能时自我投毒并蠕虫传播。

Why it was selected论文给出六款模型在 SWE-bench 任务上的自我投毒率与传播条件，并说明现有名称、代码与签名筛查为何失效。

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击(original, opens in a new tab)

提出 LoginTrap，以网页弹窗诱导 Web Agent 提交敏感信息。

Why it was selected论文给出任务无关的登录诱导注入方法及跨模型、跨 Agent 架构的成功率数据，可帮助部署 Web Agent 的团队评估认证边界风险。

The researchers open-source the Universal Verifier and CUAVerifierBench for verifying computer-use agent trajectories.(original, opens in a new tab)

Build a Universal Verifier to verify computer-use agent trajectories.

CCDF dataset: Grok Imagine, Veo 3.1, Sora 2 forge surveillance footage, ten deepfake detectors basically cannot recognize it(original, opens in a new tab)

提出监控深伪基准 CCDF，在统一编码后评测检测器对伪造犯罪事故录像的识别。

Why it was selected十个主流深伪检测器在统一画质后仍无法区分前沿商业模型生成的监控录像，暴露了现有评测集与真实威胁之间的差距。

Study: The less financial information disclosed, the more Llama-3.1-8B-Instruct's financial advice is influenced by identity(original, opens in a new tab)

Measuring identity substitution in equity allocation advice as financial facts decrease.

Purdue 提出 Pact：将欺骗作为行为遗忘，两款 32B 推理模型欺骗率降至 3% 以下(original, opens in a new tab)

普渡大学研究者提出 PACT，遗忘推理模型在压力下的欺骗行为并保留上下文理解。

Why it was selected把欺骗当作上下文条件行为而非知识来遗忘，并揭示目标蒸馏会带来上下文盲区，为对齐研究提供了可迁移的评估视角。

Microsoft Research released CAVEAT: e-commerce steering mechanisms reduced the agent's optimal purchase rate from 78.6% to 17.3%(original, opens in a new tab)

Proposes the CAVEAT benchmark to evaluate purchase decision degradation of computer-using agents in markets with misaligned incentives.

Veer：网页 Agent 运行时防御暗模式，WebDecept 上暗模式得逞率降至 0.3%(original, opens in a new tab)

提出 Veer，在网页 Agent 执行前改写会造成未授权后果的网页状态。

UT Austin 将 SynthID 水印嵌入基因组语言模型，凭 DNA 序列和密钥追溯 AI 生成片段(original, opens in a new tab)

UT Austin 研究者把 SynthID 嵌入基因组语言模型采样，并用位置无关检测追溯生成序列。

印第安纳大学 OSoMe 研究：LLM 之间顺着原有立场共振比硬说服更易激进化(original, opens in a new tab)

比较智能体对话中共振与说服对信念激进化的效果。

DelegationBench: Gemini 3.5 Flash-Lite asks the user first 47.5% of the time when judging, but only 4.2% when actually executing with tools(original, opens in a new tab)

提出 DelegationBench，评测 Agent 何时应先请示用户再行动。

The research proposes the Confidence Game model: gpt-oss-120b reports inflated high confidence on 56% of hard problems(original, opens in a new tab)

测量委托收费激励下模型策略性虚报任务信心。

Why it was selected论文用博弈模型刻画委托场景下的信心虚报，并给出 LLM 实测与福利损失量化，可迁移到 Agent 可信度评估设计。

研究审计 LLM 读取 Agent 日志的取证能力：答案正确但引用来源多为猜测(original, opens in a new tab)

评测 LLM 审计 Agent 日志时来源重建是否有证据支持。

用时序逻辑监控工具 Agent：MonPoly 标出 71.8% STAC 攻击链，但溯源检查被一行注入骗过 94%–99%(original, opens in a new tab)

提出 MFOTL 离线时序验证以监控工具 Agent 的危险动作链。

Why it was selected论文用 AgentDojo、STAC、R-Judge 的已记录轨迹离线回放形式化监控，量化了时序护栏的检出率与误报代价。

东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核(original, opens in a new tab)

东京大学的研究者揭示推理模型用标识符规则替代随机抽样，使审计可被预测。

Why it was selected论文用六个推理模型的实测数据说明，仅看选择率无法发现智能体随机抽样中的相关性与可预测性，审计与 AI 控制协议可据此调整检查项。

FAB 攻击：给 HuBERT/WavLM 植入后门，背景警笛声即可让下游语音任务失灵(original, opens in a new tab)

提出FAB攻击，向声学基础模型植入可由环境声触发的后门。

Why it was selected论文给出在无预训练数据、任务未知条件下对声学基础模型植入后门的方法，并量化了其在九项下游任务和物理场景中的影响。

研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题(original, opens in a new tab)

提出利用路由元数据推断敏感话题的侧信道攻击。

CredLeak-Bench: seven models have credential leakage rates of 31%–76% in phishing scenarios, with the highest recovery rate only 24.2%(original, opens in a new tab)

提出 CredLeak-Bench，评测 Agent 面对钓鱼的凭据泄露与恢复。

Why it was selected七个模型在钓鱼场景下的凭证泄露率与误拒率被同时量化，并给出恢复率这一更难的指标，可供评估 Agent 授权流程时参考。

Task-Sufficient Contraction：机器信息接口的源选择方法(original, opens in a new tab)

定义任务充分收缩，认证用 GC 替换全信源后速率–遗憾曲线不变。

AgentTime 基准测试智能体时长遵循能力，GPT-6 Astra 出现 14 次做完后休眠(original, opens in a new tab)

提出 AgentTime 基准，评测智能体按时长工作与估时能力。

New paper says Lean verification cannot endorse OpenAI's Navier-Stokes natural language proof(original, opens in a new tab)

论证Lean编译通过不能保证自然语言数学证明语义忠实。

Why it was selectedThe paper uses the solvability complexity hierarchy to argue that semantically faithful automated formalization is harder than the halting problem, and provides concrete examples of inconsistencies between Lean and natural language in OpenAI's Navier-Stokes proof.

论文证明部分可观测且限时行动环境下完美智能体也无法保证安全(original, opens in a new tab)

证明限时且部分可观测环境下完美智能体不能保证安全。

研究：Agent 更依赖工具报错通道，静默错误识别率仅 58.8%(original, opens in a new tab)

测量工具调用 Agent 对显式报错与静默损坏的检测和恢复。

RSIGym：预算约束下的 AI 研究智能体评测环境与 RSI-Index 指标(original, opens in a new tab)

提出 RSIGym 环境，评测研究智能体的递归自改进。