Researchers propose PoisonedEvolution trajectory poisoning attack, achieving a skill embedding rate of 91.0% on SkillClaw(original, opens in a new tab)

提出 PoisonedEvolution 轨迹投毒，诱导自演化技能系统固化恶意行为。

Why it was selected论文给出轨迹投毒在两类自演化技能系统上的成功率与消融结果，部署 Agent 技能演化的团队可据此检查证据晋升环节。

R-lens 改进 J-lens 早期层忠实度(original, opens in a new tab)

CMU 研究：分片判断可避免 LLM 监督失效并抵御对抗利用(original, opens in a new tab)

卡内基梅隆大学的研究者提出分片监督，将评判标准分配给独立调用以抵御展示攻击。

Why it was selected论文用三个专家标注数据集对比分片与单次全量判断，并给出可复用的容量解释，适合做监督流程设计的团队参考。

PIMiner：无需再训练即可跨模型迁移的提示注入红队智能体系统(original, opens in a new tab)

提出 PIMiner，用可复用策略库自动搜索并迁移针对智能体的提示注入。

Gradient Immunity 提出 USG：在开放权重发布时阻断恶意微调梯度(original, opens in a new tab)

提出 USG，在部分保护开源权重发布时阻断有害微调梯度。

ContextWeave：面向长周期办公工作流的智能体记忆基准(original, opens in a new tab)

构建 ContextWeave，评测办公工作流智能体记忆的下游增益。

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击(original, opens in a new tab)

提出 LoginTrap，以网页弹窗诱导 Web Agent 提交敏感信息。

Why it was selected论文给出任务无关的登录诱导注入方法及跨模型、跨 Agent 架构的成功率数据，可帮助部署 Web Agent 的团队评估认证边界风险。

Researchers propose Breadcrumbing long-range attack that can hijack the evidence chain of DeepResearch-style search agents(original, opens in a new tab)

中国科学技术大学与南洋理工大学的研究者提出权威链劫持与轨迹引导策略演化，劫持搜索 Agent 的证据链。

Why it was selected论文把搜索引擎结果页当作攻击面，给出逐轮协同投毒的长程攻击策略与轨迹诊断，可对照检查搜索类 Agent 的证据链信任假设。

面向良性用途的对抗攻击：视觉内容全生命周期主动防护综述(original, opens in a new tab)

综述视觉内容全生命周期中的所有者侧对抗防护方法。

研究揭示越狱判定器不可靠：ASR 自动评分存在校准与对抗鲁棒性问题(original, opens in a new tab)

Veyon Solutions 的 Yang Gao 在 HarmBench 分类器验证集（596 条人工标注完成结果）上测试了自动越狱判定器的可靠性，发现两类判定器以相反方式失效。专用分类器（如 HarmBench classifier）召回率 0.974、精确率 0.835，倾向过度标记，可能抬高 ASR；LLM-as-judge 精确率高但召回率极低，Qwen2.5-7B 召回仅 0.174、F1 为 0.294，Qwen2.5-3B 召回 0.059。在内容不变的包装攻击下，仅加一句拒答前缀就能让 LLM 判定器把有害内容改判为安全，翻转率在 39% 至 88% 之间，部分模型任意包装的翻转率达 100%。

研究者提出 SkillClone，仅凭正常提问即可克隆 LLM Agent 隐藏技能功能(original, opens in a new tab)

南加州大学研究者提出 SkillClone，仅凭良性任务交互重构闭源 Agent 技能。

MAFIA: Query-based Memory Poisoning Attacks on Audited LLM Agents(original, opens in a new tab)

Propose MAFIA to probe placement and fact disguise for query-based memory poisoning of audited agents.

AntiSkillBench：评测 persona skill 的隐私泄露与行为模仿风险(original, opens in a new tab)

研究者提出 AntiSkillBench，一个覆盖 persona skill 全流程的端到端基准，用于评测隐私泄露、属性披露与行为模仿风险及相应防御。

规避与投毒攻击对恶意软件数据漂移检测器的实证分析(original, opens in a new tab)

用通用扰动对恶意软件分类器及漂移检测器做规避与后门投毒。

SkillSentry：用自适应蜜罐世界动态检测 Agent 技能安全(original, opens in a new tab)

提出 SkillSentry，用自适应蜜罐世界在安装前检测 Agent 技能是否越出能力契约。

ForesightSafety-TIDE：虚假证词使 LLM 多智能体系统事实恢复率从 72.50% 降至 14.17%(original, opens in a new tab)

构建 ForesightSafety-TIDE 评测欺骗对多智能体事实恢复的影响。

Connectivity Attacks and Defenses in Multi-Agent Collaborative Filtering Systems(original, opens in a new tab)

Reproduces multi-agent attacks and defenses on AgentCF and characterizes the role of connectivity.

FAR.AI 发布 AI 安全排行榜与护栏最低标准 1.0(original, opens in a new tab)

建立越狱原语分类与双重危害基准，评测模型抵御常见越狱的能力。

Why it was selectedFAR.AI 用统一方法横向比较四家前沿模型在 CBRNE 与网络攻击上的护栏表现，并给出可复用的最低安全标准。

IHDec：用发散度引导对比解码维护多轮指令层级(original, opens in a new tab)

Liu 等人提出 IHDec，一种免训练、推理时的干预方法，通过实时 logit 调整维护大语言模型的指令层级（System ≻ User ≻ Assistant ≻ Data）。作者用 Jensen-Shannon 散度作为诊断工具，当低优先级角色对下一 token 分布的影响超过高优先级角色时触发冲突集，再用专家与反专家对比解码生成校正向量，并采用 ϵ=1×10−8 的归一化项和 0.97 的衰减因子保证稳定性。在 IHEval 基准上，IHDec 比训练式方法 ISE 提升 11.98 个百分点；在 Llama-3.1-8B-Instruct 的多轮冲突场景达到 50.68% 准确率，而 ISE 为 12.60%。

IACM-RL：面向动态意图波动下复杂工具调用的意图感知上下文管理与强化学习(original, opens in a new tab)

提出 IACM-RL，用信念状态与强化学习改进动态意图下的复杂工具调用。

VulnGym: A Benchmark for Repository-Level Vulnerability Detection with Coding Agents(original, opens in a new tab)

Proposes the VulnGym benchmark to evaluate repository-level vulnerability detection by programming agents and identify failure steps.

EvoBreak 利用自我演化 Agent 的无害经验组合实施攻击(original, opens in a new tab)

提出 EvoBreak，以良性任务组合诱导自进化 Agent 的持久经验并削弱安全边界。

HACA：原子越狱策略解耦组合的多模态自动红队方法(original, opens in a new tab)

提出 HACA，将图文越狱拆为原子策略并自动组合以诱导有害输出。

S³：用多阶段防御提升 LLM 智能体安全(original, opens in a new tab)

提出 S³，用 guard agent 编排阶段安全技能防御智能体多阶段风险。

研究揭示批量提示导致大模型安全失效并提出批量感知对齐缓解方案(original, opens in a new tab)

把批量提示当作越狱攻击，提出 batch-aware DPO 缓解。

SoK paper proposes an intent-oriented taxonomy for multi-turn LLM jailbreaks(original, opens in a new tab)

Proposes an intent-oriented taxonomy for multi-turn LLM jailbreaks.

MasDrift：跨多智能体架构的授权保持基准(original, opens in a new tab)

提出 MasDrift，评测多智能体在良性任务中的授权保持。

研究揭示多智能体 LLM 流水线的结构性漏洞(original, opens in a new tab)

提出多智能体流水线的边界攻击，使对抗内容作为可信输入跨层传播。

生成图像更易被遗忘：面向合成图像检测的机器遗忘视角(original, opens in a new tab)

提出机器遗忘式生成图像检测，用遗忘前后特征相似度区分自然图与生成图。

SCHEMA：面向科学 Agent 幻觉的拓扑感知评测框架(original, opens in a new tab)

提出 SCHEMA，用概念图与轨迹分评测科学 Agent 幻觉。

OpenART proposes an environment-evolution red-teaming framework, achieving 85.0% attack success rate across 75 agent configurations(original, opens in a new tab)

复旦大学与上海人工智能实验室的研究者构建 OpenART 竞技场，以 EMHA 演化持久环境评测智能体安全。

CAGE：面向工具调用 Agent 的类型化返回不确定性认证授权方法(original, opens in a new tab)

提出 CAGE 认证门，判定动作在工具返回邻域内是否仍可授权。

Frontis-MA1：面向机器学习工程递归自我改进的 AI4AI 模型(original, opens in a new tab)

提出 OpenMLE，后训练元进化智能体并做机器学习工程长程搜索。

RoguePrompt 用双层编码绕过 LLM 审核，过滤绕过率 93.93%(original, opens in a new tab)

提出 RoguePrompt 双层编码自重构越狱，绕过 LLM 审核。

Researchers propose shadow evaluation: frontier agents failed to complete two NeurIPS submission-level research projects in six days(original, opens in a new tab)

提出影子评测，衡量 Agent 自主完成开放式 AI 科研的能力。

Why it was selected两项影子评测用未发表论文的原始问题考察前沿 Agent，给出可复现的失败模式清单与专家评分，为判断 AI 研发自动化进度提供新方法。

OpenAI releases GPT-Red: training automated red-teaming agents through self-play(original, opens in a new tab)

训练自博弈红队智能体 GPT-Red，规模化生成提示注入与越狱攻击。

Why it was selectedOpenAI 公开了自动化红队智能体的自博弈训练方法与攻击效果，可了解攻击面扩展和对抗训练的新路径。

SigLeak 可从执行轨迹推断专有 Agent 技能，平均提升成功率 6.88 个百分点(original, opens in a new tab)

提出 SigLeak，从黑盒 Agent 执行轨迹推断专有技能。

Why it was selected论文把专有 Agent 技能被行为轨迹反推的风险形式化，并给出可复现的黑盒推断流程与跨模型评测结果。

研究：激活引导的副作用可在引导前预测(original, opens in a new tab)

用未转向表征的传播映射预测激活转向副作用。

ForesightSafety-VLA：面向视觉-语言-动作模型的统一诊断安全基准(original, opens in a new tab)

Lyu 等人提出 ForesightSafety-VLA，一个把具身安全从结果检查转为过程级评估目标的诊断基准，用于暴露视觉-语言-动作（VLA）模型在任务完成与物理可靠性之间的安全差距。基准用 13 个安全类别组成三层分类体系，覆盖物理、指令与感知三类失效，并通过危险注入、约束收紧、时序前置条件插入三种算子构建 66 个基础场景。评测采用四象限结果框架，区分安全成功、不安全成功、安全失败与不安全失败，并用累计安全成本（CC）和风险暴露时间（RET）刻画过程风险。

研究提出 FEGA 框架分析 SAE 特征干预的 logit 变化几何(original, opens in a new tab)

提出FEGA框架，分析SAE特征消融后的logit效应几何。