Translation in progress Some entries still include text in the original language.
Oct 12 · Monday
All papers Found 29 papers Another 232 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
Measures citation fragility in AI search, demonstrating that ordinary public posts can enter citations and answers.
Published Oct 8
Evaluated models Grok , Doubao , ChatGPT and others10 Abstract The authors claim the paper quantifies vulnerabilities in AI search caused by citation preferences and low posting thresholds; tests show public web posts can penetrate AI citations, and they call for auditing the citation supply chain.
实现 DEFER，以确定性检查优先拦截多智能体流水线的内容攻击
Published Oct 6
Evaluated models Qwen3-235B-A22B-Instruct-2507 , gpt-oss-120b , Llama-4-Scout-17B-16E-Instruct and others5 Abstract DEFER 把确定性检查放在 judge 之前。DEFER 用来测量多智能体授权流水线里，确定性规则在何处结束、LLM judge 从何处开始。
提出临时可见性协议，限制持续摄入 RAG 向量库的投毒暴露
Published Oct 5 Abstract 用截止期限制未核验可见时长。这篇工作给持续摄入的 RAG 向量库一个失败关闭的临时可见性协议，把协议能限制的未核验暴露和依赖检测器的中毒暴露分开。
提出 HDI 攻击以篡改 GraphRAG 辅助结构破坏检索
Published Oct 2
Evaluated models Microsoft GraphRAG , HippoRAG2 Abstract 论文形式化了 GraphRAG 辅助模式级实体攻击面，提出 HDI 攻击并验证其攻击效果。
提出 memetic trojans，借助社交传染在 Agent 网络中传播对抗载荷
Published Oct 1
Evaluated models gpt-oss-120B , deepseek-v4.1-flash , qwen-32B and others5 Abstract memetic trojans 用内生社会传染携带载荷。Memetic trojans 是一类网络介导攻击：对抗载荷搭在智能体本来就会转发和点赞的内容上扩散，转发者不必被攻陷，也不必执行“请继续复制”的指令。
提出只训练或篡改多智能体潜在通信链路来提高有害遵从
Published Sep 30
Evaluated models Llama-3.2-3B-Instruct , Qwen2.5-3B-Instruct , Gemma-3-1B-IT and others7 Abstract 潜在链路本身即可改变冻结智能体系统的安全，奖励既能攻击也能修复。学习得到的潜在通信链路会改变由冻结、对齐智能体组成的系统是否遵从有害请求。 。作者研究三种拓扑：双智能体、三级顺序协作，以及双专家加汇总。
提出 MADBench，评测多智能体辩论是吸收还是放大对抗影响
Published Sep 30
Evaluated models gpt-4o , GPT-5 , GPT-6 Astra Abstract MADBench 显示辩论能吸收部分准确率攻击，同时放大未授权读写。MADBench 是一个评测多智能体辩论安全性的基准，用来看攻击是被辩论吸收还是被放大。
提出 VirusCascade，联合操纵商品描述与交互轨迹以劫持推荐智能体协同反思
Published Sep 29
Evaluated models AgentCF , AgentSEQ , AgentRAG and others4 Abstract 作者把反思写回视为推广攻击入口，并用联合操纵和诊断探针研究其持续与传播。VirusCascade 是针对推荐智能体协作反思的 black-box targeted promotion 攻击研究。 攻击者只改商品描述和少量账号的普通交互，试图让目标商品获得更多良性用户曝光。
提出 LENS，构造集合级 RAG 语料投毒以导向预设答案
Published Sep 28
Evaluated models Qwen3.6-35B-A3B , Llama-3.1-70B-Instruct , DeepSeek-V4-Pro 提出 TRUSTFORK 基准，评测展示身份劫持多智能体编排权限
Published Sep 26
Evaluated models GPT-5.6-Sol , GPT-5.6-Luna , Kimi-K3 and others8 Abstract 论文提出了多智能体安全基准 TRUSTFORK，揭示展示身份如何劫持操作权威，并证明事后验证无法弥补已发生的执行破坏。
用任务绑定令牌和策略预言机拦住多智能体流水线的未授权执行
Published Sep 15
Evaluated models gemma4:31b-cloud Abstract 结构性授权拦住了记忆投毒的未授权执行，持密钥时承重的是策略预言机。作者在一条会改写沙箱邮件库的四智能体流水线上，检查低权限失陷会不会变成未授权的真实动作。
提出神经符号纵深架构，阻断 AI-SOC 的日志投毒与间接提示注入
Published Sep 10
Evaluated models Gemma 3 (12B) 提出 CodePoisonRAG，对检索增强代码生成的知识库投毒以植入漏洞
Published Sep 3
Evaluated models Qwen 3.5 9B , Code Llama 13B , DeepSeek-Coder-V2 16B Abstract CodePoisonRAG 展示了 RACG 外部知识库的新攻击面，在较低投毒率下可定向诱发指定漏洞并部分抵御防御。
提出 VerTox，用可验证奖励强化学习生成误导文档并投毒检索语料
Published Sep 1
Evaluated models SimLM-base , BGE-base , Cohere-embed-english-v3.0 and others8 Abstract VerTox 以可验证奖励微调小 LLM，生成能抬高排序并腐蚀事实的投毒文档。VerTox 用可验证奖励把小 LLM 微调成语料投毒生成器，用来探测神经排序器在注入文档下的暴露面。
复现 AgentCF 上的多智能体攻防并刻画连通性作用
Published Aug 4
Evaluated models Qwen3-235B-A22B , Claude Haiku 4.5 , Mixtral 8×7B and others4 Abstract 连通性沿 k 与ρ改变攻防，且用户/物品与早期/稳态需要分开看。作者在 AgentCF 上研究连通性如何改变多智能体协同过滤的攻防，复现已有方法而不是提出新载荷。
提出策略 RAG 的知识库投毒攻击与检测防御 CLD-KB
Published Jul 6
Evaluated models Llama 3.2 提出 CRCP 框架，优化分块与重排下的 RAG 语料投毒
Published Jun 9
Evaluated models GPT-4o , DeepSeek-R1 , Qwen3-Max and others11 Abstract CRCP 把投毒做成多阶段一致性问题。CRCP 研究的是带分块和重排的 RAG 语料投毒，而不是只提高文档级检索分数。
提出 DiscourseFlip，用有限文档投毒操纵黑盒 RAG 的话语级观点
Published May 31
Evaluated models Llama3.1-8B-Instruct , Qwen3-8B-Instruct , BGE and others5 Abstract DiscourseFlip 按语义图分配投毒预算。DiscourseFlip 是针对黑盒 RAG 的话语级观点操纵。作者要处理的缺口是：只打单条查询或主题局部查询时，覆盖窄，目标受审查时容易被隔离，也难沿相关话题传播。攻击者不能看检索器或 LLM 内部，也不能改提示词模板，只能在文档数、生成 token 和 SEO 编辑距离限制下注入少量文档。
提出 SilentRetrieval，以语义保持对抗文档投毒劫持 RAG 检索与生成
Published May 27
Evaluated models Llama-2-7B-Chat , Mistral-7B-Instruct-v0.2 , Qwen-7B-Chat and others10 Abstract 两阶段投毒在单文档协议下兼顾检索劫持、生成操纵与近良性困惑度。SilentRetrieval 是针对 RAG 的两阶段语料投毒，在每查询一篇、合成目标答案的统一协议下，同时处理检索劫持、生成操纵和流畅度。
提出 M3 Att，在不知查询时投毒医学多模态 RAG 并误导临床决策
Published May 11
Evaluated models GPT-4o , GPT-5 Chat , Gemini-2.5-Flash and others8