Translation in progress Some entries still include text in the original language.

Oct 12 · Monday

All papers

Found 17 papers

Filter3

Select any value within a category; different categories must all match. Counts include the other filters you have selected.Another 265papers have no tags yet and are not included in filtered results.

Impact：Data and privacy leaks Impact：Increased misuse capability System component：MCP and skills Clear all

Another 265papers do not have category tags yet and are not included in filtered results.

AttacksarXiv 2610.12524Oct 8
An exploration of attacks on AI agent systems
重测并扩展对 AI Agent 的提示注入，并用 Agent Card 欺骗操纵 A2A 选择
arXiv
2610.12524
Published
Oct 8
Layer
Application layer
Setting
AI Agent
Evaluated models
Ollama Mistral 0.9.5, llama3-8b-8192, gemini-2.0-flash-lite and others5
- AttacksPrompt injection
- TechniqueEncoding and obfuscation
- ComponentMCP and skills
Abstract单智能体过滤与分类可被格式或措辞绕过，A2A 选卡还会偏向名称和描述。
作者在自建的 LangChain、AutoGen 和 A2A 系统上重测提示注入，并改 Agent Card 看选择是否偏移。摘要称试验主要凸显单智能体弱点，同时把攻击扩到多智能体。
Paper analysisRead analysis
AttacksarXiv 2610.00392Sep 30
A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型
提出 A2A-TIBA，经 A2A 对等任务间接注入并植入常驻回调
arXiv
2610.00392
Published
Sep 30
Layer
Application layer
Setting
Multi-agent systems
Evaluated models
MiniMax-M3, deepseek-v4-pro, glm-5.3 and others8
- AttacksPrompt injection
- TechniqueMulti-turn escalation
- ComponentMCP and skills
AbstractA2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。
A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
Paper analysisRead analysis
AttacksarXiv 2609.18217Sep 16
研究：跨通道碎片化攻击可绕过 MCP 单通道防御
提出跨通道分段攻击，利用 MCP 隐式信任外发敏感文件
arXiv
2609.18217
Published
Sep 16
Layer
Application layer
Setting
coding agent
Evaluated models
GPT-4o, GPT-4o-mini, GPT-5.4 and others15
- AttacksPrompt injection
- TechniqueEncoding and obfuscation
- ComponentMCP and skills
Abstract论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
Paper analysisRead analysis
OtherarXiv 2609.18120Sep 16
PentestChain：面向免费层 LLM 的成本感知 MCP 编排自动化渗透测试框架
提出成本感知的 MCP 编排框架，用确定性利用图与免费层模型做自动化渗透测试
arXiv
2609.18120
Published
Sep 16
Layer
Application layer
Setting
LLM applications
- RiskDangerous capabilities
- ComponentMCP and skills
Abstract确定性利用图加免费层级联在十次自建运行上测得付费成本为零。
PentestChain 是一个十阶段、经 MCP 暴露的自动渗透框架，用确定性利用图把 7B 本地模型挡在利用关键路径之外，并把每次交战的美元成本当作实测指标。。
Paper analysisRead analysis
DefensesarXiv 2609.01677Sep 1
Skill-as-API：面向智能体软件工程的机密多智能体协作协议
提出 Skill-as-API，隔离多智能体协作中的 skill 正文与系统提示词
arXiv
2609.01677
Published
Sep 1
Layer
Application layer
Setting
Multi-agent systems, coding agent
- DefensesInstruction–data separation
- AttacksExtraction and theft
- ComponentMCP and skills
Abstract协议把 skill 正文留在所有者侧，四层限制发现内容、权限期限和注入拼接。
Skill-as-API 是面向智能体软件工程的协调协议，用来在跨组织调用时把 skill 的代码和系统提示词留在所有者进程。作者针对三条威胁：经通道或命名空间抽取专有方法，用注入让被调用模型输出系统提示词，以及协作结束后权限继续保留。
Paper analysisRead analysis
DefensesarXiv 2608.30083Aug 31
研究者提出零知识谓词证明网关，在 MCP 与 Agent2Agent 上实现 Agent 间数据最小化
提出 Proof Gateway，用零知识谓词证明实现 Agent 间数据最小化
arXiv
2608.30083
Published
Aug 31
Layer
Application layer
Setting
Multi-agent systems
- AttacksPrompt injection
- ComponentMCP and skills
Abstract作者将 source integrity 而不是证明开销视为绑定约束。
Proof Gateway 是一套已运行的智能体间数据最小化机制：用治理谓词的零知识证明代替原始值和自然语言自述。
Paper analysisRead analysis
AttacksarXiv 2608.27800Aug 28
ContextLeak：通过恶意工具窃取 LLM Agent 运行时上下文
提出 ContextLeak，用强化学习优化恶意工具描述，诱导 Agent 外泄运行时上下文
arXiv
2608.27800
Published
Aug 28
Layer
Application layer
Setting
AI Agent
Evaluated models
Qwen-3-8B, GPT-OSS-20B, Gemma-4-E4B-it and others11
- AttacksPrompt injection
- TechniqueSelection manipulation
- ComponentMCP and skills
Paper analysisRead analysis
AttacksarXiv 2608.25776Aug 26
EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播
提出 EVOMAL，诱导自演化编码 Agent 在创建技能时自我投毒并蠕虫传播
arXiv
2608.25776
Published
Aug 26
Layer
Application layer
Setting
coding agent
Evaluated models
Devstral-Small-2, Gemma-4-31B-IT, Qwen3-Coder-Next and others7
- AttacksPoisoning and backdoors
- TechniqueDormant triggers
- ComponentMCP and skills
Abstract论文指出了自演化智能体模仿检索代码的自我毒化漏洞，提出 EVOMAL 攻击与防御，阐明了供应链新风险。
Paper analysisRead analysis
DefensesarXiv 2608.24017Aug 25
WebMCP-Phalanx：为浏览器内 LLM Agent 工具调用建立信任边界
提出 WebMCP-Phalanx，用能力凭证与双智能体隔离浏览器工具调用
arXiv
2608.24017
Published
Aug 25
Layer
Application layer
Setting
web agent
- DefensesPermissions and approval
- AttacksPrompt injection
- ComponentMCP and skills
AbstractPhalanx 用浏览器凭证绑定工具所有权，Q/P 分离拦住描述注入，工具名与返回值仍有残留。
WebMCP-Phalanx针对浏览器里的 WebMCP 智能体：在 SOP 下补工具所有权，并把语义检查从有工具权的执行中分开。
Paper analysisRead analysis
AttacksarXiv 2608.16246Aug 17
CompoSkill 框架利用逐个通过扫描的 Agent 技能组合发起攻击
提出 CompoSkill，将逐个通过扫描的技能编排为攻击链
arXiv
2608.16246
Published
Aug 17
Layer
Application layer
Setting
AI Agent
Evaluated models
GPT-5.4, Gemini-3.1-flash, DeepSeek-V4 and others4
- AttacksPrompt injection
- TechniqueDefense-targeted
- ComponentMCP and skills
Abstract论文分析了智能体技能组合风险，指出单包安全认证状态不具备可组合性，需转向路径级防护。
Paper analysisRead analysis
AttacksarXiv 2608.09577Aug 10
ElasticBack：通过触发词与规则耦合在 LLM Agent 技能中植入条件后门
提出 ElasticBack，在单个 Agent 技能中植入条件后门
arXiv
2608.09577
Published
Aug 10
Layer
Application layer
Setting
coding agent
Evaluated models
GLM-5.2, MiniMax-M3, GPT-5.4 and others4
- AttacksPoisoning and backdoors
- TechniqueDormant triggers
- ComponentMCP and skills
AbstractElasticBack 用冻结规则加遗传搜索演化 trigger，在单 skill 上做条件后门。
ElasticBack 是放在 LLM agent 单个 skill 里的条件后门攻击。。
Paper analysisRead analysis
AttacksarXiv 2608.05563Aug 6
研究者提出 PoisonedEvolution 轨迹投毒攻击
提出 PoisonedEvolution 轨迹投毒，诱导自演化技能系统固化恶意行为
arXiv
2608.05563
Published
Aug 6
Layer
Application layer
Setting
AI Agent
Evaluated models
GPT-5.4, MiniMax-M2.5, DeepSeek-V3.2 and others6
- AttacksPoisoning and backdoors
- TechniqueDormant triggers
- ComponentMemory
Abstract论文揭示自演化技能系统的证据晋升漏洞，提出并验证轨迹投毒攻击。
这篇论文揭示了自演化技能系统在将交互经验转化为持久指令时的安全风险。
Paper analysisRead analysis
AttacksarXiv 2608.04192Aug 5
研究者提出 SkillClone，仅凭正常提问即可克隆 LLM Agent 隐藏技能功能
提出 SkillClone，仅凭良性任务交互重构闭源 Agent 技能
arXiv
2608.04192
Published
Aug 5
Layer
Application layer
Setting
AI Agent
Attacker
Black-box
Evaluated models
DeepSeek-Flash, DeepSeek-Pro, GLM-5.1 and others5
- AttacksExtraction and theft
- TechniqueAutomated search
- ComponentMCP and skills
Abstract论文揭示了仅靠良性任务交互即可重构闭源智能体技能隐藏功能的风险，表明功能保密需要限制累积信息泄露。
论文从功能保密视角系统研究了大语言模型智能体技能的行为重构威胁。
Paper analysisRead analysis
AttacksarXiv 2607.25560Jul 28
SigLeak 可从执行轨迹推断专有 Agent 技能
提出 SigLeak，从黑盒 Agent 执行轨迹推断专有技能
arXiv
2607.25560
Published
Jul 28
Layer
Application layer
Setting
AI Agent
Attacker
Black-box
Evaluated models
GPT-5.4-mini, GPT-5.5, GLM-5.2 and others4
- AttacksExtraction and theft
- TechniqueAutomated search
- ComponentMCP and skills
Abstract提出了通过良性查询和对照轨迹推断黑盒专有技能的 SigLeak 框架，揭示了智能体执行可见性带来的行为侧信道泄露风险。
Paper analysisRead analysis
Evaluation and benchmarksarXiv 2606.15899Jun 15
SkillVetBench：用 LLM-as-Judge 评估开源 LLM Agent 技能的多维安全风险
提出 SkillVetBench 评估开源 Agent 技能的多维安全风险
arXiv
2606.15899
Published
Jun 15
Layer
Application layer
Setting
AI Agent
Evaluated models
Qwen2.5-14B-Instruct, Qwen2.5-32B, Llama-3.1-70B and others6
- AttacksPoisoning and backdoors
- ComponentMCP and skills
Abstract公开排行榜用 LLM-as-Judge 给技能分列 SARS 与 CVSS，并对照市场官方审查。
Paper analysisRead analysis
DefensesarXiv 2605.17380May 17
Uber proposes ADR enterprise-level agent detection system, deployed on 7,200 hosts for ten months
提出企业级检测系统 ADR，识别编程 Agent 的提示注入与恶意 MCP
arXiv
2605.17380
Published
May 17
Layer
Application layer
Setting
coding agent
- DefensesDetection and filtering
- AttacksPrompt injection
- ComponentMCP and skills
Abstract提出了端点因果遥测、两级在线分流与离线红队闭环的 ADR 系统，并在生产环境中验证了有效性。
Paper analysisRead analysis
Evaluation and benchmarksarXiv 2604.01438Apr 2
ClawSafety：安全的 LLM，不安全的 Agent
提出 ClawSafety，评测个人智能体读到对抗工件后是否执行有害动作
arXiv
2604.01438
Published
Apr 2
Layer
Application layer
Setting
AI Agent
Evaluated models
Claude Sonnet 4.6, GPT-5.1, Gemini 2.5 Pro and others5
- AttacksPrompt injection
- ComponentMCP and skills
Paper analysisRead analysis

You have reached the end

AI Safety Daily

Read the latest issueOne issue per day, updated as events develop

All papers

Attack type

Attack technique

Impact

System type

Attack surface / entry point

Layer

System component

An exploration of attacks on AI agent systems

A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型

研究：跨通道碎片化攻击可绕过 MCP 单通道防御

PentestChain：面向免费层 LLM 的成本感知 MCP 编排自动化渗透测试框架

Skill-as-API：面向智能体软件工程的机密多智能体协作协议

研究者提出零知识谓词证明网关，在 MCP 与 Agent2Agent 上实现 Agent 间数据最小化

ContextLeak：通过恶意工具窃取 LLM Agent 运行时上下文

EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播

WebMCP-Phalanx：为浏览器内 LLM Agent 工具调用建立信任边界

CompoSkill 框架利用逐个通过扫描的 Agent 技能组合发起攻击

ElasticBack：通过触发词与规则耦合在 LLM Agent 技能中植入条件后门

研究者提出 PoisonedEvolution 轨迹投毒攻击

研究者提出 SkillClone，仅凭正常提问即可克隆 LLM Agent 隐藏技能功能

SigLeak 可从执行轨迹推断专有 Agent 技能

SkillVetBench：用 LLM-as-Judge 评估开源 LLM Agent 技能的多维安全风险

Uber proposes ADR enterprise-level agent detection system, deployed on 7,200 hosts for ten months

ClawSafety：安全的 LLM，不安全的 Agent