COPEX：面向 MCP 智能体的受控攻击评测基准发布
提出 COPEX 基准，评测 MCP 智能体对多入口攻击的抵抗力
- arXiv
- 2610.04378
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- Claude Opus 4.7, Claude Sonnet 4.6, GPT-5.5 and others9
- AttacksPrompt injection
- ComponentMCP and skills
All papers
Filter1
Attack type
Impact
System type
Attack surface / entry point
Layer
Select any value within a category; different categories must all match. Counts include the other filters you have selected.Another 305papers have no tags yet and are not included in filtered results.
Another 305papers do not have category tags yet and are not included in filtered results.
宾州州立大学提出 TPRS，量化 Agent 安全基准中工具命名对 ASR 的影响
提出 TPRS，量化 Agent 安全基准对工具命名的表征敏感性
- arXiv
- 2610.03585
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- GPT-5-mini, Claude Haiku 4.5, GPT-4o-mini
- ComponentMCP and skills
EvoRiskBench：面向工作区 Agent 运行时安全风险的演化基准
构建 EvoRiskBench 评测工作区 Agent 的运行时安全风险
- arXiv
- 2610.03153
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- GPT-5.6 Sol, DeepSeek-V4-Pro-0813, Claude Opus 5
- AttacksPrompt injection
- ComponentMCP and skills
Abstract论文构建了工作空间智能体运行时风险基准 EvoRiskBench，发现高执行力智能体在 IPI 下面临较高安全风险。
A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型
提出 A2A-TIBA，经 A2A 对等任务间接注入并植入常驻回调
- arXiv
- 2610.00392
- Published
- Layer
- Application layer
- Setting
- Multi-agent systems
- Evaluated models
- MiniMax-M3, deepseek-v4-pro, glm-5.3 and others8
- AttacksPrompt injection
- TechniqueMulti-turn escalation
- ComponentMCP and skills
AbstractA2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。
A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
SEABench：评测自演化智能体的内生失配
提出 SEABench 评测自演化智能体的内生失配
- arXiv
- 2609.35596
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- Kimi K2.5, Grok 4.3, GPT 5.6 Luna
- RiskMisalignment and value divergence
- ComponentMemory
AbstractSEABench 显示无参数自进化能提高任务完成，同时在配对未进化基线安全的下游任务上引入可归因的安全失败。
SEABench 是一个面向个人助理、参数不更新的自进化智能体基准，用来测量局部适应如何变成后续任务上的内生失配。。
MMSkillRisk：多模态技能图像中的隐藏指令可诱导 Agent 执行未授权操作
提出 MMSkillRisk 基准，评测多模态技能图像中的隐藏指令诱导 Agent 越权操作
- arXiv
- 2609.35912
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- GPT-5.6-sol, Kimi-K2.6, Kimi-K3 and others6
- AttacksPrompt injection
- TechniqueCross-modal payloads
- ComponentMCP and skills
Abstract论文提出 MMSkillRisk 基准与 NCVA 攻击，揭示多模态技能中教学图像潜藏指令可引发未授权操作并与良性任务共存。
研究者提出技能级联攻击
提出技能级联攻击，把有害目标拆散到多个技能里绕过单技能扫描
- arXiv
- 2609.30383
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- GPT-5.4, GPT-5.4 Mini, Claude Opus 4.6 and others11
- AttacksPoisoning and backdoors
- TechniqueDefense-targeted
- ComponentMCP and skills
Abstract论文探讨了多技能智能体系统面临的技能级联攻击风险，提出自动化红队框架与基准集，指出跨技能交互存在安全防护盲区。
研究提出 ACE 语料库，评估内核级证据对 Agent 安全检测的有效性
构建 ACE 语料，评测内核级证据对 Agent 攻击检测的有效性
- arXiv
- 2609.28915
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- AdaBoost, XGBoost, TabPFN and others10
- AttacksPrompt injection
- ComponentMCP and skills
AbstractACE 用配对的内核与应用层证据表明，syscall 痕迹可判别智能体攻击，两层组合通常更好。
ACE 是一份把智能体会话的内核 syscall 痕迹与应用层清单、转录配对起来的检测语料和基准。。
ECLIPSE：针对长程 Agent 系统的自演化隐蔽提示注入攻击
提出 ECLIPSE 双通道提示注入，劫持长程 Agent 的动作轨迹
- arXiv
- 2608.30441
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- DeepSeek, GPT-4o, Claude 4.8 Opus and others7
- AttacksPrompt injection
- TechniqueAutomated search
- ComponentMCP and skills
CompoSkill 框架利用逐个通过扫描的 Agent 技能组合发起攻击
提出 CompoSkill，将逐个通过扫描的技能编排为攻击链
- arXiv
- 2608.16246
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- GPT-5.4, Gemini-3.1-flash, DeepSeek-V4 and others4
- AttacksPrompt injection
- TechniqueDefense-targeted
- ComponentMCP and skills
Abstract论文分析了智能体技能组合风险，指出单包安全认证状态不具备可组合性，需转向路径级防护。
SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化
提出 SYNCHAIN，诱导计算机使用 Agent 自建跨任务持久攻击链
- arXiv
- 2608.06862
- Published
- Layer
- Application layer
- Setting
- Browser and computer use, coding agent
- Evaluated models
- Qwen3.5-9B, Llama-3.1-8B, Ministral-3-8B
- AttacksPoisoning and backdoors
- TechniqueDormant triggers
- ComponentMCP and skills
Abstract论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。
Agent 技能安全：威胁模型、攻击、防御与评估
用 SkillSec-Eval 评测 Agent 技能全生命周期安全
- arXiv
- 2607.13987
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- Gemini 3.1 pro, Gemini 1.5 Flash
- AttacksPoisoning and backdoors
- ComponentMCP and skills
AbstractSkillSec-Eval 按五个信任边界评测可复用技能，作者称单点防御不足以覆盖全生命周期。
SkillSec-Eval 按信任边界评测可复用智能体技能，而不是只看提示注入或单次执行。技能被共享后，元数据、权限、工作流和版本可独立于底层模型变化。作者要回答的是：恶意技能能否在准入、检索、规划、执行或更新阶段穿过未经验证的信任边界。
SkillVetBench：用 LLM-as-Judge 评估开源 LLM Agent 技能的多维安全风险
提出 SkillVetBench 评估开源 Agent 技能的多维安全风险
- arXiv
- 2606.15899
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- Qwen2.5-14B-Instruct, Qwen2.5-32B, Llama-3.1-70B and others6
- AttacksPoisoning and backdoors
- ComponentMCP and skills
Abstract公开排行榜用 LLM-as-Judge 给技能分列 SARS 与 CVSS，并对照市场官方审查。
Uber 提出 ADR 企业级 Agent 检测系统，在 7200 台主机部署十个月
提出企业级检测系统 ADR，识别编程 Agent 的提示注入与恶意 MCP
- arXiv
- 2605.17380
- Published
- Layer
- Application layer
- Setting
- coding agent
- DefensesDetection and filtering
- AttacksPrompt injection
- ComponentMCP and skills
Abstract提出了端点因果遥测、两级在线分流与离线红队闭环的 ADR 系统，并在生产环境中验证了有效性。
ClawSafety：安全的 LLM，不安全的 Agent
提出 ClawSafety，评测个人智能体读到对抗工件后是否执行有害动作
- arXiv
- 2604.01438
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- Claude Sonnet 4.6, GPT-5.1, Gemini 2.5 Pro and others5
- AttacksPrompt injection
- ComponentMCP and skills
You have reached the end