Translation in progress Some entries still include text in the original language.
Oct 12 · Monday
All papers Found 20 papers Another 265 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
提出 APEX，在执行边界用授权契约防御 Agent 间接提示注入
Published Oct 4
Evaluated models DeepSeek-V4-Flash , GLM-5.2 , GPT-5.6-sol 提出 COPEX 基准，评测 MCP 智能体对多入口攻击的抵抗力
Published Oct 3
Evaluated models Claude Opus 4.7 , Claude Sonnet 4.6 , GPT-5.5 and others9 提出 Kubernetes 运维智能体的七层纵深防御框架与参考架构
Published Oct 2 Abstract 把运维智能体当不可信租户，用七层控制在完全攻破假设下约束行动。把 Kubernetes 上的运维智能体当作不可信租户，在假定提示注入已完全控制其工具选择的前提下，用基础设施重建数据面与控制面的边界。要解决的是：智能体读日志、注解、工单或 MCP 工具描述时，这些内容可以变成它带着自身凭据执行的命令。模型对齐和分类器只降低概率。
提出 COBRA 双 LLM 架构，防御计算机使用 Agent 的分支转向攻击
Published Oct 2
Evaluated models gpt-5 , UI-TARS-1.5-7B , claude-sonnet-5 and others6 Abstract 提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
构建 EvoRiskBench 评测工作区 Agent 的运行时安全风险
Published Oct 2
Evaluated models GPT-5.6 Sol , DeepSeek-V4-Pro-0813 , Claude Opus 5 Abstract 论文构建了工作空间智能体运行时风险基准 EvoRiskBench，发现高执行力智能体在 IPI 下面临较高安全风险。
提出 PACE，在工具调用前做路径隔离与效果授权
Published Oct 1
Evaluated models gpt-5.6-luna , DeepSeek-V4-Flash , Qwen-3.8-27B Abstract PACE 在工具边界做路径割与效果核验。PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。
提出 memetic trojans，借助社交传染在 Agent 网络中传播对抗载荷
Published Oct 1
Evaluated models gpt-oss-120B , deepseek-v4.1-flash , qwen-32B and others5 Abstract memetic trojans 用内生社会传染携带载荷。Memetic trojans 是一类网络介导攻击：对抗载荷搭在智能体本来就会转发和点赞的内容上扩散，转发者不必被攻陷，也不必执行“请继续复制”的指令。
提出 A2A-TIBA，经 A2A 对等任务间接注入并植入常驻回调
Published Sep 30
Evaluated models MiniMax-M3 , deepseek-v4-pro , glm-5.3 and others8 Abstract A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
提出两阶段框架 A2M，优化 MCP 工具元数据与返回载荷以劫持 Agent
Published Sep 23
Evaluated models GLM-4.6 , Qwen3-Max , DeepSeek-V3.1 and others5 提出企业 MCP 零信任授权与发现扩展，在架构上拒绝提示注入下的越权调用
Published Sep 19
Evaluated models gpt-5 , claude-sonnet-4-6 , claude-opus-4-7 and others6 Abstract 同一份按工具声明同时管 MCP 的发现、列表和调用，使注入不能扩大已有凭证的权限。作者把零信任放在 MCP 工具调用边界：智能体即使被提示注入，也不能调用其凭证范围之外的工具。问题来自三点部署性质。调用意图会随不可信上下文改变。
提出跨通道分段攻击，利用 MCP 隐式信任外发敏感文件
Published Sep 16
Evaluated models GPT-4o , GPT-4o-mini , GPT-5.4 and others15 Abstract 论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
提出 IntentCap，按来源字段所有权合成并裁决 Agent 能力租约
Published Sep 14 Abstract 四源字段租约约束副作用。IntentCap 是把智能体能力绑到当前任务意图、并按上下文来源划分字段所有权的权限机制。
提出 MCPSEC，仅凭工具元数据无盒检测 MCP 间接提示注入漏洞
Published Sep 10 提出 Skill-as-API，隔离多智能体协作中的 skill 正文与系统提示词
Published Sep 1 Abstract 协议把 skill 正文留在所有者侧，四层限制发现内容、权限期限和注入拼接。Skill-as-API 是面向智能体软件工程的协调协议，用来在跨组织调用时把 skill 的代码和系统提示词留在所有者进程。作者针对三条威胁：经通道或命名空间抽取专有方法，用注入让被调用模型输出系统提示词，以及协作结束后权限继续保留。
提出 ECLIPSE 双通道提示注入，劫持长程 Agent 的动作轨迹
Published Aug 31
Evaluated models DeepSeek , GPT-4o , Claude 4.8 Opus and others7 提出 Proof Gateway，用零知识谓词证明实现 Agent 间数据最小化
Published Aug 31 Abstract 作者将 source integrity 而不是证明开销视为绑定约束。Proof Gateway 是一套已运行的智能体间数据最小化机制：用治理谓词的零知识证明代替原始值和自然语言自述。
提出 WebMCP-Phalanx，用能力凭证与双智能体隔离浏览器工具调用
Published Aug 25 Abstract Phalanx 用浏览器凭证绑定工具所有权，Q/P 分离拦住描述注入，工具名与返回值仍有残留。WebMCP-Phalanx 针对浏览器里的 WebMCP 智能体：在 SOP 下补工具所有权，并把语义检查从有工具权的执行中分开。
系统分析智能体支付协议的前置上下文操纵与授权威胁
Published Aug 25 提出 MTGuard，对照 MCP 调用声明与执行痕迹拦截不安全工具调用
Published Jul 28
Evaluated models DeepSeek-V4-Flash , DeepSeek-V4-Pro , GPT-5.6 Luna Attacks arXiv 2507.10457 · Jul 15, 2025 提出 LPCI，把延迟条件载荷写入记忆与检索库以跨会话触发
Published Jul 15, 2025
Evaluated models ChatGPT , Claude , LLaMA3 and others8 Abstract 作者定义 LPCI。作者把LPCI 定义为针对智能体逻辑执行、记忆留存和工具集成的跨阶段漏洞类，而不是单次输入上的提示改写。
You have reached the end