DefensesarXiv 2610.09935
AgentTracer：通过细粒度意图-执行对齐追踪间接提示注入攻击
提出 AgentTracer，事后定位间接提示注入的注入点并重建攻击链
- arXiv
- 2610.09935
- Published
- Layer
- Application layer
- Setting
- AI Agent
- DefensesMonitoring and auditing
- AttacksPrompt injection
All papers
Filter5
Attack type
Attack technique
Model risks
Defense type
Impact
System type
Attacker access
Attack surface / entry point
Layer
Select any value within a category; different categories must all match. Counts include the other filters you have selected.Another 213papers have no tags yet and are not included in filtered results.
Another 213papers do not have category tags yet and are not included in filtered results.
- DefensesarXiv 2610.09793
用时序逻辑监控工具 Agent
提出 MFOTL 离线时序验证以监控工具 Agent 的危险动作链
- arXiv
- 2610.09793
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Attacker
- Black-box
- DefensesMonitoring and auditing
- AttacksPrompt injection
- ComponentMonitors
Abstract形式化验证可有效识别多步攻击，但其有效性高度依赖轨迹的可信历史记录。
这篇论文对工具调用大语言模型智能体的安全监控进行了形式化时序验证研究。
- AttacksarXiv 2610.09708
研究者提出利用祖先 VLM 的黑盒对抗补丁攻击，可降低 VLA 任务成功率
提出利用祖先 VLM 优化对抗补丁，使已部署 VLA 任务失败
- arXiv
- 2610.09708
- Published
- Layer
- Prompt layer
- Evaluated models
- OpenVLA, UniVLA, π0.5
- TechniqueGradient and representation optimization
- ComponentVision
- AttacksarXiv 2610.09264
研究者提出 PackHallu：经规则文件提示注入对编码 Agent 发起包幻觉攻击
提出 PackHallu，经规则文件提示注入诱导编码 Agent 换用攻击者指定包
- arXiv
- 2610.09264
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- Qwen2.5-Coder-7B, Qwen3-Coder-30B, Devstral-Small-2-24B and others19
- AttacksPrompt injection
- TechniqueAutomated search
AbstractPackHallu 诱导规则文件换包。
PackHallu 研究一种针对编程智能体规则文件的提示注入：让智能体在本应使用合法依赖时，改导入攻击者指定并控制的包。
- AttacksarXiv 2610.09240
WebMirage hijacks visual web agents' browser operations with adversarial images
提出 WebMirage，用局部对抗图像劫持视觉网页 Agent 的浏览器操作
- arXiv
- 2610.09240
- Published
- Layer
- Application layer
- Setting
- web agent
- Evaluated models
- LLaVA-v1.5-13B, LLaVA-v1.6-34B, MiniCPM-o-8B and others6
- AttacksPrompt injection
- TechniqueGradient and representation optimization
- ComponentVision
Abstract论文提出了针对网络智能体的端到端视觉红队框架 WebMirage，揭示了从视觉定位到浏览器执行的安全脆弱性。
WebMirage 是一个面向视觉定位网络智能体的流水线感知端到端红队攻击框架。
- DefensesarXiv 2610.09159
SpecGuard 用 Lean 证书在编码 Agent 执行前证明任务冲突
提出 SPECGUARD，用 Lean 证书在编码 Agent 执行前证明任务冲突
- arXiv
- 2610.09159
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- GPT-5.6 Sol, Claude Opus 5, Claude Fable 5 and others4
- RiskReward hacking
Abstract提出预执行冲突检测与证明框架，在多个基准和真实仓库中成功证明任务与测试不可同时满足。
- AttacksarXiv 2610.08951
ASPIRE：面向 LLM Agent 的开放式提示注入红队引擎
提出 ASPIRE 行为图搜索，开放式发现 Agent 提示注入漏洞
- arXiv
- 2610.08951
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- Gemini-3.7-Flash, DeepSeek-V4-Flash, Gemini-2.5-flash
- AttacksPrompt injection
- TechniqueAutomated search
AbstractASPIRE 把提示注入红队从载荷优化改成行为图引导的开放式漏洞发现。
ASPIRE 是给搭建方用的智能体提示注入红队引擎，目标是开放式画出可利用的行为路径，而不是在固定任务上打磨一条载荷。
CredLeak-Bench
提出 CredLeak-Bench，评测 Agent 面对钓鱼的凭据泄露与恢复
- arXiv
- 2610.08871
- Published
- Layer
- Application layer
- Setting
- web agent
- Evaluated models
- Claude Sonnet 5, Claude Opus 4.8, Gemini 3.6 Flash and others7
- AttacksPrompt injection
HarnessSecurity-Bench horizontally evaluates the security mechanisms of six coding agent frameworks.
评测编码智能体 harness 安全机制在对抗任务中的防护效果
- arXiv
- 2610.07639
- Published
- Layer
- Application layer
- Setting
- coding agent
- AttacksPrompt injection
- ComponentPermissions and sandboxing
- AttacksarXiv 2610.07510
PersistBD: attackers can strengthen backdoors before release so that they maintain high attack success rates even after developer SFT and RL.
提出 PERSISTBD，发布前强化供应链后门使其经良性 SFT 与 RL 后仍外发凭据
- arXiv
- 2610.07510
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- Qwen2.5-Coder-3B-Instruct, Qwen2.5-Coder-7B-Instruct, Qwen3-Coder-30B-A3B-Instruct
- AttacksPoisoning and backdoors
- TechniqueDormant triggers
- ComponentFine-tuning and open weights
Abstract总结了论文关于后门在 SFT/RL 中存活的发现、两因子机制、PERSISTBD 方法与核心数字。
本文研究第三方 LLM 智能体在开发者进行良性监督微调（SFT）和强化学习（RL）后训练时的后门持久性风险。
- AttacksarXiv 2610.06814
TAPDreamer：可跨任务迁移的世界动作模型对抗补丁
TAPDreamer 用公开编码器做固定补丁。
- arXiv
- 2610.06814
- Published
- Layer
- Prompt layer
- Evaluated models
- FastWAM, DreamWAM-uncond, DreamWAM-joint and others4
- TechniqueGradient and representation optimization
- ComponentVision
- AttacksarXiv 2610.06083
研究者提出面向深度强化学习的轨迹级可迁移黑盒对抗攻击
提出轨迹级可迁移对抗攻击，降低深度强化学习策略的期望回报
- arXiv
- 2610.06083
- Published
- Layer
- Model layer
- Evaluated models
- DQN, Double DQN (DDQN)
Abstract轨迹级后退视界攻击在 CartPole 上比逐步 FGSM 类和 Sign 噪声更压低回报。
这项工作研究 DRL 上的迁移式黑盒观测攻击：受害参数不可访问时，在白盒代理上造扰动再迁移。
- AttacksarXiv 2610.05266
论文披露主动式智能体的服务方间接提示注入攻击
提出服务方间接提示注入，把主动智能体的决策协助转向预选目标
- arXiv
- 2610.05266
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- GPT-5, Claude Opus 4.6, Gemini 3 Pro and others7
- AttacksPrompt injection
Abstract提供者侧间接注入用 T–B–S 把主动协助转向外部目标，并在三环境中提高模拟用户授权。
外部提供者只控制与自身目标关联的内容，就可以把良性主动个人智能体的协助转向该目标。
- DefensesarXiv 2610.05163
Researchers construct segmented prompt injection on Claude Code and Codex and release a boundary action audit benchmark
提出 PAA 方法，在边界动作前审计长流程智能体的分阶段提示注入
- arXiv
- 2610.05163
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- Claude Code (v2.1.172, Claude Sonnet 5), Codex CLI (v0.144.0, GPT-5.5)
- DefensesMonitoring and auditing
- AttacksPrompt injection
- ComponentMonitors
Abstract论文针对长流程注入提出边界动作审计与 PAA，在保持低误阻的同时实现高拦截率。
本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。
- AttacksarXiv 2610.05139
研究揭示代码注释中的上下文注入攻击面
提出推理时上下文注入，用代码注释诱导补全生成含弱点的代码
- arXiv
- 2610.05139
- Published
- Layer
- Prompt layer
- Setting
- coding agent
- Evaluated models
- StarCoderBase, DeepSeek-Coder-base, Qwen2.5-base and others10
- AttacksPrompt injection
- DefensesarXiv 2610.04269
SRFT：让 Agent 从失败经验中自我反思以抵御提示注入
提出 SRFT，让 Agent 从失败经验中学习拒绝提示注入
- arXiv
- 2610.04269
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- SR-Agent-Llama, SR-Agent-Qwen3-8B, SR-Agent-Qwen3-4B
- DefensesModel hardening
- AttacksPrompt injection
- DefensesarXiv 2610.03498
检测与抑制：针对 VLA 模型对抗补丁的机制可解释性防御
提出条件特征抑制防御，检出对抗补丁后抑制 VLA 内部特征
- arXiv
- 2610.03498
- Published
- Layer
- Model layer
- Evaluated models
- π0.5, SmolVLA
- DefensesInference-time intervention
- ComponentVision
Abstract条件抑制与 patch 相关的 SAE 特征，间歇攻击下可提高 SR，持续攻击下则不能。
EvoRiskBench: An evolutionary benchmark for runtime security risks of workspace agents
构建 EvoRiskBench 评测工作区 Agent 的运行时安全风险
- arXiv
- 2610.03153
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- GPT-5.6 Sol, DeepSeek-V4-Pro-0813, Claude Opus 5
- AttacksPrompt injection
- ComponentMCP and skills
Abstract论文构建了工作空间智能体运行时风险基准 EvoRiskBench，发现高执行力智能体在 IPI 下面临较高安全风险。
- AttacksarXiv 2610.01768
LLMLeak：借 LLM 合法网页抓取实施隐蔽数据外泄
提出 LLMLeak，借合法网页抓取把 URL 中的秘密隐蔽外传
- arXiv
- 2610.01768
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- Meta-Llama-3.3-70B-Instruct, Meta-Llama-4-Scout-17B-16E-Instruct, Meta-Llama-3.1-8B-Instruct and others18
- AttacksMalicious use
Abstract作者称第三方外传可发生于正常网页获取，防护需考虑工具请求而不只考虑提示注入。
LLMLeak 是利用网页获取请求携带预先编码秘密的隐蔽通道攻击。它关注恶意软件已能读取数据、却因网络限制或监控无法直接外传的情形。
- DefensesarXiv 2610.01349
PACE：面向工具调用 LLM Agent 的来源感知能力强制执行
提出 PACE，在工具调用前做路径隔离与效果授权
- arXiv
- 2610.01349
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- gpt-5.6-luna, DeepSeek-V4-Flash, Qwen-3.8-27B
- DefensesInstruction–data separation
- AttacksPrompt injection
- ComponentPermissions and sandboxing
AbstractPACE 在工具边界做路径割与效果核验。
PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。