CredLeak-Bench
提出 CredLeak-Bench，评测 Agent 面对钓鱼的凭据泄露与恢复
- arXiv
- 2610.08871
- Published
- Layer
- Application layer
- Setting
- web agent
- Evaluated models
- Claude Sonnet 5, Claude Opus 4.8, Gemini 3.6 Flash and others7
- AttacksPrompt injection
All papers
Filter5
Attack type
Attack technique
Defense type
Impact
System type
Attack surface / entry point
Layer
System component
Select any value within a category; different categories must all match. Counts include the other filters you have selected.Another 216papers have no tags yet and are not included in filtered results.
Another 216papers do not have category tags yet and are not included in filtered results.
- DefensesarXiv 2610.05163
Researchers construct segmented prompt injection on Claude Code and Codex and release a boundary action audit benchmark
提出 PAA 方法，在边界动作前审计长流程智能体的分阶段提示注入
- arXiv
- 2610.05163
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- Claude Code (v2.1.172, Claude Sonnet 5), Codex CLI (v0.144.0, GPT-5.5)
- DefensesMonitoring and auditing
- AttacksPrompt injection
- ComponentMonitors
Abstract论文针对长流程注入提出边界动作审计与 PAA，在保持低误阻的同时实现高拦截率。
本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。
pikit：面向间接提示注入研究与评测的可组合工具包
构建可组合工具包 pikit，评测编码智能体的间接提示注入
- arXiv
- 2609.36817
- Published
- Layer
- Application layer
- Setting
- coding agent
- AttacksPrompt injection
Abstractpikit 提供组合式间接注入评测。
pikit 是面向间接提示注入研究的组合式工具包，主要贡献是组织攻击、投递通道、防御和判定流程，而非提出新的攻击优化算法。
Cave-Bench：虚假指控下 LLM 智能体最高 60.06% 的运行会破坏正确工作
提出 CAVE-BENCH，评测智能体在虚假指责下破坏已完成的正确工作
- arXiv
- 2609.32616
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- Claude-Sonnet-5, Claude-Opus-5, GPT-5.6-Sol and others14
- AttacksPrompt injection
- RiskDangerous agent actions
Abstract论文提出了评估智能体在虚假指责下破坏已有正确成果的 CAVE-BENCH，发现强模型易推翻已知证据，提出了门控缓解方案。
研究提出 ACE 语料库，评估内核级证据对 Agent 安全检测的有效性
构建 ACE 语料，评测内核级证据对 Agent 攻击检测的有效性
- arXiv
- 2609.28915
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- AdaBoost, XGBoost, TabPFN and others10
- AttacksPrompt injection
- ComponentMCP and skills
AbstractACE 用配对的内核与应用层证据表明，syscall 痕迹可判别智能体攻击，两层组合通常更好。
ACE 是一份把智能体会话的内核 syscall 痕迹与应用层清单、转录配对起来的检测语料和基准。。
- AttacksarXiv 2609.13889
PMPA：针对 OpenClaw 与 Claude Code 的持久记忆投毒攻击
提出 PMPA，经外部源向 Agent 持久记忆投毒并跨会话泄露隐私
- arXiv
- 2609.13889
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- DeepSeek-V4-Flash, DeepSeek-V4-Pro, Qwen3-Max
- AttacksPoisoning and backdoors
- TechniqueDormant triggers
- ComponentMemory
Abstract论文提出了持久记忆投毒攻击 PMPA，报告了 harness 智能体在处理外部数据时易受跨会话记忆投毒与隐私泄露的风险。
- AttacksarXiv 2609.01222
Researchers propose context privilege escalation attack, affecting 12 agent frameworks
提出针对 Agent Harness 的上下文特权提升攻击
- arXiv
- 2609.01222
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- GPT-5.5, GPT-5.4 mini, Claude-Sonnet-4.6 and others7
- AttacksPrompt injection
- TechniqueDormant triggers
- ComponentMemory
The researchers propose SkillMisevo-Bench to quantify the risk of skill mis-evolution in self-improving agents.
提出 SkillMisevo-Bench，量化自改进 Agent 的技能误演化
- arXiv
- 2608.12851
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- Claude Code, Codex, Hermes and others4
- AttacksPoisoning and backdoors
- TechniqueDormant triggers
- ComponentMemory
- DefensesarXiv 2608.02683
S³：用多阶段防御提升 LLM 智能体安全
提出 S³，用 guard agent 编排阶段安全技能防御智能体多阶段风险
- arXiv
- 2608.02683
- Published
- Layer
- Application layer
- Evaluated models
- DeepSeek-V4-Pro, DeepSeek-V4-Flash
- DefensesMonitoring and auditing
- AttacksPoisoning and backdoors
- RiskDangerous agent actions
- ComponentMonitors
论文评测 Claude Code 与 Codex 记忆文件中的提示注入风险
评测编码 Agent 记忆文件中提示注入的跨会话影响
- arXiv
- 2607.14611
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- Claude Haiku 4.5, Claude Opus 4.7, GPT-5.2 and others4
- AttacksPoisoning and backdoors
- ComponentMemory
Abstract已植入记忆文件的载荷可以跨会话影响 Claude Code 与 Codex，攻击成功与载荷是否留下是两种不同的失败。
Bad Memory 在沙箱合成工作区里评测文件型持久记忆上的提示注入，比较载荷能否改变当前会话，以及能否在后续会话中留下或叠加。
- DefensesarXiv 2605.17380
Uber proposes ADR enterprise-level agent detection system, deployed on 7,200 hosts for ten months
提出企业级检测系统 ADR，识别编程 Agent 的提示注入与恶意 MCP
- arXiv
- 2605.17380
- Published
- Layer
- Application layer
- Setting
- coding agent
- DefensesDetection and filtering
- AttacksPrompt injection
- ComponentMCP and skills
Abstract提出了端点因果遥测、两级在线分流与离线红队闭环的 ADR 系统，并在生产环境中验证了有效性。
- AttacksarXiv 2605.08310
WebTrap：针对浏览器 Agent 导航过程的中途劫持注入攻击
提出 WebTrap 三阶段陷阱，中途劫持浏览器 Agent 完成攻击后再返回用户任务
- arXiv
- 2605.08310
- Published
- Layer
- Application layer
- Setting
- web agent
- Evaluated models
- DeepSeek-V3.1-Terminus, Gemini-2.5-Flash, GLM-4.5-Air and others5
- AttacksPrompt injection
AbstractWebTrap 把攻击目标嵌进用户流程中途执行再返回。
WebTrap 是针对长程网页与文件导航的中途劫持注入，目标是在完成攻击动作后仍回到用户任务。
- AttacksarXiv 2604.02623
论文提出 eTAMP 攻击：网页内容注入可跨会话污染 Web Agent 记忆
提出 eTAMP，用网页内容跨会话投毒 Web Agent 轨迹记忆并诱导越权操作
- arXiv
- 2604.02623
- Published
- Layer
- Application layer
- Setting
- web agent
- Evaluated models
- GPT-5-mini, GPT-5.2, GPT-OSS-120B and others6
- AttacksPoisoning and backdoors
- TechniqueDormant triggers
- ComponentMemory
Abstract论文提出了基于环境注入的跨任务记忆投毒攻击 eTAMP，作者报告智能体在环境压力下易感性增加且能力与安全并不协同。
该论文评估了基于大语言模型的 Web 智能体在利用历史交互轨迹进行记忆增强时的安全脆弱性。
牛津等发布 TRAP 基准
构建 TRAP 基准，评测网页 Agent 被界面提示注入劫持任务的情况
- arXiv
- 2512.23128
- Published
- Layer
- Application layer
- Setting
- web agent
- Evaluated models
- GPT-5, Claude Sonnet 3.7, Gemini 2.5 Flash and others6
- AttacksPrompt injection
Abstract论文提出了基于五维模块化攻击空间的 TRAP 基准，评估了六个模型在真实网页环境中的注入风险。
研究定位：针对网页自主智能体易受外部界面提示注入攻击的问题，构建了基于真实网站克隆的模块化评测基准 TRAP。
WAInjectBench 系统评测网页 Agent 的提示注入检测方法
提出 WAInjectBench 评测网页 Agent 的提示注入检测
- arXiv
- 2510.01354
- Published
- Layer
- Application layer
- Setting
- web agent
- Evaluated models
- GPT-4o, Mistral-7B-Instruct-v0.1, Llama-Prompt-Guard-2-86M and others8
- DefensesDetection and filtering
- AttacksPrompt injection
- ComponentGuardrails and judges
AbstractWAInjectBench 比较网页智能体的提示注入检测：显式线索可被部分检出，隐蔽攻击大多漏检。
WAInjectBench 是网页智能体提示注入检测的基准。作者要看现有检测器能否发现这类攻击：攻击者改网页，使智能体执行目标动作，而不是用户任务。作者称这是首个此类综合基准。
You have reached the end