实现 DEFER，以确定性检查优先拦截多智能体流水线的内容攻击
DEFER 用来测量多智能体授权流水线里，确定性规则在何处结束、LLM judge 从何处开始。
提出 VAL 框架，并用确认门与参数沙箱约束智能体高风险工具调用
提出 COBRA 双 LLM 架构，防御计算机使用 Agent 的分支转向攻击
Abstract提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
提出 FlowReview，用授权配对与确定性提交门控控制多智能体组合信息流
这篇工作把多智能体安全写成一件必须同时成立的事：拦住组合信息所启用的禁止使用，并完成同一场景里任务所需的授权使用。
提出 ToolFence，以能力蓝图和确定性授权拦截 Agent 未授权工具调用
提出 Tracekit，审计编码 Agent 的意图、推理与动作并检测账本篡改
Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。
用任务绑定令牌和策略预言机拦住多智能体流水线的未授权执行
作者在一条会改写沙箱邮件库的四智能体流水线上，检查低权限失陷会不会变成未授权的真实动作。
提出 ATF 与 NTR，过滤或恢复工具集以阻止 Agent 调用攻击工具
提出 KITA，把 Agent 批准绑定到规范动作的密钥隔离阈值签名
KITA 是一套密钥隔离的阈值授权架构，用来把模型评审变成执行外部动作的条件。
提出 SkillGuard，用可达性限制污染后的 Agent 能力
提出 AgentKernel，用四支柱强制中介 Agent 的输入、工具与记忆
AgentKernel 是把安全做成组织原则的智能体 OS 架构，不是带跑分的攻防评测。
提出 AgentFlow 流策略语言与运行时框架，约束智能体跨步数据流
提出 CAVA，将异构智能体运行时事件规范为可哈希动作并绑定审批与回执
CAVA 是给异构智能体运行时用的动作语义层，用来回答“被批准和被审计的到底是哪一个动作”。
提出 TMA-NM，以写时来源绑定抵御 Agent 长期记忆投毒
TMA-NM 把 LLM 智能体长期记忆的行动权限绑到写时来源，用来挡住跨会话记忆投毒。
梳理自主 Agent 威胁并提出全生命周期防御蓝图 FASA
这是一份以 OpenClaw 为案例的威胁梳理和防御架构报告，不是带分数的攻击或防御评测。
提出对齐五阶段的纵深防御，缓解自主 Agent 跨阶段威胁
这是对 OpenClaw 的生命周期威胁分析，并配套一套分层缓解设计。要处理的问题是：自主智能体把即时通讯、持久记忆、第三方插件和高权限执行连在一起之后，攻击不再限于单轮越狱，而会跨初始化到执行的多个阶段复合。作者认为只加固单个接口的防御，挡不住这种跨时间攻击。
提出 Aura，用可信内核中介移动 Agent 的身份、感知与动作控制
Aura uses kernel-mediated structured agent interaction, replacing screen-interface mobile assistants..