Skip to content

Translation in progress Some entries still include text in the original language.

Oct 12 · Monday

All papers

Found 36 papers
Filter4

Attack type

Jailbreaks4Prompt injection32Poisoning and backdoors8Detection evasion3

Model risks

Dangerous agent actions5

Defense type

Model hardening8Detection and filtering24Instruction–data separation28Permissions and approval24Monitoring and auditing15Watermarking and provenance10

Impact

Unauthorized actions22Output manipulation7

System type

LLM applications4AI Agent30coding agent4

Attacker access

Black-box4

Attack surface / entry point

User input55Web pages and interfaces13Documents and messages15Tool responses28Tool and skill descriptions13Code repositories and dependencies3Retrieval corpus5Memory writes4Inter-agent messages3Images, audio and video15Training data8Weights and gradients6Distribution channels11

Layer

Application layer34

System component

MCP and skills3Memory4Guardrails and judges17Monitors13
Select any value within a category; different categories must all match. Counts include the other filters you have selected.Another 232papers have no tags yet and are not included in filtered results.
Defense type：Detection and filteringDefense type：Monitoring and auditingAttack surface / entry point：Documents and messagesAttack surface / entry point：Tool responsesClear all

Another 232papers do not have category tags yet and are not included in filtered results.

  2. DefensesarXiv 2610.09793

    用时序逻辑监控工具 Agent

    提出 MFOTL 离线时序验证以监控工具 Agent 的危险动作链

    arXiv
    2610.09793
    Published
    Layer
    Application layer
    Setting
    AI Agent
    Attacker
    Black-box
    Abstract形式化验证可有效识别多步攻击，但其有效性高度依赖轨迹的可信历史记录。

    这篇论文对工具调用大语言模型智能体的安全监控进行了形式化时序验证研究。

    Paper analysisRead analysis
  3. DefensesarXiv 2610.07657

    DEFER1 多智能体防御研究报告受控测试中的攻击成功率下降

    实现 DEFER，以确定性检查优先拦截多智能体流水线的内容攻击

    arXiv
    2610.07657
    Published
    Layer
    Application layer
    Setting
    Multi-agent systems
    Evaluated models
    Qwen3-235B-A22B-Instruct-2507, gpt-oss-120b, Llama-4-Scout-17B-16E-Instruct and others5
    AbstractDEFER 把确定性检查放在 judge 之前。

    DEFER 用来测量多智能体授权流水线里，确定性规则在何处结束、LLM judge 从何处开始。

    Paper analysisRead analysis
  4. Evaluation and benchmarksarXiv 2610.07089

    研究者提出统一滥用监控基准，覆盖分解攻击与提示注入约 6200 条轨迹

    提出危害窗口与区间指标，统一评测分解攻击和提示注入下的智能体滥用监视

    arXiv
    2610.07089
    Published
    Layer
    Application layer
    Setting
    AI Agent
    Evaluated models
    Gemma 4 26B-A4B, Qwen3.6 27B, Qwen3.5 27B and others12

    Abstract统一智能体滥用监视框架，动作视角兼顾两类威胁但危害定位仍存瓶颈。

    Paper analysisRead analysis
  5. DefensesarXiv 2610.05163

    Researchers construct segmented prompt injection on Claude Code and Codex and release a boundary action audit benchmark

    提出 PAA 方法，在边界动作前审计长流程智能体的分阶段提示注入

    arXiv
    2610.05163
    Published
    Layer
    Application layer
    Setting
    coding agent
    Evaluated models
    Claude Code (v2.1.172, Claude Sonnet 5), Codex CLI (v0.144.0, GPT-5.5)
    Abstract论文针对长流程注入提出边界动作审计与 PAA，在保持低误阻的同时实现高拦截率。

    本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。

    Paper analysisRead analysis
  6. DefensesarXiv 2610.03073

    SecJev：为 System One 决策模型引入安全专业知识

    提出 SecJev，用场景加权训练把决策模型适配为安全类型化判断

    arXiv
    2610.03073
    Published
    Layer
    Training and data layer
    Setting
    Models and APIs
    Evaluated models
    SecJev-0.8B, SecJev-2B, SecJev-4B and others4
    AbstractSecJev 用共享打分器做安全决策，0.8B 的 task-macro 超过 Kev-9B。

    SecJev 是 0.8B 到 9B 的安全决策模型族，作者称据其所知是首个面向安全的 Jev-like 家族。

    Paper analysisRead analysis
  7. Evaluation and benchmarksarXiv 2610.03448

    Study retests 15 prompt injection detectors: benchmark scores poorly predict agent deployment performance

    重测提示注入检测器在 Agent 工具输出上的检出与任务阻断

    arXiv
    2610.03448
    Published
    Layer
    Application layer
    Setting
    AI Agent
    Evaluated models
    Horizon-Labs, Wolf Defender, Prismor-1.5B and others15

    Abstract论文揭示公开基准无法反映智能体检测器表现，检测能力源于输入格式相似而非通用防御，建议基于工具输出与低误报评测。

    Paper analysisRead analysis
  9. DefensesarXiv 2609.35659

    Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统

    提出 Tracekit，审计编码 Agent 的意图、推理与动作并检测账本篡改

    arXiv
    2609.35659
    Published
    Layer
    Application layer
    Setting
    coding agent
    Evaluated models
    Claude Code (claude -p, version 2.1), 独立评审（同一 CLI，无工具）
    AbstractTracekit 把意图、自述和动作写入可锚定的哈希链。

    Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。

    Paper analysisRead analysis
  10. Evaluation and benchmarksarXiv 2609.35886

    Agentic Commerce Bench：衡量会花钱的智能体的欺诈检测能力

    构建支付欺诈基准 ACB，评测花钱智能体的欺诈检测

    arXiv
    2609.35886
    Published
    Layer
    Application layer
    Setting
    AI Agent
    Evaluated models
    gordonguard, pattern judge
    AbstractACB 把支付欺诈与智能体操纵分开测量，作者强调观察权限、误报预算和微支付复核成本。

    ACB 是一套智能体支付欺诈基准与检测参考栈，目标是衡量钱是否被不当提取，而不仅是智能体是否接受了恶意指令。

    Paper analysisRead analysis
  11. DefensesarXiv 2609.33039

    TACIT: detecting agent trajectory harm from LLM internal states

    提出 TACIT，从冻结内部状态检测智能体有害轨迹

    arXiv
    2609.33039
    Published
    Layer
    Application layer
    Setting
    AI Agent
    Evaluated models
    Qwen3-4B, Llama-3.1-8B, Qwen3-4B-Instruct and others4

    Abstract提出基于内部表征的智能体轨迹安全检测方法 TACIT，揭示工具风险表征特性并在多项基准上提升检测表现与效率。

    Paper analysisRead analysis
  12. DefensesarXiv 2609.30657

    研究者提出面向邮件 Agent 的攻击链建模提示注入检测框架

    提出面向邮件 Agent 的攻击链提示注入检测框架

    arXiv
    2609.30657
    Published
    Layer
    Application layer
    Setting
    AI Agent
    Evaluated models
    Proposed framework
    Abstract攻击链与动作一致性融合改善了严格检测的平均 F1，但迁移、误报和攻击召回仍需分别看。

    这是一项邮件智能体提示注入防御的离线建模与评测研究：作者把攻击文本是否恶意、攻击是否推进到工具操作、最终参数是否达标分开处理。

    Paper analysisRead analysis
  13. Evaluation and benchmarksarXiv 2609.29429

    Jev 被用于零样本检测十类对齐失败，中位 AUROC 达 0.886

    提出 RLCDAlignBench，零样本检测多种对齐失败

    arXiv
    2609.29429
    Published
    Layer
    Prompt layer
    Setting
    Models and APIs
    Evaluated models
    Jev (jev-1.13.0)
    Abstract一次通用问题已能给多数对齐失败排序，大的误差来自状态和标签。

    RLCDAlignBench 测量用强化学习做校准决策的 Jev，能否当作对齐失败的零样本检测器。

    Paper analysisRead analysis
  14. AttacksarXiv 2609.22510

    特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

    提出条件触发的爆炸提示词，并设计摄入期检测器 DeFuse

    arXiv
    2609.22510
    Published
    Layer
    Application layer
    Setting
    AI Agent
    Evaluated models
    Llama-3.1-8B-Instruct, Llama-3.1-70B-Instruct, Qwen2.5-32B-Instruct and others15
    Abstract论文揭示了条件触发使提示注入绕过防御并在触发时执行工具，提出轻量检测器并在摄入期有效防范。

    论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。

    Paper analysisRead analysis
  17. DefensesarXiv 2609.13601

    Mind the Gap：检测 DAO 治理中的描述-执行不匹配攻击

    提出 DEMI 检测框架，用生命周期模拟和证据映射发现 DAO 提案错配

    arXiv
    2609.13601
    Published
    Layer
    Application layer
    Setting
    LLM applications
    Evaluated models
    GPT-4o, GPT-4o-mini, GPT-4.1 and others9
    Abstract作者把 DAO 错配检测做成执行前审计层，主张逐动作证据映射与风险复核是关键。

    这是面向 DAO 治理的执行前错配检测研究：攻击者可以提交看似合理的描述，但让获批载荷执行另一种行为，投票描述并不直接约束代码。

    Paper analysisRead analysis
  20. DefensesarXiv 2609.08394

    Windows 恶意软件检测器作为复合 AI 系统：准确率、效率与对抗鲁棒性的权衡

    提出 OBELISK 三级流水线，权衡恶意软件检测的准确率、开销与鲁棒性

    arXiv
    2609.08394
    Published
    Layer
    Application layer
    Setting
    LLM applications
    Attacker
    White-box, Black-box
    Evaluated models
    GBDT-ALL, GBDT-YARA, NEBULA-ALL and others4
    Abstract三级过滤以不大的检测损失换速度，同一机制扩大攻击面，部署应按约束选配置。

    OBELISK 把 Windows PE 恶意软件检测做成 YARA、EMBER-GBDT 与 Nebula 的顺序流水线，用来同时看检出、计算开销和对抗鲁棒性。

    Paper analysisRead analysis
Load more