Translation in progress Some entries still include text in the original language.
Oct 12 · Monday
All papers Found 13 papers Another 265 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
重测并扩展对 AI Agent 的提示注入，并用 Agent Card 欺骗操纵 A2A 选择
Published Oct 8
Evaluated models Ollama Mistral 0.9.5 , llama3-8b-8192 , gemini-2.0-flash-lite and others5 Abstract 单智能体过滤与分类可被格式或措辞绕过，A2A 选卡还会偏向名称和描述。作者在自建的 LangChain、AutoGen 和 A2A 系统上重测提示注入，并改 Agent Card 看选择是否偏移。摘要称试验主要凸显单智能体弱点，同时把攻击扩到多智能体。
提出 StegoMemory，评测智能体持久记忆作为跨会话隐写信道
Published Oct 3
Evaluated models Llama 3.1 405B , Claude 3.5 Sonnet , GPT-4o and others13 Abstract 研究揭示智能体持久记忆可作为隐蔽信道跨会话传输机密，写入持久化是主要防御瓶颈，呼吁建立记忆完整性防御。
提出 AdaLCPI，把恶意指令拆成碎片嵌入工具返回并诱导 Agent 越权执行
Published Sep 29
Evaluated models GPT-4.1 , GPT-5.1 , GPT-5.6-Luna and others7 提出 MMSkillRisk 基准，评测多模态技能图像中的隐藏指令诱导 Agent 越权操作
Published Sep 28
Evaluated models GPT-5.6-sol , Kimi-K2.6 , Kimi-K3 and others6 Abstract 论文提出 MMSkillRisk 基准与 NCVA 攻击，揭示多模态技能中教学图像潜藏指令可引发未授权操作并与良性任务共存。
提出跨通道分段攻击，利用 MCP 隐式信任外发敏感文件
Published Sep 16
Evaluated models GPT-4o , GPT-4o-mini , GPT-5.4 and others15 Abstract 论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
提出 SYNCHAIN，诱导计算机使用 Agent 自建跨任务持久攻击链
Published Aug 7
Evaluated models Qwen3.5-9B , Llama-3.1-8B , Ministral-3-8B Abstract 论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。
提出 Relink 攻击，在 Agent 压缩边界将分散良性片段重组为恶意指令
Published Jun 20
Evaluated models Gemma-4-31B-it , GPT-OSS-20B , Qwen3.6-27B and others15 Abstract 论文指出提示词压缩引入重链漏洞，提出 RELINK 攻击工具与 KBRA 边界审计防御，证明压缩边界应作为关键安全边界。本文研究了智能体基于摘要的提示词压缩所引入的新型安全漏洞——重链（Relinking），并提出了系统化的攻击构建方法与边界审计防御机制。
提出 PoisonedSkills，评测编码 Agent 技能生态的文档投毒
Published Apr 3
Evaluated models Claude Sonnet 4.6 , GLM-4.7 , MiniMax-M2.5 and others5 Abstract 作者称技能文档可成为系统操作攻击入口，但结果只评估加载后的阶段。PoisonedSkills 研究编码智能体的技能供应链投毒，重点是文档内容如何进入实际系统操作。 。
用编码与结构化请求抽取系统指令，并用 CoT 改写加固
Published Apr 1
Evaluated models GPT-4.1-mini , GPT-3.5-turbo , Gemini-2.5-flash and others7 Abstract 编码式请求可在直接拒答后引出系统指令。这项工作评测并加固 LLM 系统指令在编码式抽取下的保密性。作者关心的是：直接抽取已被拒绝时，把同一请求改写成格式化或编码任务，模型是否仍交出受保护内容。
提出 Blindfold，用动作级操纵越狱具身 LLM
Published Mar 2
Evaluated models Llama-3.1-8B , DeepSeek-R1-14B , Gemma-3-27B and others8 Abstract Blindfold 以动作级代理规划越狱具身 LLM，作者称可绕过语义检查并在仿真与真机生效。Blindfold 是面向具身 LLM 规划模块的 no-box 攻击，把恶意意图改写成看似良性的动作序列。
提出 SkillJect，自动生成投毒 skill 诱导代码 Agent 执行隐藏脚本
Published Feb 16
Evaluated models Claude-4.6-Sonnet , GPT-5-mini , GLM-4.7 and others10 Abstract SkillJect 用双通道和闭环精炼投毒 skill。SkillJect 是针对可安装 agent skill 的自动化提示注入框架。作者要解决的是：公开或手工放入 skill 的恶意指令常常被拒绝或忽略，而 skill 一旦安装就会被反复当作可信指导加载。
Attacks arXiv 2509.22040 · Sep 26, 2025 通过规则文件提示注入劫持编码编辑器并执行未授权终端命令
Published Sep 26, 2025
Evaluated models Cursor , GitHub Copilot , Claude 4 Sonnet and others4 Abstract 论文提出了针对代码编辑器的提示注入评估框架 AIShellJack，实验显示攻击能诱导 AI 执行未授权终端命令。
Attacks arXiv 2507.10457 · Jul 15, 2025 提出 LPCI，把延迟条件载荷写入记忆与检索库以跨会话触发
Published Jul 15, 2025
Evaluated models ChatGPT , Claude , LLaMA3 and others8 Abstract 作者定义 LPCI。作者把LPCI 定义为针对智能体逻辑执行、记忆留存和工具集成的跨阶段漏洞类，而不是单次输入上的提示改写。
You have reached the end