DefensesarXiv 2610.09935
AgentTracer：通过细粒度意图-执行对齐追踪间接提示注入攻击
提出 AgentTracer，事后定位间接提示注入的注入点并重建攻击链
- arXiv
- 2610.09935
- Published
- Layer
- Application layer
- Setting
- AI Agent
- DefensesMonitoring and auditing
- AttacksPrompt injection
All papers
Filter6
Attack type
Attack technique
Model risks
Defense type
Impact
System type
Attacker access
Attack surface / entry point
Layer
Select any value within a category; different categories must all match. Counts include the other filters you have selected.Another 227papers have no tags yet and are not included in filtered results.
Another 227papers do not have category tags yet and are not included in filtered results.
- DefensesarXiv 2610.09793
用时序逻辑监控工具 Agent
提出 MFOTL 离线时序验证以监控工具 Agent 的危险动作链
- arXiv
- 2610.09793
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Attacker
- Black-box
- DefensesMonitoring and auditing
- AttacksPrompt injection
- ComponentMonitors
Abstract形式化验证可有效识别多步攻击，但其有效性高度依赖轨迹的可信历史记录。
这篇论文对工具调用大语言模型智能体的安全监控进行了形式化时序验证研究。
- DefensesarXiv 2610.09469
Secure-CUA: Constraining the Impact of Untrusted Content in Computer-Use Agents
提出 Secure-CUA，用动作事务约束计算机使用智能体的不可信影响
- arXiv
- 2610.09469
- Published
- Layer
- Application layer
- Setting
- web agent
- Evaluated models
- Claude Opus 5, Gemini 3.8 Flash, GPT-5.6-Sol
- DefensesInstruction–data separation
- AttacksPrompt injection
- ComponentVision
AbstractSecure-CUA 用每步事务约束不可信影响，良性 TSR 接近 Vanilla-CUA。
Secure-CUA 要限制图形界面里不可信内容对 CUA 决策和 GUI 执行的影响，同时保留合法任务所需的不可信信息。
- AttacksarXiv 2610.09240
WebMirage hijacks visual web agents' browser operations with adversarial images
提出 WebMirage，用局部对抗图像劫持视觉网页 Agent 的浏览器操作
- arXiv
- 2610.09240
- Published
- Layer
- Application layer
- Setting
- web agent
- Evaluated models
- LLaVA-v1.5-13B, LLaVA-v1.6-34B, MiniCPM-o-8B and others6
- AttacksPrompt injection
- TechniqueGradient and representation optimization
- ComponentVision
Abstract论文提出了针对网络智能体的端到端视觉红队框架 WebMirage，揭示了从视觉定位到浏览器执行的安全脆弱性。
WebMirage 是一个面向视觉定位网络智能体的流水线感知端到端红队攻击框架。
- AttacksarXiv 2610.08951
ASPIRE：面向 LLM Agent 的开放式提示注入红队引擎
提出 ASPIRE 行为图搜索，开放式发现 Agent 提示注入漏洞
- arXiv
- 2610.08951
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- Gemini-3.7-Flash, DeepSeek-V4-Flash, Gemini-2.5-flash
- AttacksPrompt injection
- TechniqueAutomated search
AbstractASPIRE 把提示注入红队从载荷优化改成行为图引导的开放式漏洞发现。
ASPIRE 是给搭建方用的智能体提示注入红队引擎，目标是开放式画出可利用的行为路径，而不是在固定任务上打磨一条载荷。
- DefensesarXiv 2610.08773
AdvSim2Real 用任务与注入对手共同演化训练网页智能体
提出 AdvSim2Real，协同训练网页智能体抵御页面注入
- arXiv
- 2610.08773
- Published
- Layer
- Application layer
- Setting
- web agent
- Evaluated models
- Qwen3.5-4B
- DefensesModel hardening
- AttacksPrompt injection
HarnessSecurity-Bench horizontally evaluates the security mechanisms of six coding agent frameworks.
评测编码智能体 harness 安全机制在对抗任务中的防护效果
- arXiv
- 2610.07639
- Published
- Layer
- Application layer
- Setting
- coding agent
- AttacksPrompt injection
- ComponentPermissions and sandboxing
- DefensesarXiv 2610.05640
Research reveals that the CaMeL defense fails in multi-agent systems and proposes multi-CaMeL
提出 multi-CaMeL，在智能体调用边界隔离可信指令与非可信数据
- arXiv
- 2610.05640
- Published
- Layer
- Application layer
- Setting
- Multi-agent systems
- Evaluated models
- Claude Fable 5, GPT-5.5, GPT-4.1 and others6
- DefensesInstruction–data separation
- AttacksPrompt injection
Abstract论文针对多智能体中单体防御不组合的边界清洗问题，提出 multi-CaMeL 协议彻底阻断了 MultiAgentDojo 上的注入攻击。
- DefensesarXiv 2610.05163
Researchers construct segmented prompt injection on Claude Code and Codex and release a boundary action audit benchmark
提出 PAA 方法，在边界动作前审计长流程智能体的分阶段提示注入
- arXiv
- 2610.05163
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- Claude Code (v2.1.172, Claude Sonnet 5), Codex CLI (v0.144.0, GPT-5.5)
- DefensesMonitoring and auditing
- AttacksPrompt injection
- ComponentMonitors
Abstract论文针对长流程注入提出边界动作审计与 PAA，在保持低误阻的同时实现高拦截率。
本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。
- DefensesarXiv 2610.06966
APEX: proactively defending against indirect prompt injection at the LLM agent execution boundary.
提出 APEX，在执行边界用授权契约防御 Agent 间接提示注入
- arXiv
- 2610.06966
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- DeepSeek-V4-Flash, GLM-5.2, GPT-5.6-sol
- DefensesInstruction–data separation
- AttacksPrompt injection
- ComponentPermissions and sandboxing
- DefensesarXiv 2610.04269
SRFT：让 Agent 从失败经验中自我反思以抵御提示注入
提出 SRFT，让 Agent 从失败经验中学习拒绝提示注入
- arXiv
- 2610.04269
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- SR-Agent-Llama, SR-Agent-Qwen3-8B, SR-Agent-Qwen3-4B
- DefensesModel hardening
- AttacksPrompt injection
- DefensesarXiv 2610.02869
AgentTrap：面向自主渗透测试 Agent 的有状态反馈欺骗蜜罐
提出 AgentTrap 有状态蜜罐，欺骗并反击自主渗透测试 Agent
- arXiv
- 2610.02869
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- AIDA, Claude Code, PentestGPT and others8
- AttacksMalicious use
- DefensesarXiv 2610.03089
COBRA: A Dual-LLM Architecture for Defending Computer-Using Agents Against Branch-Jumping Attacks
提出 COBRA 双 LLM 架构，防御计算机使用 Agent 的分支转向攻击
- arXiv
- 2610.03089
- Published
- Layer
- Application layer
- Setting
- Browser and computer use
- Evaluated models
- gpt-5, UI-TARS-1.5-7B, claude-sonnet-5 and others6
- DefensesPermissions and approval
- AttacksPrompt injection
- ComponentPermissions and sandboxing
Abstract提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
EvoRiskBench: An evolutionary benchmark for runtime security risks of workspace agents
构建 EvoRiskBench 评测工作区 Agent 的运行时安全风险
- arXiv
- 2610.03153
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- GPT-5.6 Sol, DeepSeek-V4-Pro-0813, Claude Opus 5
- AttacksPrompt injection
- ComponentMCP and skills
Abstract论文构建了工作空间智能体运行时风险基准 EvoRiskBench，发现高执行力智能体在 IPI 下面临较高安全风险。
- DefensesarXiv 2610.01349
PACE：面向工具调用 LLM Agent 的来源感知能力强制执行
提出 PACE，在工具调用前做路径隔离与效果授权
- arXiv
- 2610.01349
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- gpt-5.6-luna, DeepSeek-V4-Flash, Qwen-3.8-27B
- DefensesInstruction–data separation
- AttacksPrompt injection
- ComponentPermissions and sandboxing
AbstractPACE 在工具边界做路径割与效果核验。
PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。
- DefensesarXiv 2610.00450
ZoneClaw 用记忆分区防御 OpenClaw 式计算机使用 Agent 的持久记忆攻击
提出 ZoneClaw，用记忆分区防御计算机使用 Agent 的持久记忆攻击
- arXiv
- 2610.00450
- Published
- Layer
- Application layer
- Setting
- Browser and computer use
- Evaluated models
- Claude Sonnet 4.6, GPT-5.5, GLM-5.2 and others4
- DefensesInstruction–data separation
- AttacksPoisoning and backdoors
- ComponentMemory
- DefensesarXiv 2610.02569
Pincer：用数字分身学习用户偏好并执行动态最小权限
为 Agent 提出资源层授权系统 Pincer，用数字分身执行动态最小权限
- arXiv
- 2610.02569
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- Claude Haiku 4.5, Muse Spark 1.2 Contributor
- DefensesPermissions and approval
- AttacksPrompt injection
- ComponentPermissions and sandboxing
AbstractPincer 在资源层以三票合取做授权。
Pincer 是加在现成 coding agent 上的资源层授权防御：用只受用户侧信息影响的 digital twin 做动态最小权限，并与 tool-call 层防御并存。要处理的是用户维护策略带来的权限蠕变和授权疲劳，以及不学习用户策略的 tool-call 分类器。作者引述工作称 auto mode 会放行多数不安全操作，并认为推理代码或复杂 shell 的效果在这一层不实际。
- DefensesarXiv 2609.37196
ToolFence：为工具调用 LLM Agent 提供细粒度授权
提出 ToolFence，以能力蓝图和确定性授权拦截 Agent 未授权工具调用
- arXiv
- 2609.37196
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- Qwen3-max, GPT-4o (gpt-4o-2024-08-06), Mistral-Small-3.1-24B-Instruct-2503
- DefensesPermissions and approval
- AttacksPrompt injection
- ComponentPermissions and sandboxing
pikit：面向间接提示注入研究与评测的可组合工具包
构建可组合工具包 pikit，评测编码智能体的间接提示注入
- arXiv
- 2609.36817
- Published
- Layer
- Application layer
- Setting
- coding agent
- AttacksPrompt injection
Abstractpikit 提供组合式间接注入评测。
pikit 是面向间接提示注入研究的组合式工具包，主要贡献是组织攻击、投递通道、防御和判定流程，而非提出新的攻击优化算法。
- AttacksarXiv 2609.36576
AdaLCPI：让 Agent 从长上下文碎片中重建间接提示注入
提出 AdaLCPI，把恶意指令拆成碎片嵌入工具返回并诱导 Agent 越权执行
- arXiv
- 2609.36576
- Published
- Layer
- Application layer
- Setting
- AI Agent
- Evaluated models
- GPT-4.1, GPT-5.1, GPT-5.6-Luna and others7
- AttacksPrompt injection
- TechniqueEncoding and obfuscation