All papers

ASPIRE 是给搭建方用的智能体提示注入红队引擎，目标是开放式画出可利用的行为路径，而不是在固定任务上打磨一条载荷。

该论文系统研究并量化了通过共享持久工件在具有独立私有内存的 LLM 智能体之间发生自传播的“工件介导传播”攻击风险。

VerTox 用可验证奖励把小 LLM 微调成语料投毒生成器，用来探测神经排序器在注入文档下的暴露面。

本文研究了持久化个人智能体面临的隐蔽记忆注入威胁，提出了一套兼顾写入、隐蔽与跨会话生效的自动化生成框架与全周期评测基准。

DiscourseFlip 是针对黑盒 RAG 的话语级观点操纵。作者要处理的缺口是：只打单条查询或主题局部查询时，覆盖窄，目标受审查时容易被隔离，也难沿相关话题传播。攻击者不能看检索器或 LLM 内部，也不能改提示词模板，只能在文档数、生成 token 和 SEO 编辑距离限制下注入少量文档。

sleeper memory poisoning 研究带持久记忆的 LLM 助手：外部文档能否让助手存下一则伪造的用户记忆，并在原文档消失后的新会话里被取回、用来改变回复或动作。

Confundo 把 RAG 投毒做成微调：小模型按目标问题生成短毒文，再放进会被知识库摄入的文档。它针对的是实际系统会切块、用户也不会照抄预设问句，专用投毒因而变弱。攻击者没有目标系统的内部知识，也不能查询它，只能准备待摄入文档。

Zero2Text 是一种不训练 decoder、也不使用泄漏文本–向量对的文本 embedding 反演，针对 RAG 向量库在严格黑盒、目标域未知时的还原。

PAA 是对 LLM-as-a-Reviewer 的 black-box 攻击：只改写摘要，用评审分做 ICL 搜索，并用 BERTScore 与困惑度限制语义和自然度。