实现 DEFER，以确定性检查优先拦截多智能体流水线的内容攻击
DEFER 用来测量多智能体授权流水线里，确定性规则在何处结束、LLM judge 从何处开始。
评测编码智能体 harness 安全机制在对抗任务中的防护效果
提出 VAL 框架，并用确认门与参数沙箱约束智能体高风险工具调用
提出 ASA 与 AttestMCP，度量并降低 LLM 对输入序列扰动的敏感
为 Agent 提出资源层授权系统 Pincer，用数字分身执行动态最小权限
Pincer 是加在现成 coding agent 上的资源层授权防御：用只受用户侧信息影响的 digital twin 做动态最小权限，并与 tool-call 层防御并存。要处理的是用户维护策略带来的权限蠕变和授权疲劳，以及不学习用户策略的 tool-call 分类器。作者引述工作称 auto mode 会放行多数不安全操作，并认为推理代码或复杂 shell 的效果在这一层不实际。
提出 A2A-TIBA，经 A2A 对等任务间接注入并植入常驻回调
A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
提出 FlowReview，用授权配对与确定性提交门控控制多智能体组合信息流
这篇工作把多智能体安全写成一件必须同时成立的事：拦住组合信息所启用的禁止使用，并完成同一场景里任务所需的授权使用。
提出 Tracekit，审计编码 Agent 的意图、推理与动作并检测账本篡改
Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。
提出工具型 Agent 的自适应攻击 DART 与预执行防御 SAGE
Abstract论文提出状态控制框架 SEAD、攻击 DART 与防御 SAGE，实验显示执行反馈与环境探测在攻防交互中具有关键作用。
提出残余权限重放攻击，跨任务复用长期 Agent 的历史授权绕过确认
提出并评测保险库中介执行边界，隔离 Agent 的 API 凭据
这是一项智能体 API 凭据威胁分析及 Vault 执行边界的功能评测。作者关心的不是模型能否承诺保密，而是认证材料是否会进入模型、日志、记忆和执行代码。
提出 CAVE-BENCH，评测智能体在虚假指责下破坏已完成的正确工作
Abstract论文提出了评估智能体在虚假指责下破坏已有正确成果的 CAVE-BENCH，发现强模型易推翻已知证据，提出了门控缓解方案。
提出 AttestChain，将供应链安全智能体报告签名上链并据此控制发布
AttestChain 是一个把 LLM 安全检查、智能体身份验证和许可链发布策略连接起来的软件供应链防御框架。。
提出身份绑定且委托只衰减的能力令牌，用上下文外钱包约束智能体
代表人类行动的分布式智能体，需要一种不把密钥放进语言模型上下文的授权方式。
测试编程智能体被诱导或自主篡改自身执行轨迹的行为
这是一项针对本地大模型智能体执行轨迹完整性与安全防篡改边界的实证研究。
提出 Skilder，按角色渐进下发企业工具并确定性拦截越权调用
Skilder 把企业工具型智能体的能力按角色打包，经一个 MCP 服务器做渐进发现，使工具范围由服务器而不是提示词来执行。
提出多智能体系统提示注入的威胁模型与四层架构防御
提出移动 Agent 轨迹审计器 MATE，判断轨迹是否违反可编辑安全策略
MATE 是面向移动 GUI 智能体的轻量策略条件轨迹审计器，在给定自然语言安全策略时判断轨迹是否违规并解释原因。
提出企业 MCP 零信任授权与发现扩展，在架构上拒绝提示注入下的越权调用
作者把零信任放在 MCP 工具调用边界：智能体即使被提示注入，也不能调用其凭证范围之外的工具。问题来自三点部署性质。调用意图会随不可信上下文改变。
构建 APort Vault 基准，对比支付智能体模型拒答与确定性授权