另有 201 篇论文还没打上分类标签，暂不在筛选结果里。
提出 LTBD，用可学习分隔符隔离可信指令与不可信数据
LTBD 是一种不改基座权重的提示注入防御：只学习用来标出可信指令与不可信数据边界的四个 token 嵌入。
提出 Secure-CUA，用动作事务约束计算机使用智能体的不可信影响
Secure-CUA 要限制图形界面里不可信内容对 CUA 决策和 GUI 执行的影响，同时保留合法任务所需的不可信信息。
提出 PackHallu，经规则文件提示注入诱导编码 Agent 换用攻击者指定包
PackHallu 研究一种针对编程智能体规则文件的提示注入：让智能体在本应使用合法依赖时，改导入攻击者指定并控制的包。
提出 WebMirage，用局部对抗图像劫持视觉网页 Agent 的浏览器操作
WebMirage 是一个面向视觉定位网络智能体的流水线感知端到端红队攻击框架。
提出 AdvSim2Real，协同训练网页智能体抵御页面注入
提出 RAG-PIBench，评测 RAG 上下文中提示注入检测器
提出 CORSA，按任务簇优化技能注入的检索与执行
提出 CredLeak-Bench，评测 Agent 面对钓鱼的凭据泄露与恢复
评测编码智能体 harness 安全机制在对抗任务中的防护效果
提出 AgentSpy，在系统调用层观测 Agent 行为并检测技能注入
本研究提出了面向 AI 智能体的系统级外部监控与行为分析框架 AgentSpy。
构建 AGENTDOXX 基准，评测联网搜索 Agent 对匿名访谈的再识别
摘要论文提出了已知身份的重识别基准 AGENTDOXX，揭示搜索与记忆双重风险及现有防御在检索轨迹中的泄露漏洞。
提出 PAA 方法，在边界动作前审计长流程智能体的分阶段提示注入
本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。
提出推理时上下文注入，用代码注释诱导补全生成含弱点的代码
评估应用决策层的输入注入与隐私推断风险
Jev 是 TypeSafe 的 System One 模型，把应用 state 和固定问题变成 Choice、Noul 或 Score 的类型化决策与概率。作者用官方 API 和可改训练的 NanoJev，考察它作为决策层时的操纵、泄露与双重用途。
提出检测、结构化与 GSPO 流程，降低共识生成的提示注入错位
这是一篇把 LLM 数字孪生放进增强民主的博士论文，分个体表示、政党聚合和共识生成的提示注入三章。
提出 EviLLM，经账户指令或插件向代码生成流程注入漏洞
提出 ASA 与 AttestMCP，度量并降低 LLM 对输入序列扰动的敏感
提出 AgentTrap 有状态蜜罐，欺骗并反击自主渗透测试 Agent
提出 Tracekit，审计编码 Agent 的意图、推理与动作并检测账本篡改
Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。
提出 Veer，在网页 Agent 执行前改写会造成未授权后果的网页状态