跳到正文
10月10日 · 周六

全部论文

找到 20 篇
筛选6

攻击类型

越狱7提示注入13投毒与后门33检测规避27拒绝服务3

攻击技术

梯度与表征优化4自动化搜索3角色扮演与说服4跨模态载荷3

影响

有害内容133越权操作15数据与隐私泄露7输出被操纵19可用性与可靠性1监督失效4

系统形态

模型与 API15LLM 应用14AI Agent33coding agent5web agent4多智能体5

攻击面/入口

用户输入10代码仓库与依赖3图像与音视频7

层

提示层11模型层4应用层4

系统组件

护栏与评审3视觉4音频3多模态8
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 196 篇还没打标签，不在筛选结果里。
攻击类型：越狱攻击类型：提示注入影响：输出被操纵影响：可用性与可靠性系统形态：模型与 API系统形态：coding agent清除全部

另有 196 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 评测与基准arXiv 2610.11112

    EpiReal-Bench：商用图像生成模型虚假声明红队基准

    构建 EpiReal-Bench，评测图像生成器将虚假主张渲染为可信证据

    arXiv
    2610.11112
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    GPT-Image-2、Nano Banana 2、Grok Imagen 2.0 等 4 个
    摘要四款商用图像模型能把假主张画成可信证据。

    EpiReal-Bench 用来量商用图像生成器会不会把虚假现实主张画成可信视觉证据。

    深度解读完整解读
  2. 评测与基准arXiv 2610.10276

    PatchBench 提出激活补丁局部评测协议，揭示越狱修复的附带损伤

    提出 PatchBench-Local 协议，评测激活补丁修复越狱的局部附带损伤

    arXiv
    2610.10276
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Qwen2.5-3B-Instruct、Qwen2.5-14B-Instruct、gemma-3-4b-it 等 8 个

    摘要论文提出 PatchBench 与局部评估协议，揭示了激活补丁在全局能力无损下仍存局部良性退化。

    深度解读完整解读
  3. 攻击arXiv 2610.09264

    研究者提出 PackHallu：经规则文件提示注入对编码 Agent 发起包幻觉攻击

    提出 PackHallu，经规则文件提示注入诱导编码 Agent 换用攻击者指定包

    arXiv
    2610.09264
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    Qwen2.5-Coder-7B、Qwen3-Coder-30B、Devstral-Small-2-24B 等 19 个
    摘要PackHallu 诱导规则文件换包。

    PackHallu 研究一种针对编程智能体规则文件的提示注入：让智能体在本应使用合法依赖时，改导入攻击者指定并控制的包。

    深度解读完整解读
  4. 攻击arXiv 2610.09027

    P-VMI：对抗图像经 KV cache 持续影响多轮对话

    提出持久视觉记忆注入，使对抗图像经缓存在触发时操控输出

    arXiv
    2610.09027
    发表
    层
    基础设施层
    场景
    模型与 API
    被测模型
    Qwen3-8B、Qwen3-VL-8B-Instruct、Gemma-4-12B

    摘要论文提出 P-VMI，证实对抗输入被掩蔽后仍可经 KV 缓存持久控制模型，强调了保留状态的安全风险。

    深度解读完整解读
  7. 可解释性arXiv 2609.37737

    研究用因果激活修补定位模型服从提示注入指令的决策层

    用因果激活修补定位模型服从提示注入的决策层

    arXiv
    2609.37737
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Qwen3-4B、Qwen3-14B、Qwen3-32B 等 7 个
    摘要合规的因果杠杆集中在网络后三分之一的低秩子空间，该层也是混淆下检测最好的位置。

    这篇工作用逐层激活修补定位提示注入合规发生在网络何处，并把该位置用于检测验证。。

    深度解读完整解读
  8. 分析与理论arXiv 2609.36477

    研究发现护栏模型在基座模型不确定处过度自信

    诊断护栏相对基座在对抗提示上的置信失校

    arXiv
    2609.36477
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Llama-Guard 7B、Llama-Guard-2 8B、Llama-Guard-3 8B 等 10 个
    摘要对抗包装使 guard 高置信漏检，而对应 base 在同一输入上常更不确定。

    诊断性分析：五个提示词分类 guard 的置信度，在清洁输入上可以较校准，在越狱包装后则变成高置信度的错误判定。

    深度解读完整解读
  9. 攻击arXiv 2609.28613

    研究：提示注入可改变 Jev 决策模型的行动概率

    测量间接提示注入对类型化概率决策的动作劫持

    arXiv
    2609.28613
    发表
    层
    应用层
    场景
    模型与 API
    被测模型
    jev-1.13.0
    摘要封闭动作集改变提示注入的表现，但没有去掉概率被不可信内容移动的风险。

    作者在 jev-1.13.0 上研究 decision hijacking：不可信内容能否在用户任务和可选动作都不变时，把类型化决策推向攻击者目标。

    深度解读完整解读
  12. 评测与基准arXiv 2609.04859

    MM-IFEval-Pro：面向视觉语言模型的多语言抗攻击指令遵循基准

    提出抗攻击多语言视觉指令遵循基准 MM-IFEval-Pro

    arXiv
    2609.04859
    发表
    层
    提示层
    场景
    模型与 API
    被测模型
    Qwen3-VL-8B-Instruct、InternVL3.5-8B、MiniCPM-V4.5 等 5 个
    摘要MM-IFEval-Pro 以规则验证评测中英指令遵循与视觉劫持，GRPO 提高两基座平均分。

    MM-IFEval-Pro 是面向 VLM 的中英多模态指令遵循基准，并配有可用规则计算奖励的 GRPO 训练集。

    深度解读完整解读
  13. 攻击arXiv 2609.03247

    研究揭示大语言模型的自发身份认证失败：五款模型的分阶段开发者身份实验

    提出 MIPC 与 CFA，观察模型自拟测验后接受开发者身份

    arXiv
    2609.03247
    发表
    层
    提示层
    场景
    模型与 API
    被测模型
    ChatGPT、Claude、Qwen3.7-Plus 等 5 个
    摘要自拟测验可造成对话层虚假认证，但所测授权边界并未因此改变。

    这项工作把“模型自己出题、自己批改、再宣布身份已核验”定义成对话层认证失败，并与后端提权分开。

    深度解读完整解读
  14. 攻击arXiv 2609.01023

    Akrasia：针对推理型代码 LLM 的隐蔽后门攻击

    提出隐蔽后门攻击 AKRASIA，在推理代码模型提示中植入触发器并伪装思维链

    arXiv
    2609.01023
    发表
    层
    提示层
    场景
    coding agent
    被测模型
    Claude-Sonnet-5、GPT-5.5、Gemini-3.5-flash 等 7 个

    摘要论文针对推理代码大模型提出了隐蔽推断期后门攻击 AKRASIA，揭示了模型思维链可被利用进行欺骗性伪装的安全隐患。

    深度解读完整解读
  15. 攻击arXiv 2606.06244

    研究者提出 Ghostwriter 攻击：用伪造证据注入操纵 LLM 观点

    提出 Ghostwriter 攻击，用伪权威证据条件注入操纵模型观点

    arXiv
    2606.06244
    发表
    层
    提示层
    场景
    模型与 API
    被测模型
    GPT-4o、Claude-3.7-Sonnet、DeepSeek-V3 等 10 个
    摘要作者称攻击未被消除。

    Ghostwriter 是一种针对上下文窗口的观点引导攻击：把误导陈述改写成伪权威文本，再在相关查询中让目标模型把该观点写进回答。

    深度解读完整解读
  17. 攻击arXiv 2604.14604

    AudioHijack 框架对 13 个语音大模型实现隐蔽音频提示注入

    提出 AudioHijack，用不可感知对抗音频对语音模型做上下文无关提示注入

    arXiv
    2604.14604
    发表
    层
    提示层
    场景
    模型与 API
    被测模型
    SpeechGPT、GLM-4-Voice、VITA-Audio 等 15 个

    摘要提出了 AudioHijack 框架，揭示了 LALM 对听觉提示注入的脆弱性与传统防御的局限。

    深度解读完整解读
  19. 攻击arXiv 2602.15927

    研究者提出面向多轮对话的视觉记忆注入攻击 VMI

    提出 VMI，用扰动图像在多轮对话中潜伏并仅在触发话题输出预定消息

    arXiv
    2602.15927
    发表
    层
    提示层
    场景
    模型与 API
    被测模型
    Qwen2.5-VL-7B-Instruct、Qwen3-VL-8B-Instruct、LLaVA-OneVision-1.5-8B-Instruct 等 5 个
    摘要VMI 让扰动图像在多轮 LVLM 中潜伏，作者称触发话题出现后仍可输出预定消息。

    VMI 是面向多轮 LVLM 的定向图像攻击：第三方发布带小扰动的图像，良性用户把它当作普通输入。

    深度解读完整解读
已经到底了