评测与基准arXiv 2610.07089
研究者提出统一滥用监控基准，覆盖分解攻击与提示注入约 6200 条轨迹
构建统一滥用监视基准，用危害窗口评测跨威胁动作监控
- arXiv
- 2610.07089
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Mistral Small 3.2 24B、Gemma 4 26B-A4B、Qwen3.6 27B 等 12 个
摘要统一智能体滥用监视框架，动作视角兼顾两类威胁但危害定位仍存瓶颈。
Agent 安全 · 论文
另有 284 篇论文还没打上分类标签，暂不在筛选结果里。
- 防御arXiv 2607.19913
Janus：面向长时程智能体安全的前瞻性潜在风险预测框架
提出 Janus，用 CoAA-RL 训练前瞻守卫，在长程智能体有害动作执行前拦截
- arXiv
- 2607.19913
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Vanguard、TS-Guard、Sandwich Defense 等 8 个
- 防御监控与审计
- 攻击提示注入
- 风险Agent 危险操作
- 组件监控器
- 防御arXiv 2610.00400
DART：用表征位移检测多轮 LLM 智能体中的新兴安全风险
提出 DART，用去噪表征转移检测并干预多轮智能体攻击
- arXiv
- 2610.00400
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 攻击者
- 黑盒
- 测试
- Mistral-Small-24B、Qwen3-8B、Qwen3-14B 等 6 个
- 防御arXiv 2601.10156
ToolSafe 提出步骤级护栏 TS-Guard 与 TS-Flow，降低 Agent 有害工具调用
提出 TS-Guard 与 TS-Flow，执行前检测并修正智能体有害工具调用
- arXiv
- 2601.10156
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- ShieldAgent-THU、Safiron、TS-Guard 等 10 个
摘要TS-Bench 标步骤级风险，TS-Guard 用多任务 RL 做执行前判定，TS-Flow 用反馈代替直接中止。
ToolSafe 研究 LLM 智能体在工具执行前的步骤级安全：基准 TS-Bench、护栏 TS-Guard，以及反馈驱动框架 TS-Flow。
- 攻击arXiv 2608.16465
JailbreakSkill：用可复用可演化技能扩展自动化红队
提出 JailbreakSkill，用可演化技能自动搜索并复用越狱提示
- arXiv
- 2608.16465
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- MAGIC-14B、GLM 5.2、DeepSeek-V4-Pro Preview 等 8 个
- 防御arXiv 2609.00092
Safin-1：通过记忆原生状态演化实现内在安全
提出 Safin-1，以可路由 Safety State 在冻结主干上实现内在安全
- arXiv
- 2609.00092
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Safin-1 (4B)、Safin-1 (35B-A3B)、Gated DeltaNet (0.8B) 等 9 个
- 防御arXiv 2609.28693
skilder：以角色化技能包为工具型 LLM 智能体做访问控制
提出 Skilder，用角色技能包和 MCP 路由硬拦截越权工具调用
- arXiv
- 2609.28693
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Ministral 3 14B、Claude Haiku 4.5、Qwen 3.5 122B 等 7 个
摘要Skilder 用单 MCP 服务器按角色交付工具并硬拦截。
Skilder 把企业工具型智能体的能力按角色打包，经一个 MCP 服务器做渐进发现，使工具范围由服务器而不是提示词来执行。
- 可解释性arXiv 2609.34686
研究揭示工具智能体中越狱上下文残留导致的安全路由分化
用配对续写与激活修补揭示工具智能体越狱后的安全路由分化
- arXiv
- 2609.34686
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Mistral-Small-24B、Qwen3-14B、Qwen3.5-9B 等 8 个
- 攻击越狱
摘要越狱后的同一安全反馈在八个工具智能体上分成三条路由，因果集中在最后几层并可作预测基线。
这篇工作把越狱上下文残留之后的运行时安全反馈，做成工具智能体上的三路路由问题，并用激活修补给这个路由一个晚层的因果位点。作者认为，反馈可能恢复合法执行、留下未授权动作，或误伤良性流程，而现有攻击、基准和静态护栏没有在固定历史上把这三种结局分开。配对续写因此从同一冻结检查点分别接中性提醒 N 和安全反馈 S，并交叉保留越狱 J+ 与中和越狱 J0。
已经到底了