攻击arXiv 2609.35576
研究提出跨 LLM 助手的记忆跳跃攻击
提出跨独立助手的工件介导记忆跳跃自传播攻击
- arXiv
- 2609.35576
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- GPT-5.6 Luna、Kimi-K2.6、GPT-OSS-120B 等 6 个
摘要论文证实持久工件与内存可形成跨智能体传播链，揭示了将共享工件纳入安全防线的重要意义。
该论文系统研究并量化了通过共享持久工件在具有独立私有内存的 LLM 智能体之间发生自传播的“工件介导传播”攻击风险。
全部论文
另有 602 篇论文还没打上分类标签，暂不在筛选结果里。
- 攻击arXiv 2610.00430
Memetic Trojans：利用社交传染在 LLM Agent 网络中传播对抗载荷
提出 memetic trojans，把对抗载荷嵌入智能体自发转发的社会传染内容
- arXiv
- 2610.00430
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- gpt-oss-120B、deepseek-v4.1-flash、qwen-32B 等 5 个
摘要memetic trojans 用内生社会传染携带载荷。
Memetic trojans 是一类网络介导攻击：对抗载荷搭在智能体本来就会转发和点赞的内容上扩散，转发者不必被攻陷，也不必执行“请继续复制”的指令。
- 防御arXiv 2610.00348
NEEDLE：通过权重正交化移除 LLM 后门
提出 NEEDLE，用权重正交化在已知触发器时去除大模型后门
- arXiv
- 2610.00348
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemma-3-4B-IT、Qwen3-4B-Instruct-2507、Gemma-3-12B-IT
摘要NEEDLE 用闭式权重编辑去掉已知触发器的后门，并保住拒绝子空间。
- 攻击arXiv 2609.39788
研究：多智能体系统潜在通信链路可被训练用于提升有害顺从
提出只改多智能体潜在通信链路以提高有害遵从的攻击
- arXiv
- 2609.39788
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- Llama-3.2-3B-Instruct、Qwen2.5-3B-Instruct、Gemma-3-1B-IT 等 7 个
摘要潜在链路本身即可改变冻结智能体系统的安全，奖励既能攻击也能修复。
学习得到的潜在通信链路会改变由冻结、对齐智能体组成的系统是否遵从有害请求。。作者研究三种拓扑：双智能体、三级顺序协作，以及双专家加汇总。
- 防御arXiv 2609.00786
MROP：针对 Deep JSCC 后门攻击的掩码区域优化净化方法
提出 MROP，在发射端推理时纯化输入以抵御训练投毒后门
- arXiv
- 2609.00786
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- DeepJSCC、SwinJSCC
摘要MROP 不重训练，在发射端纯化补丁后门。
MROP 是 deep JSCC 无线图像传输上的推理时输入纯化，对象是矩形补丁后门。
- 可解释性arXiv 2609.07746
LLM Forensics：用稀疏自编码器定位并控制后门触发机制
用 SAE 定位后门触发机制并分离检测与因果控制
- arXiv
- 2609.07746
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gaperon-1B、Gaperon-8B、Gaperon-24B
- 攻击投毒与后门
摘要Gaperon 语言切换后门可分成检测、残差路由和后期语言跟踪三类 SAE 特征，只有部分能改行为。
作者用稀疏自编码器分解 Gaperon 中无害的语言切换后门，区分识别触发的特征与真正能抑制或诱发该行为的特征。固定触发使英语提示在 Gaperon-1B 与 8B 上续写成法语或德语。
- 评测与基准arXiv 2609.39146
MADBench：多智能体辩论安全性评测基准发布
发布 MADBench，评测多智能体辩论会吸收还是放大对抗影响
- arXiv
- 2609.39146
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- gpt-4o、GPT-5、GPT-6 Astra
摘要MADBench 显示辩论能吸收部分准确率攻击，同时放大未授权读写。
MADBench 是一个评测多智能体辩论安全性的基准，用来看攻击是被辩论吸收还是被放大。
- 攻击arXiv 2609.38270
VirusCascade：劫持 LLM 推荐智能体的协同反思机制
提出 VirusCascade，劫持推荐智能体协同反思以定向推广物品
- arXiv
- 2609.38270
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- GPT-4o-mini、AgentCF、AgentRAG 等 8 个
- 防御arXiv 2609.39548
NDDL：用正常扩散动力学为文生图模型做后门防御
提出 NDDL，用良性扩散轨迹检测文生图后门提示并定位触发 token
- arXiv
- 2609.39548
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Stable Diffusion v1.5、Stable Diffusion XL、Stable Diffusion v3.5 等 4 个
摘要NDDL 从良性扩散轨迹学习正常转移，用动态不一致检测后门并定位触发 token。
NDDL 是面向文生图扩散模型的后门防御：防御者只有白盒模型访问和良性提示词，没有后门先验，需要区分后门提示词并找出触发 token。
- 评测与基准arXiv 2609.32635
TrustFork：显示身份如何劫持 LLM 智能体编排的权限
提出 TRUSTFORK 基准，评测展示身份劫持多智能体编排权限
- arXiv
- 2609.32635
- 发表
- 层
- 应用层
- 测试
- GPT-5.6-Sol、GPT-5.6-Luna、Kimi-K3 等 8 个
- 攻击提示注入
摘要论文提出了多智能体安全基准 TRUSTFORK，揭示展示身份如何劫持操作权威，并证明事后验证无法弥补已发生的执行破坏。
- 防御arXiv 2609.17648
多智能体 LLM 流水线中的信任传播与结构隔离
提出任务绑定令牌与策略预言机，在多智能体流水线中拦截未授权执行
- arXiv
- 2609.17648
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- gemma4:31b-cloud
摘要结构性授权拦住了记忆投毒的未授权执行，持密钥时承重的是策略预言机。
作者在一条会改写沙箱邮件库的四智能体流水线上，检查低权限失陷会不会变成未授权的真实动作。
已经到底了