另有 232 篇论文还没打上分类标签，暂不在筛选结果里。
实现 DEFER，以确定性检查优先拦截多智能体流水线的内容攻击
DEFER 用来测量多智能体授权流水线里，确定性规则在何处结束、LLM judge 从何处开始。
评测编码智能体 harness 安全机制在对抗任务中的防护效果
用配对回放评测任务范围授权能否阻断越权工具执行
提出 APEX，在执行边界用授权契约防御 Agent 间接提示注入
提出 VAL 框架，并用确认门与参数沙箱约束智能体高风险工具调用
提出 MemLeak，评估多租户 Agent 共享向量记忆的跨用户泄露
提出 Kubernetes 运维智能体的七层纵深防御框架与参考架构
把 Kubernetes 上的运维智能体当作不可信租户，在假定提示注入已完全控制其工具选择的前提下，用基础设施重建数据面与控制面的边界。要解决的是：智能体读日志、注解、工单或 MCP 工具描述时，这些内容可以变成它带着自身凭据执行的命令。模型对齐和分类器只降低概率。
提出 COBRA 双 LLM 架构，防御计算机使用 Agent 的分支转向攻击
摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
构建 EvoRiskBench 评测工作区 Agent 的运行时安全风险
摘要论文构建了工作空间智能体运行时风险基准 EvoRiskBench，发现高执行力智能体在 IPI 下面临较高安全风险。
提出 PACE，在工具调用前做路径隔离与效果授权
PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。
提出有状态策略引擎 Sapien，拦截被劫持智能体的越权工具调用
Sapien 是面向通用 AI 智能体的有状态策略引擎：执行前把用户提示词译成任务策略，运行时只放行该策略承认的工具调用序列。
提出 ZoneClaw，用记忆分区防御计算机使用 Agent 的持久记忆攻击
为 Agent 提出资源层授权系统 Pincer，用数字分身执行动态最小权限
Pincer 是加在现成 coding agent 上的资源层授权防御：用只受用户侧信息影响的 digital twin 做动态最小权限，并与 tool-call 层防御并存。要处理的是用户维护策略带来的权限蠕变和授权疲劳，以及不学习用户策略的 tool-call 分类器。作者引述工作称 auto mode 会放行多数不安全操作，并认为推理代码或复杂 shell 的效果在这一层不实际。
提出 A2A-TIBA，经 A2A 对等任务间接注入并植入常驻回调
A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
提出 ActionGuard 在执行前拦截被投毒技能诱发的未授权工具调用
提出 FlowReview，用授权配对与确定性提交门控控制多智能体组合信息流
这篇工作把多智能体安全写成一件必须同时成立的事：拦住组合信息所启用的禁止使用，并完成同一场景里任务所需的授权使用。
提出 TrustProbe，挖掘技能智能体中不可信 skill 到特权操作的信任链漏洞
提出 VirusCascade，劫持推荐智能体协同反思以实现定向推广
提出 ToolFence，以能力蓝图和确定性授权拦截 Agent 未授权工具调用
提出免训练框架 SED，将有害智能体轨迹蒸馏为可检索安全策略