防御arXiv 2609.117579月10日
研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御
提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策
arXiv
2609.11757
发表
9月10日
层
应用层
场景
AI Agent
测试
gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
深度解读完整解读
攻击arXiv 2609.012229月1日
研究者提出上下文权限提升攻击，12 款 Agent 框架均受影响
提出上下文特权提升攻击，借助记忆、技能与仓库内容操纵编程智能体
arXiv
2609.01222
发表
9月1日
层
应用层
场景
编程 Agent
测试
GPT-5.5、GPT-5.4 mini、Claude-Sonnet-4.6 等 7 个
- 攻击提示注入
- 技术潜伏触发
- 组件记忆
深度解读完整解读
攻击arXiv 2608.238588月25日
研究者对 Google AP2 v0.2 做系统安全分析，识别 48 项威胁
系统分析智能体支付协议 AP2，揭示合法签名无法阻止前置上下文操纵
arXiv
2608.23858
发表
8月25日
层
应用层
场景
AI Agent
测试
gpt-5.3、gpt-5.5
- 攻击提示注入
- 组件MCP 与技能
深度解读完整解读
防御arXiv 2608.300418月31日
SkillGuard：面向间接提示注入的 LLM Agent 能力限制机制
提出 SkillGuard，用可达性切断污染后通往禁止状态的技能调用
arXiv
2608.30041
发表
8月31日
层
应用层
场景
AI Agent
测试
Gemini 2.5 Flash、Llama3.3-70B
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
攻击arXiv 2610.0039210月2日
A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型
提出 A2A-TIBA 间接提示注入，诱导智能体部署常驻回调并外传数据
arXiv
2610.00392
发表
10月2日
层
应用层
场景
多智能体、编程 Agent
测试
MiniMax-M3、deepseek-v4-pro、glm-5.3 等 8 个
- 攻击提示注入
- 技术潜伏触发
- 组件MCP 与技能
摘要A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。
A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
深度解读完整解读
防御arXiv 2609.059039月5日
EvoSafeHarness：为 Agent 自动演化模型与领域专属安全护栏
提出 EvoSafeHarness，为冻结模型与目标域自动搜索安全 harness
arXiv
2609.05903
发表
9月5日
层
应用层
场景
AI Agent
测试
Sonnet 4.6、GLM-5、Kimi-K2.5 等 10 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2609.176489月15日
多智能体 LLM 流水线中的信任传播与结构隔离
提出任务绑定令牌与策略预言机，在多智能体流水线中拦截未授权执行
arXiv
2609.17648
发表
9月15日
层
应用层
场景
多智能体
测试
gemma4:31b-cloud
- 防御权限与审批
- 攻击投毒与后门
- 组件权限与沙箱
摘要结构性授权拦住了记忆投毒的未授权执行，持密钥时承重的是策略预言机。
作者在一条会改写沙箱邮件库的四智能体流水线上，检查低权限失陷会不会变成未授权的真实动作。
深度解读完整解读
防御arXiv 2609.184119月16日
可验证行动卡片 VAC：为智能体浏览器提供可信人在回路确认
提出 VAC，用真实操作参数与来源隔离保护智能体浏览器确认
arXiv
2609.18411
发表
9月16日
层
应用层
场景
网页与电脑操作
测试
gpt-oss-120b、Gemini-2.5-Flash、GPT-4.1 等 6 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2609.244469月21日
ActGov：用策略约束校验治理 LLM Agent 的工具动作
提出 ActGov，在工具执行前用确定性策略拦截间接提示注入
arXiv
2609.24446
发表
9月21日
层
应用层
场景
AI Agent
测试
Qwen3.6-flash、MiniMax-M2.5、DeepSeek-v4-pro 等 5 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2609.308249月25日
基于加密绑定身份验证能力令牌协调分布式 AI 智能体的提案
提出身份绑定且只收窄的能力令牌，用上下文外钱包约束智能体
arXiv
2609.30824
发表
9月25日
层
应用层
场景
多智能体
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要用只衰减的身份绑定令牌和上下文外钱包，约束代表人类行动的分布式智能体。
代表人类行动的分布式智能体，需要一种不把密钥放进语言模型上下文的授权方式。
深度解读完整解读
防御arXiv 2609.310399月25日
MetaPermit：通过 LLM 推断元属性为 AI Agent 提供可扩展可审计的访问控制
提出 MetaPermit，用元属性与固定策略挡住工具返回中的间接提示注入
arXiv
2609.31039
发表
9月25日
层
应用层
场景
AI Agent
测试
MiniMax-M2.7、Qwen3-235B-a22-2507、Qwen3-8B
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要MetaPermit 用固定策略评估 LLM 推断的元属性，在两个开源模型上把攻击成功压到接近零并保留更多效用。
MetaPermit 是面向工具使用 LLM 智能体的混合访问控制：LLM 描述候选调用，固定策略决定是否放行。
深度解读完整解读
评测与基准arXiv 2609.326919月26日
研究审计 Agent 安全评测缺陷：工具调用中介在间接提示注入下的有效评测框架
提出卡点评测框架，以实参级谓词审计间接提示注入评测的测量偏差
arXiv
2609.32691
发表
9月26日
层
应用层
场景
AI Agent
测试
gpt-5.6-terra、llama3.1:8b、gemma4:12b 等 4 个
- 攻击提示注入
- 组件权限与沙箱
摘要论文揭示了 IPI 评测中导致指标虚高的系统性缺陷，通过构建有效评测框架纠正了多项安全与模型能力结论。
深度解读完整解读
攻击arXiv 2609.339109月28日
论文提出残留授权重放攻击：长期运行 Agent 的授权可跨任务复用
提出残余权限重放攻击，跨任务复用已批准授权绕过确认
arXiv
2609.33910
发表
9月28日
层
应用层
场景
编程 Agent
测试
GPT-4.1、Gemini-3.1-Flash-Lite、Qwen3-14B 等 9 个
- 攻击提示注入
- 技术潜伏触发
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2609.356599月29日
Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统
提出 Tracekit，对编码 Agent 做防篡改的意图-推理-动作审计
arXiv
2609.35659
发表
9月29日
层
应用层
场景
编程 Agent
测试
Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）
- 防御监控与审计
- 攻击提示注入
- 风险Agent 危险操作
- 组件监控器
摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。
Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。
深度解读完整解读
防御arXiv 2609.371969月29日
ToolFence：为工具调用 LLM Agent 提供细粒度授权
提出 ToolFence 能力级授权，执行前编译蓝图并确定性拦截工具调用
arXiv
2609.37196
发表
9月29日
层
应用层
场景
AI Agent
测试
Qwen3-max、GPT-4o (gpt-4o-2024-08-06)、Mistral-Small-3.1-24B-Instruct-2503
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读

已经到底了