防御arXiv 2609.117579月10日
研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御
提出 A-VIP，将购物意图绑定到支付授权以阻断商户文本操控
arXiv
2609.11757
发表
9月10日
层
应用层
场景
AI Agent
测试
gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
深度解读完整解读
攻击arXiv 2610.0902710月7日
P-VMI：对抗图像经 KV cache 持续影响多轮对话
提出持久视觉记忆注入，使对抗图像经缓存在触发时操控输出
arXiv
2610.09027
发表
10月7日
层
基础设施层
场景
模型与 API
测试
Qwen3-8B、Qwen3-VL-8B-Instruct、Gemma-4-12B 等 4 个
- 攻击提示注入
- 技术潜伏触发
- 组件视觉
摘要论文提出 P-VMI，证实对抗输入被掩蔽后仍可经 KV 缓存持久控制模型，强调了保留状态的安全风险。
深度解读完整解读
评测与基准arXiv 2610.068989月29日
DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准
提出 DIBench，评测界面注入对移动智能体选择决策的操纵
arXiv
2610.06898
发表
9月29日
层
应用层
场景
网页与电脑操作
测试
Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个
- 攻击提示注入
- 技术跨模态载荷
- 组件视觉
摘要论文提出移动智能体决策完整性基准 DIBench，发现欺诈 UI 注入诱导目标选择并推高完成率，通用防御收益不稳定。
深度解读完整解读
攻击arXiv 2610.0764510月6日
SkillPoison：用成功经验投毒自进化 Agent 的技能形成
提出 SkillPoison，用局部有效的成功经验投毒自进化智能体的技能形成
arXiv
2610.07645
发表
10月6日
层
应用层
场景
AI Agent
测试
deepseek-v4-flash、Qwen V3.8 Flash、GPT-5.5
- 攻击投毒与后门
- 技术潜伏触发
- 组件记忆
摘要SkillPoison 通过局部有效且验证成功的经验诱导技能过度泛化，在多个评测基准上实现了持久的下游攻击影响。
SkillPoison 提出了一种针对自进化智能体经验到技能形成过程的攻击范式，通过组织已验证的成功经验诱导技能过度泛化。
深度解读完整解读
评测与基准arXiv 2610.0344810月2日
研究重测 15 个提示注入检测器：基准分数难以预测 Agent 部署表现
重评提示注入检测器，检验基准分数对智能体部署的预测力
arXiv
2610.03448
发表
10月2日
层
应用层
场景
AI Agent
测试
Horizon-Labs、Wolf Defender、Prismor-1.5B 等 15 个
- 防御检测与过滤
- 攻击提示注入
- 组件护栏与评审
摘要论文揭示公开基准无法反映智能体检测器表现，检测能力源于输入格式相似而非通用防御，建议基于工具输出与低误报评测。
深度解读完整解读
攻击arXiv 2607.123407月14日
研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击
提出技能名抢注攻击，利用智能体虚构技能名劫持技能供应链
arXiv
2607.12340
发表
7月14日
层
应用层
场景
编程 Agent
测试
GLM-4.5-Air、GPT-5.4-mini、Claude Sonnet 4.6 等 10 个
- 攻击投毒与后门
- 风险幻觉与编造
- 技术诱导选用
- 组件MCP 与技能
摘要研究证实智能体虚构技能名具有高发生率与可预测性，现有防御难以兼顾安全与效用，亟需注册表结构性防护。
本研究系统揭示了大模型智能体技能推荐场景下的虚构技能名称安全风险，将其形式化为一种新型供应链抢注攻击。
深度解读完整解读
防御arXiv 2608.215008月22日
SecOPD 用同策略蒸馏把自适应提示注入攻击成功率降至 9.0%
提出 SecOPD 同策略蒸馏微调，降低模型对自适应提示注入的顺从
arXiv
2608.21500
发表
8月22日
层
应用层
场景
AI Agent
测试
Qwen3.6-27B (Undefended)、Meta-SecAlign、SecOPD
- 防御模型加固
- 攻击提示注入
深度解读完整解读
攻击arXiv 2607.051897月6日
研究者提出 MemGhost，对持久化个人 Agent 实现隐蔽记忆注入
提出 MEMGHOST，以单封恶意邮件向持久个人智能体注入隐蔽记忆
arXiv
2607.05189
发表
7月6日
层
应用层
场景
AI Agent
测试
GPT-5.4、Claude Sonnet 4.6、Claude Sonnet 4.5 等 6 个
- 攻击投毒与后门
- 技术潜伏触发
- 组件记忆
摘要总结了论文的研究背景、双代理优化方法 MEMGHOST、全周期实验结果以及作者对记忆信任边界的启示。
本文研究了持久化个人智能体面临的隐蔽记忆注入威胁，提出了一套兼顾写入、隐蔽与跨会话生效的自动化生成框架与全周期评测基准。
深度解读完整解读
攻击arXiv 2609.286139月24日
研究：提示注入可改变 Jev 决策模型的行动概率
测量间接提示注入对类型化概率决策的动作劫持
arXiv
2609.28613
发表
9月24日
层
应用层
场景
模型与 API
测试
jev-1.13.0
- 攻击提示注入
- 技术自动化搜索
摘要封闭动作集改变提示注入的表现，但没有去掉概率被不可信内容移动的风险。
作者在 jev-1.13.0 上研究 decision hijacking：不可信内容能否在用户任务和可选动作都不变时，把类型化决策推向攻击者目标。
深度解读完整解读
防御arXiv 2609.107079月10日
面向 AI-SOC 的神经符号防御框架：用 SIEM 解码器与 NeMo Guardrails 阻断日志投毒提示注入
提出神经符号纵深架构，阻断 AI-SOC 的日志投毒与间接提示注入
arXiv
2609.10707
发表
9月10日
层
应用层
场景
LLM 应用
测试
Gemma 3 (12B)
- 防御检测与过滤
- 攻击提示注入
- 组件护栏与评审
深度解读完整解读
评测与基准arXiv 2609.055879月5日
研究评测 14 个模型对不可靠工具的过度依赖
评测 Agent 对不可靠工具返回的过度依赖
arXiv
2609.05587
发表
9月5日
层
应用层
场景
AI Agent
测试
Qwen3-235B、Qwen3-235B-Think、Qwen3-30B 等 15 个
- 攻击提示注入
摘要三种工具的污染返回常被写入答案。
作者评测 LLM 智能体是否会采纳不可靠的工具返回。现有工具基准多假定返回正确，而搜索综合、子智能体报告和代码执行都可能把错误内容交给智能体。评测只改答案相关内容。
深度解读完整解读
评测与基准arXiv 2609.391469月30日
MADBench：多智能体辩论安全性评测基准发布
发布 MADBench，评测多智能体辩论会吸收还是放大对抗影响
arXiv
2609.39146
发表
9月30日
层
应用层
场景
多智能体
测试
gpt-4o、GPT-5、GPT-6 Astra
- 攻击提示注入
- 组件RAG
摘要MADBench 显示辩论能吸收部分准确率攻击，同时放大未授权读写。
MADBench 是一个评测多智能体辩论安全性的基准，用来看攻击是被辩论吸收还是被放大。
深度解读完整解读
攻击arXiv 2609.382709月29日
VirusCascade：劫持 LLM 推荐智能体的协同反思机制
提出 VirusCascade，劫持推荐智能体协同反思以定向推广物品
arXiv
2609.38270
发表
9月29日
层
应用层
场景
多智能体
测试
GPT-4o-mini、AgentCF、AgentRAG 等 8 个
- 攻击投毒与后门
- 技术潜伏触发
- 组件记忆
深度解读完整解读
评测与基准arXiv 2608.284118月28日
LongPIBench：面向长上下文提示注入的评测基准
提出 LongPIBench，评测长文档场景下的提示注入攻击与防御
arXiv
2608.28411
发表
8月28日
层
应用层
场景
LLM 应用
测试
Llama-3.1-8B-Instruct、Llama-3.2-3B-Instruct、Apertus-8B-Instruct 等 11 个
- 攻击提示注入
摘要论文构建长文本提示注入基准 LongPIBench，揭示启发式与优化攻击在长文档中的高有效性及现有防御的大幅失效。
深度解读完整解读
防御arXiv 2609.210889月18日
Provenance-Aware Transformers：用来源感知架构分离可信边界以防御间接提示注入
提出 Provenance-Aware Transformers，隔离不可信来源防御间接提示注入
arXiv
2609.21088
发表
9月18日
层
应用层
场景
LLM 应用
测试
SmolLM2-360M-Instruct、LLaMA-3-8B-Instruct、Qwen2.5-7B-Instruct 等 4 个
- 防御指令与数据隔离
- 攻击提示注入
深度解读完整解读

已经到底了