攻击arXiv 2610.08098
CORSA：面向技能路由器的技能注入攻击可跨路由器与 LLM 迁移
提出 CORSA，按任务簇优化技能注入的检索与执行
- arXiv
- 2610.08098
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.4、DeepSeek-V4-Pro、Qwen3.8-27B 等 5 个
- 攻击arXiv 2610.01768
LLMLeak：借 LLM 合法网页抓取实施隐蔽数据外泄
提出 LLMLeak，把机密编进报错 URL 借网页抓取外泄
- arXiv
- 2610.01768
- 发表
- 层
- 应用层
- 场景
- AI Agent
摘要LLMLeak 用报错 URL 借聊天机器人抓取外传秘密。
LLMLeak 研究一种隐蔽外传：本地恶意软件已拿到机密，却因为网络限制或监控不能直接连接攻击者，于是把秘密放进看起来像排障文档的 URL，让良性聊天机器人的网页抓取工具在访问时把秘密带出去。
- 攻击arXiv 2609.36576
AdaLCPI：让 Agent 从长上下文碎片中重建间接提示注入
提出 AdaLCPI，把恶意指令拆成碎片嵌入工具返回并诱导 Agent 越权执行
- arXiv
- 2609.36576
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-4.1、GPT-5.1、GPT-5.6-Luna 等 7 个
- 评测与基准arXiv 2609.35912
MMSkillRisk：多模态技能图像中的隐藏指令可诱导 Agent 执行未授权操作
提出 MMSkillRisk 基准，评测多模态技能图像中的隐藏指令诱导 Agent 越权操作
- arXiv
- 2609.35912
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.6-sol、Kimi-K2.6、Kimi-K3 等 6 个
摘要论文提出 MMSkillRisk 基准与 NCVA 攻击，揭示多模态技能中教学图像潜藏指令可引发未授权操作并与良性任务共存。
- 攻击arXiv 2609.30383
研究者提出技能级联攻击
提出技能级联攻击，把有害目标拆散到多个技能里绕过单技能扫描
- arXiv
- 2609.30383
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-5.4、GPT-5.4 Mini、Claude Opus 4.6 等 11 个
摘要论文探讨了多技能智能体系统面临的技能级联攻击风险，提出自动化红队框架与基准集，指出跨技能交互存在安全防护盲区。
- 攻击arXiv 2609.27542
研究者用控制 token 注入删除 gpt-oss-20b 推理链并绕过思维链监控
提出控制标记注入，清空工具 Agent 的思维链以绕过推理监控
- arXiv
- 2609.27542
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- openai/gpt-oss-20b、google/gemma-4-26B-A4B-it、deepseek-ai/DeepSeek-R1-Distill-Qwen-7B 等 4 个
摘要论文阐明控制标记注入可抑制 CoT 使监控失效并促成拒绝绕过，且工具执行受解析器宽容度影响。
- 攻击arXiv 2609.26761
A2M：针对 MCP 生态的两阶段 Agent 劫持框架
提出两阶段框架 A2M，优化 MCP 工具元数据与返回载荷以劫持 Agent
- arXiv
- 2609.26761
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GLM-4.6、Qwen3-Max、DeepSeek-V3.1 等 5 个
- 攻击arXiv 2609.18217
研究：跨通道碎片化攻击可绕过 MCP 单通道防御
提出跨通道分段攻击，利用 MCP 隐式信任外发敏感文件
- arXiv
- 2609.18217
- 发表
- 层
- 应用层
- 被测模型
- GPT-4o、GPT-4o-mini、GPT-5.4 等 15 个
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
- 攻击arXiv 2608.27800
ContextLeak：通过恶意工具窃取 LLM Agent 运行时上下文
提出 ContextLeak，用强化学习优化恶意工具描述，诱导 Agent 外泄运行时上下文
- arXiv
- 2608.27800
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Qwen-3-8B、GPT-OSS-20B、Gemma-4-E4B-it 等 11 个
- 攻击arXiv 2608.25776
EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播
提出 EVOMAL，诱导自演化编码 Agent 在创建技能时自我投毒并蠕虫传播
- arXiv
- 2608.25776
- 发表
- 层
- 应用层
- 被测模型
- Devstral-Small-2、Gemma-4-31B-IT、Qwen3-Coder-Next 等 7 个
摘要论文指出了自演化智能体模仿检索代码的自我毒化漏洞，提出 EVOMAL 攻击与防御，阐明了供应链新风险。
- 攻击arXiv 2608.12273
研究者提出 Convergent Detour Hijacking 攻击，可让技能型 LLM Agent 绕路并放大资源消耗
提出 CDH 攻击，让技能型 Agent 绕路放大资源消耗
- arXiv
- 2608.12273
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude-Haiku-4.5、DeepSeek-V4-Pro、DeepSeek-V4-Flash 等 6 个
摘要CDH 让静态技能在保持任务完成时拉高调用与 token，耗时则因后端而异。
CDH 是针对渐进披露技能智能体的发布者侧、纯文本攻击：一个静态协调器把本可正确完成的任务，拐进有界但更耗资源的技能绕路，再交还原任务。
- 攻击arXiv 2607.14493
LogInject 框架披露 LLM 日志分析中的被动提示注入
提出 LogInject 框架，评测日志分析中的被动提示注入及缓解
- arXiv
- 2607.14493
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- GPT-4o、Claude 3.5 Sonnet、Llama-3-70B-Instruct
摘要论文评估了 LLM 日志分析中的上下文污染风险，提出分片拼接等攻击与三层防御，指出必须结合架构隔离与人工介入。
- 攻击arXiv 2607.12340
研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击
提出技能名称抢注攻击，利用 Agent 虚构技能名实施供应链劫持
- arXiv
- 2607.12340
- 发表
- 层
- 应用层
- 被测模型
- GLM-4.5-Air、GPT-5.4-mini、Claude Sonnet 4.6 等 12 个
摘要研究证实智能体虚构技能名具有高发生率与可预测性，现有防御难以兼顾安全与效用，亟需注册表结构性防护。
本研究系统揭示了大模型智能体技能推荐场景下的虚构技能名称安全风险，将其形式化为一种新型供应链抢注攻击。
- 攻击arXiv 2607.00422
KidnapRAG：黑盒投毒攻击劫持 Agentic RAG 的推理链
提出 KidnapRAG，用投毒文档黑盒劫持 Agentic RAG 的推理链
- arXiv
- 2607.00422
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Qwen2.5-32B-Instruct、Llama-3.3-70B-Instruct、QwQ-32B 等 5 个
摘要顺序投毒可把多步推理拖向指定应答，作者称关键在持续引导而非单次注入。
KidnapRAG 是针对 Agentic RAG 的 black-box 语料投毒：攻击者不能访问模型、提示词、检索器或私有轨迹，只能发布可能被检索的文档，并利用公开界面上的推理与搜索查询。
- 攻击arXiv 2606.21732
研究者提出 relinking 漏洞：LLM Agent 压缩边界可被拼出恶意指令
提出 Relink 攻击，在 Agent 压缩边界将分散良性片段重组为恶意指令
- arXiv
- 2606.21732
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Gemma-4-31B-it、GPT-OSS-20B、Qwen3.6-27B 等 15 个
摘要论文指出提示词压缩引入重链漏洞，提出 RELINK 攻击工具与 KBRA 边界审计防御，证明压缩边界应作为关键安全边界。
本文研究了智能体基于摘要的提示词压缩所引入的新型安全漏洞——重链（Relinking），并提出了系统化的攻击构建方法与边界审计防御机制。
- 攻击arXiv 2602.18514
招聘中的特洛伊木马：标准模型与推理模型间接提示注入的红队测试案例研究
用简历中的不可见指令做间接提示注入，操纵招聘推荐
- arXiv
- 2602.18514
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Qwen 3 30B A3B Instruct 2507、Qwen 3 30B A3B Thinking 2507
摘要作者称推理在简单注入下会帮攻击圆谎，在不合逻辑的复杂注入下又会把欺骗漏出来。
- 攻击arXiv 2507.10457
论文提出 LPCI：针对 Agent 逻辑层与持久记忆的提示控制注入攻击
提出 LPCI，把延迟条件载荷写入记忆与检索库以跨会话触发
- arXiv
- 2507.10457
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- ChatGPT、Claude、LLaMA3 等 8 个
摘要作者定义 LPCI。
作者把LPCI定义为针对智能体逻辑执行、记忆留存和工具集成的跨阶段漏洞类，而不是单次输入上的提示改写。
已经到底了