跳到正文
10月8日 · 周四

提示注入 · 论文

找到 25 篇
筛选3

攻击类型

越狱5提示注入25投毒与后门4提取与窃取2恶意使用1

攻击技术

自动化搜索5编码与混淆1跨模态载荷2针对防御1潜伏触发6诱导选用1

模型自身风险

欺骗与谋划1失准与价值偏离1Agent 危险操作1

防御类型

检测与过滤2指令与数据隔离6权限与审批3监控与审计3

影响

越权操作17数据与隐私泄露4输出被操纵2监督失效1

系统形态

LLM 应用1AI Agent24编程 Agent8网页与电脑操作2多智能体4

攻击者权限

黑盒1

攻击面/入口

用户输入6网页与界面5文档与消息6工具返回12工具与技能描述5代码仓库与依赖6记忆写入4Agent 间消息3图像与音视频2分发渠道1

层

应用层25

系统组件

MCP 与技能5记忆5护栏与评审2监控器4推理链1权限与沙箱6视觉3音频1多模态3

被测模型厂商

OpenAI35Qwen（阿里）33Anthropic24Meta24Google23DeepSeek19智谱 GLM10Kimi（月之暗面）8Mistral8xAI6Microsoft6MiniMax5其他21
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 45 篇还没打标签，不在筛选结果里。
攻击类型：提示注入被测模型厂商：Anthropic被测模型厂商：Kimi（月之暗面）话题：提示注入清除全部

另有 45 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2608.04741

    LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

    提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

    arXiv
    2608.04741
    发表
    层
    应用层
    场景
    网页与电脑操作
    测试
    Claude Sonnet 4、GPT-4o、Gemini 3 Flash 等 7 个

    摘要揭示网络智能体在黑盒网页下的登录诱导风险，利用模糊测试生成话术并跨骨干和架构验证了隐私泄露威胁。

    深度解读完整解读
  2. 防御arXiv 2609.11757

    研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

    提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策

    arXiv
    2609.11757
    发表
    层
    应用层
    场景
    AI Agent
    测试
    claude-opus-5、claude-sonnet-4.6、kimi-k3 等 15 个

    摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。

    深度解读完整解读
  3. 防御arXiv 2610.05640

    研究揭示 CaMeL 防护在多智能体系统中失效并提出 multi-CaMeL

    提出 multi-CaMeL，在多智能体调用边界隔离可信指令与不可信数据

    arXiv
    2610.05640
    发表
    层
    应用层
    场景
    多智能体
    测试
    Claude Fable 5、GPT-5.5、GPT-4.1 等 6 个

    摘要论文针对多智能体中单体防御不组合的边界清洗问题，提出 multi-CaMeL 协议彻底阻断了 MultiAgentDojo 上的注入攻击。

    深度解读完整解读
  4. 防御arXiv 2610.05163

    研究者在 Claude Code 和 Codex 上构造分段提示注入并发布边界动作审计基准

    提出 PAA 路径对齐归因，审计编程智能体边界动作前的分段提示注入

    arXiv
    2610.05163
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude Code (v2.1.172, Claude Sonnet 5)、Claude Sonnet 5、Claude Opus 4.8 等 7 个
    摘要论文针对长流程注入提出边界动作审计与 PAA，在保持低误阻的同时实现高拦截率。

    本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。

    深度解读完整解读
  5. 攻击arXiv 2609.18217

    研究：跨通道碎片化攻击可绕过 MCP 单通道防御

    提出跨通道分段攻击，借 MCP 多通道隐式信任外发敏感数据

    arXiv
    2609.18217
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude Haiku 4.5、Kimi-K2.5、Sonnet 4.6 等 15 个

    摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。

    深度解读完整解读
  6. 评测与基准arXiv 2609.09404

    MMPIBench：多模态提示注入对六种 Agent 框架的跨框架评测

    用 MMPIBench 评测智能体框架的多模态提示注入

    arXiv
    2609.09404
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Claude Opus 4.8、GPT-5.4、Gemini 3.1 Pro 等 6 个

    摘要论文提出 MMPIBench 评测多模态提示注入对智能体的影响，发现模型主导行为、尝试远超完成，音频通道缺乏防护。

    深度解读完整解读
  8. 攻击arXiv 2607.05189

    研究者提出 MemGhost，对持久化个人 Agent 实现隐蔽记忆注入

    提出 MEMGHOST，以单封恶意邮件向持久个人智能体注入隐蔽记忆

    arXiv
    2607.05189
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Claude Sonnet 4.6、Claude Sonnet 4.5、GPT-5.4 等 6 个
    摘要总结了论文的研究背景、双代理优化方法 MEMGHOST、全周期实验结果以及作者对记忆信任边界的启示。

    本文研究了持久化个人智能体面临的隐蔽记忆注入威胁，提出了一套兼顾写入、隐蔽与跨会话生效的自动化生成框架与全周期评测基准。

    深度解读完整解读
  11. 评测与基准arXiv 2607.14611

    论文评测 Claude Code 与 Codex 记忆文件中的提示注入风险

    评测编码智能体记忆文件中的提示注入及其跨会话持久性

    arXiv
    2607.14611
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude Haiku 4.5、Claude Opus 4.7、GPT-5.2 等 4 个
    摘要已植入记忆文件的载荷可以跨会话影响 Claude Code 与 Codex，攻击成功与载荷是否留下是两种不同的失败。

    Bad Memory 在沙箱合成工作区里评测文件型持久记忆上的提示注入，比较载荷能否改变当前会话，以及能否在后续会话中留下或叠加。

    深度解读完整解读
  13. 攻击arXiv 2610.00392

    A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型

    提出 A2A-TIBA 间接提示注入，诱导智能体部署常驻回调并外传数据

    arXiv
    2610.00392
    发表
    层
    应用层
    场景
    多智能体、编程 Agent
    测试
    kimi-k2.7-code、Claude Code CLI 2.1.90、MiniMax-M3 等 8 个
    摘要A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。

    A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。

    深度解读完整解读
  14. 攻击arXiv 2609.04533

    Repeat-After-Me：针对黑盒 VLM 的自适应视觉提示注入攻击

    提出 Repeat-After-Me，以图像前缀诱导智能体调用工具或泄露隐私

    arXiv
    2609.04533
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Claude-Opus-4.7、Claude-Opus-4.6、GPT-5.5 等 11 个

    摘要论文提出了针对黑盒 VLM 的前缀诱导自适应视觉提示注入，在多款模型上诱发了工具调用与隐私泄露。

    深度解读完整解读
  15. 防御arXiv 2609.18674

    CaMeLoT：用 CTL 时序逻辑在执行前静态验证 Agent 计划

    提出 CaMeLoT，在执行前用 CTL 静态验证 Agent 计划

    arXiv
    2609.18674
    发表
    层
    应用层
    场景
    AI Agent
    测试
    claude-haiku-4-5-20251001、Claude Haiku 4.5、Claude Sonnet 4.5 等 5 个
    摘要CaMeLoT 在执行前用 CTL 模型检验补上 CaMeL 缺少的整段执行规范，并用反例修复计划。

    CaMeLoT 是 CaMeL 的神经符号扩展：在工具调用之前，用模型检验判断受限 Python 计划是否满足时序安全策略和从提示词抽出的任务性质。

    深度解读完整解读
  19. 评测与基准arXiv 2609.17320

    Emergence World：对长时程多智能体系统开展对抗压力测试

    构建 Emergence World，评测长时程多智能体对抗韧性与群体失效

    arXiv
    2609.17320
    发表
    层
    应用层
    场景
    多智能体
    测试
    Claude Opus 4.8、DeepSeek v4 Pro、Gemini 3.5 Flash 等 9 个

    摘要作者通过长期平行世界实验指出模型对齐不具备可组合性，单模型群体会产生社会奉承、协同退缩及语言不透明等失效。

    深度解读完整解读
  20. 攻击arXiv 2609.22510

    特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

    提出爆炸提示词，用条件触发的间接注入延迟诱发恶意工具调用

    arXiv
    2609.22510
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Anthropic Claude Code CLI、Llama-3.1-8B-Instruct、Llama-3.1-70B-Instruct 等 14 个
    摘要论文揭示了条件触发使提示注入绕过防御并在触发时执行工具，提出轻量检测器并在摄入期有效防范。

    论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。

    深度解读完整解读
加载更多