攻击arXiv:2605.12673 · 5月12日
UC Berkeley 提出 BenchJack，自动审计 10 个 Agent 基准并发现 219 处奖励作弊缺陷
提出 BENCHJACK，自动审计智能体基准的奖励作弊缺陷
编程 Agent 网页与电脑操作测试Claude Code、OpenAI Codex应用层
摘要论文系统揭示了智能体基准的奖励作弊隐患，提出自动化红队审计与迭代修补系统 BENCHJACK。
论文系统研究了主流 AI 智能体基准评测中的奖励作弊问题，提出了首个针对基准缺陷的自动化红队审计与生成对抗式迭代修补系统 BENCHJACK。
完整解读
攻击arXiv:2609.18217 · 9月16日
研究：跨通道碎片化攻击可绕过 MCP 单通道防御
提出跨通道分段攻击，借 MCP 多通道隐式信任外发敏感数据
编程 Agent测试GPT-4o、GPT-4o-mini、GPT-5.4 等 15 个应用层
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
完整解读
攻击arXiv:2609.39607 · 9月30日
Pretext 攻击绕过 NVIDIA SkillSpector 等 Agent 技能扫描器
提出 PRETEXT，迭代改写技能文本以绕过扫描并执行木马行为
编程 Agent攻击者白盒测试glm (z-ai/glm-5.1)、qwen3t (qwen/qwen3-235b-a22b-thinking-2507)、gpt-oss (openai/gpt-oss-120b) 等 4 个应用层
摘要论文提出了针对多阶段技能检测器的白盒攻击，揭示了单纯依赖大模型自适应检测的局限。
PRETEXT 是一项针对基于“静态规则加语义大模型”的智能体技能安全检测框架的白盒攻击与协同进化评估研究。
完整解读
攻击arXiv:2609.27542 · 9月23日
研究者用控制 token 注入删除 gpt-oss-20b 推理链并绕过思维链监控
提出控制标记注入，清空工具智能体推理链以绕过思维链监控
AI Agent测试openai/gpt-oss-20b、google/gemma-4-26B-A4B-it、deepseek-ai/DeepSeek-R1-Distill-Qwen-7B 等 4 个应用层
摘要论文阐明控制标记注入可抑制 CoT 使监控失效并促成拒绝绕过，且工具执行受解析器宽容度影响。
完整解读
攻击arXiv:2609.28900 · 9月24日
Codetta：面向独立部署 LLM 智能体的高容量无密钥隐蔽串谋协议
提出 CODETTA 隐写框架，使多智能体在审计下隐蔽传载荷
多智能体测试Qwen2.5-7B、Llama-3.1-8B、Ministral-3-8B 等 8 个应用层
摘要提出非对称免密钥隐写框架 CODETTA，实现高容量不可区分通信，指出被动审计面临失效风险。
完整解读
攻击arXiv:2609.22510 · 9月19日
特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent
提出爆炸提示词，用条件触发的间接注入延迟诱发恶意工具调用
AI Agent测试Llama-3.1-8B-Instruct、Llama-3.1-70B-Instruct、Qwen2.5-32B-Instruct 等 14 个应用层
摘要论文揭示了条件触发使提示注入绕过防御并在触发时执行工具，提出轻量检测器并在摄入期有效防范。
论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。
完整解读

已经到底了

Agent 安全 · 论文

攻击类型

攻击技术

模型自身风险

防御类型

影响

系统形态

攻击者权限

攻击面/入口

层

系统组件

被测模型厂商

UC Berkeley 提出 BenchJack，自动审计 10 个 Agent 基准并发现 219 处奖励作弊缺陷

研究：跨通道碎片化攻击可绕过 MCP 单通道防御

Pretext 攻击绕过 NVIDIA SkillSpector 等 Agent 技能扫描器

研究者用控制 token 注入删除 gpt-oss-20b 推理链并绕过思维链监控

Codetta：面向独立部署 LLM 智能体的高容量无密钥隐蔽串谋协议

特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent