跳到正文
10月9日 · 周五

Agent 安全 · 论文

找到 17 篇
筛选5

攻击类型

提示注入8投毒与后门3提取与窃取1检测规避1

攻击技术

自动化搜索2针对防御2潜伏触发2

模型自身风险

欺骗与谋划1奖励作弊2Agent 危险操作3拒答失当1

防御类型

检测与过滤1指令与数据隔离2权限与审批7监控与审计2

影响

越权操作7数据与隐私泄露3可用性与可靠性1监督失效5

系统形态

模型与 API1LLM 应用5AI Agent68编程 Agent12网页与电脑操作2多智能体8

攻击者权限

黑盒1灰盒1

攻击面/入口

用户输入2网页与界面1工具返回1工具与技能描述3代码仓库与依赖3检索语料1记忆写入2Agent 间消息3分发渠道1

层

模型层1应用层16

系统组件

MCP 与技能19记忆11RAG1护栏与评审5监控器20推理链3权限与沙箱10微调与开源权重2视觉1多模态1

被测模型厂商

Anthropic9Qwen（阿里）8OpenAI7DeepSeek6Google6其他10
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 247 篇还没打标签，不在筛选结果里。
系统形态：编程 Agent系统形态：多智能体系统组件：护栏与评审系统组件：推理链系统组件：权限与沙箱话题：Agent 安全清除全部

另有 247 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2608.09732

    ColluSkill 用跨技能组合绕过 Agent 技能扫描器

    提出 ColluSkill 跨技能组合攻击，拆分恶意载荷以绕过技能扫描器

    arXiv
    2608.09732
    发表
    层
    应用层
    场景
    编程 Agent
    攻击者
    黑盒、灰盒
    测试
    GPT-5.5、DeepSeek-V4-Pro、GLM-5.2

    摘要论文揭示了单技能孤立扫描的盲区，提出多技能链攻击 ColluSkill 与上下文防御 ChainGuard 并验证了有效性。

    深度解读完整解读
  4. 防御arXiv 2609.38983

    论文提出 Approval Laundering 分类，实测 Claude Code 审批与执行绑定失败

    提出 Approval Token 绑定编程智能体的审批与执行

    arXiv
    2609.38983
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude Code (v2.1.197, opus[1m] / claude-sonnet-5-ccmax)、Codex CLI (@openai/codex v0.154.0)

    摘要系统揭示编程智能体审批洗白风险，提出七字段权能防御机制，证实其能消除身份时序偏离但难防副作用偏离。

    深度解读完整解读
  5. 评测与基准arXiv 2607.05462

    BioSecBench-Refusal：面向智能体生物安全风险评估的配对基准

    提出 BioSecBench-Refusal，评测智能体生物安全拒答是否对准风险

    arXiv
    2607.05462
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Opus 4.8、Opus 4.7、Opus 4.6 等 10 个
    摘要配对基准显示拒绝多由 API 触发，合法任务常被拒得不少于隐蔽危害。

    BioSecBench-Refusal 把生物研发智能体的谨慎程度和识别隐蔽危害的能力放在同一套任务上测量。

    深度解读完整解读
  6. 攻击arXiv 2610.00392

    A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型

    提出 A2A-TIBA 间接提示注入，诱导智能体部署常驻回调并外传数据

    arXiv
    2610.00392
    发表
    层
    应用层
    场景
    多智能体、编程 Agent
    测试
    MiniMax-M3、deepseek-v4-pro、glm-5.3 等 8 个
    摘要A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。

    A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。

    深度解读完整解读
  7. 防御arXiv 2609.01677

    Skill-as-API：面向智能体软件工程的机密多智能体协作协议

    提出 Skill-as-API，防止协作通道泄露 skill 代码与系统提示词

    arXiv
    2609.01677
    发表
    层
    应用层
    场景
    多智能体、编程 Agent
    摘要协议把 skill 正文留在所有者侧，四层限制发现内容、权限期限和注入拼接。

    Skill-as-API 是面向智能体软件工程的协调协议，用来在跨组织调用时把 skill 的代码和系统提示词留在所有者进程。作者针对三条威胁：经通道或命名空间抽取专有方法，用注入让被调用模型输出系统提示词，以及协作结束后权限继续保留。

    深度解读完整解读
  9. 评测与基准arXiv 2609.34262

    论文提出基准完整性维护框架，审计 Agent 通过轨迹中的非应得通过

    提出过程核验框架，审计 Agent 基准的无根据通过与奖励黑客

    arXiv
    2609.34262
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Opus 4.7、Opus 4.8、Opus 5 等 11 个
    摘要审计通过轨迹、分开奖励黑客与验证器弱点，并用重放加现场重测验收修复。

    Scale AI 的这篇工作把 agentic benchmark 的有效性写成持续维护问题：验证器给满分，并不等于智能体展示了任务所要的能力。

    深度解读完整解读
  10. 评测与基准arXiv 2608.07556

    MasDrift：跨多智能体架构的授权保持基准

    用 MasDrift 评测多智能体架构的授权保持

    arXiv
    2608.07556
    发表
    层
    应用层
    场景
    多智能体
    测试
    DeepSeek V4 Flash、Qwen3.7 Plus、GPT-5.4 Nano 等 6 个
    摘要授权保持可被测量：层级用未授权动作换完成率，重锚定比沿链携带更稳。

    MasDrift 把多智能体设计中的授权保持做成可测量性质，对象是没有攻击者的普通委托。

    深度解读完整解读
  11. 防御arXiv 2609.17648

    多智能体 LLM 流水线中的信任传播与结构隔离

    提出任务绑定令牌与策略预言机，在多智能体流水线中拦截未授权执行

    arXiv
    2609.17648
    发表
    层
    应用层
    场景
    多智能体
    测试
    gemma4:31b-cloud
    摘要结构性授权拦住了记忆投毒的未授权执行，持密钥时承重的是策略预言机。

    作者在一条会改写沙箱邮件库的四智能体流水线上，检查低权限失陷会不会变成未授权的真实动作。

    深度解读完整解读
  12. 防御arXiv 2609.30824

    基于加密绑定身份验证能力令牌协调分布式 AI 智能体的提案

    提出身份绑定且只收窄的能力令牌，用上下文外钱包约束智能体

    arXiv
    2609.30824
    发表
    层
    应用层
    场景
    多智能体
    摘要用只衰减的身份绑定令牌和上下文外钱包，约束代表人类行动的分布式智能体。

    代表人类行动的分布式智能体，需要一种不把密钥放进语言模型上下文的授权方式。

    深度解读完整解读
  16. 防御arXiv 2609.35659

    Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统

    提出 Tracekit，对编码 Agent 做防篡改的意图-推理-动作审计

    arXiv
    2609.35659
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）
    摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。

    Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。

    深度解读完整解读
已经到底了