另有 35 篇论文还没打上分类标签，暂不在筛选结果里。
提出路径对齐归因 PAA，在边界动作前审计长流程智能体的分段提示注入
本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。
用 MMPIBench 评测智能体框架的多模态提示注入
摘要论文提出 MMPIBench 评测多模态提示注入对智能体的影响，发现模型主导行为、尝试远超完成，音频通道缺乏防护。
提出 Mind2Web-Injection，评测网页 Agent 截图护栏的证据对齐
Mind2Web-Injection 用来检查网页截图护栏的判决是否对齐到该用的画面证据。。
提出 AgentKernel，强制中介 Agent 的身份、感知、认知与执行
AgentKernel 是把安全做成组织原则的智能体 OS 架构，不是带跑分的攻防评测。
提出 ZoneClaw，用信任区隔离计算机使用 Agent 的持久记忆权限
提出 MEMGHOST，以单封恶意邮件向持久个人智能体注入隐蔽记忆
本文研究了持久化个人智能体面临的隐蔽记忆注入威胁，提出了一套兼顾写入、隐蔽与跨会话生效的自动化生成框架与全周期评测基准。
提出 M-CPE 与 X-CPE 两类上下文特权提升攻击
评测编码智能体记忆文件中的提示注入及其跨会话持久性
Bad Memory 在沙箱合成工作区里评测文件型持久记忆上的提示注入，比较载荷能否改变当前会话，以及能否在后续会话中留下或叠加。
提出类型化溯源与断言护栏，约束持久 Agent 的自传断言释放
提出 Repeat-After-Me，以图像前缀诱导智能体调用工具或泄露隐私
摘要论文提出了针对黑盒 VLM 的前缀诱导自适应视觉提示注入，在多款模型上诱发了工具调用与隐私泄露。
研究提出"内核管理共享内存"，由智能体系统内核而非单个智能体统一负责记忆检索、隐私执行与提示注入。
kernel-managed shared memory 把多智能体的检索、隐私和注入收进 agent-system kernel，并在 AIOS 上与三种替代方案比较。
提出 Auto Mode ++，加固编码 Agent 的阻断监视器
摘要系统评估生产阻断监视器在面对持续恶意智能体时的表现，提出加固防御并指明多上下文防御挑战。
提出持久记忆投毒攻击 PMPA，诱导智能体将外部恶意指令写入记忆并跨会话泄露隐私
摘要论文提出了持久记忆投毒攻击 PMPA，报告了 harness 智能体在处理外部数据时易受跨会话记忆投毒与隐私泄露的风险。
提出 ActGuard，在执行前审计并遮盖诱发动作偏离的间接注入
构建 Emergence World，评测长时程多智能体对抗韧性与群体失效
摘要作者通过长期平行世界实验指出模型对齐不具备可组合性，单模型群体会产生社会奉承、协同退缩及语言不透明等失效。
提出任务绑定令牌与策略预言机，在多智能体流水线中拦截未授权执行
作者在一条会改写沙箱邮件库的四智能体流水线上，检查低权限失陷会不会变成未授权的真实动作。
形式化视频透视头显中系统截图与人眼视野的错配
提出 ORBIT 框架，评测多智能体系统中的攻击、合谋与多类防御
摘要ORBIT 用六层配置比较多智能体防御，逐动作监控不迁移到合谋。
提出免训练框架 SED，把智能体有害轨迹蒸馏成可检索安全策略
提出 Pictionary，将不可信文本渲染为图像以防御提示注入