防御arXiv 2610.05162
MemAdapter：用反事实适配缓解记忆诱发的谄媚
提出 MemAdapter，在检索后约束记忆对智能体推理的影响
- arXiv
- 2610.05162
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- DeepSeek-V4-Flash、GPT-5.6-sol、Qwen3-8B
摘要检索后三阶段调节记忆角色。
MemAdapter 是给长期记忆智能体用的检索后调节框架，用来处理记忆诱发谄媚。
- 防御arXiv 2610.06966
APEX：在 LLM Agent 执行边界主动防御间接提示注入
提出 APEX，在执行边界用授权契约防御 Agent 间接提示注入
- arXiv
- 2610.06966
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- DeepSeek-V4-Flash、GLM-5.2、GPT-5.6-sol
- 防御arXiv 2610.02861
论文提出在 Kubernetes 上保护 AI Agent 的七层纵深防御框架与参考架构
提出 Kubernetes 运维智能体的七层纵深防御框架与参考架构
- arXiv
- 2610.02861
- 发表
- 层
- 应用层
- 场景
- AI Agent
摘要把运维智能体当不可信租户，用七层控制在完全攻破假设下约束行动。
把 Kubernetes 上的运维智能体当作不可信租户，在假定提示注入已完全控制其工具选择的前提下，用基础设施重建数据面与控制面的边界。要解决的是：智能体读日志、注解、工单或 MCP 工具描述时，这些内容可以变成它带着自身凭据执行的命令。模型对齐和分类器只降低概率。
- 防御arXiv 2610.02664
论文提出 GHOST：长程智能体在良性对话中遗忘早期安全约束
提出 STAR-Guard 双层防御，抑制长程 Agent 遗忘跨轮安全约束
- arXiv
- 2610.02664
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-5.5、DeepSeek-V4-Pro、GLM-5.2 等 7 个
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要揭示 GHOST 跨轮约束遗忘风险，构建 SCARBench 基准并通过 STAR-Guard 双层防御消除违规。
- 防御arXiv 2610.03089
COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构
提出 COBRA 双 LLM 架构，防御计算机使用 Agent 的分支转向攻击
- arXiv
- 2610.03089
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 被测模型
- gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等 6 个
摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
- 防御arXiv 2610.01349
PACE：面向工具调用 LLM Agent 的来源感知能力强制执行
提出 PACE，在工具调用前做路径隔离与效果授权
- arXiv
- 2610.01349
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- gpt-5.6-luna、DeepSeek-V4-Flash、Qwen-3.8-27B
摘要PACE 在工具边界做路径割与效果核验。
PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。
- 防御arXiv 2610.00450
ZoneClaw 用记忆分区防御 OpenClaw 式计算机使用 Agent 的持久记忆攻击
提出 ZoneClaw，用记忆分区防御计算机使用 Agent 的持久记忆攻击
- arXiv
- 2610.00450
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 被测模型
- Claude Sonnet 4.6、GPT-5.5、GLM-5.2 等 4 个
- 防御arXiv 2610.02569
Pincer：用数字分身学习用户偏好并执行动态最小权限
为 Agent 提出资源层授权系统 Pincer，用数字分身执行动态最小权限
- arXiv
- 2610.02569
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude Haiku 4.5、Muse Spark 1.2 Contributor
摘要Pincer 在资源层以三票合取做授权。
Pincer 是加在现成 coding agent 上的资源层授权防御：用只受用户侧信息影响的 digital twin 做动态最小权限，并与 tool-call 层防御并存。要处理的是用户维护策略带来的权限蠕变和授权疲劳，以及不学习用户策略的 tool-call 分类器。作者引述工作称 auto mode 会放行多数不安全操作，并认为推理代码或复杂 shell 的效果在这一层不实际。
- 防御arXiv 2609.39450
ActionGuard：在工具调用执行前拦截被投毒技能
提出 ActionGuard 在执行前拦截被投毒技能诱发的未授权工具调用
- arXiv
- 2609.39450
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Gemma 4 (gemma4:e4b-it-q4_K_M)、Qwen 3.5 (qwen3.5:9b)、Ministral 3 (ministral-3:8b-instruct-2512-q4_K_M) 等 5 个
- 防御arXiv 2609.36603
SED：面向 LLM 智能体的免训练持续安全策略学习框架
提出免训练框架 SED，将有害智能体轨迹蒸馏为可检索安全策略
- arXiv
- 2609.36603
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- DeepSeek-V4-Flash、GLM-5.2、Kimi K3
- 防御arXiv 2609.30824
基于加密绑定身份验证能力令牌协调分布式 AI 智能体的提案
提出身份绑定且委托只衰减的能力令牌，用上下文外钱包约束智能体
- arXiv
- 2609.30824
- 发表
- 层
- 应用层
- 场景
- 多智能体
摘要用只衰减的身份绑定令牌和上下文外钱包，约束代表人类行动的分布式智能体。
代表人类行动的分布式智能体，需要一种不把密钥放进语言模型上下文的授权方式。
- 防御arXiv 2609.22949
多智能体系统提示注入威胁模型与防御架构：14 类攻击向量与四类防御
提出多智能体系统提示注入的威胁模型与四层架构防御
- arXiv
- 2609.22949
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- GPT-4o (2024-08-06)、Claude 3.5 Sonnet、Llama 3 70B-Instruct
- 防御arXiv 2609.19587
红队测试 Auto Mode：用注入与多上下文攻击绕过编码 Agent 阻断监控器
提出 Auto Mode ++，加固编码 Agent 阻断监视器
- arXiv
- 2609.19587
- 发表
- 层
- 应用层
- 被测模型
- Opus 5、Opus 4.8、Opus 4.7 等 8 个
摘要系统评估生产阻断监视器在面对持续恶意智能体时的表现，提出加固防御并指明多上下文防御挑战。
- 防御arXiv 2609.18411
可验证行动卡片 VAC：为智能体浏览器提供可信人在回路确认
提出可验证操作卡 VAC，把智能体浏览器确认绑定到真实 DOM 操作
- arXiv
- 2609.18411
- 发表
- 层
- 应用层
- 被测模型
- gpt-oss-120b、Gemini-2.5-Flash、GPT-4.1 等 6 个
- 防御arXiv 2609.14631
IntentCap 提出按任务意图限定 LLM Agent 权限的机制
提出 IntentCap，按来源字段所有权合成并裁决 Agent 能力租约
- arXiv
- 2609.14631
- 发表
- 层
- 应用层
- 场景
- AI Agent
摘要四源字段租约约束副作用。
IntentCap 是把智能体能力绑到当前任务意图、并按上下文来源划分字段所有权的权限机制。
- 防御arXiv 2609.14003
FlowSeal：用信息流控制阻断 LLM Agent 的隐私泄露
提出 FLOWSEAL，用工具级信息流控制阻断智能体隐私泄露
- arXiv
- 2609.14003
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- DeepSeek-V3.2、GPT-4.1-mini、Gemini-Flash-2.5
摘要作者分析大模型智能体隐私检查与攻击面重合问题，提出外部拦截防御 FLOWSEAL 并验证有效性。
- 防御arXiv 2609.05903
EvoSafeHarness：为 Agent 自动演化模型与领域专属安全护栏
为冻结模型与目标域自动搜索可部署的 Agent 安全 harness
- arXiv
- 2609.05903
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Sonnet 4.6、GLM-5、Kimi-K2.5 等 11 个
- 防御arXiv 2609.05901
KITA：为 LLM Agent 设计密钥隔离的阈值签名授权架构
提出 KITA，把 Agent 批准绑定到规范动作的密钥隔离阈值签名
- arXiv
- 2609.05901
- 发表
- 层
- 应用层
- 场景
- AI Agent
摘要KITA 把隔离的阈值签名当作精确动作的执行条件，并测量门控、相关性与签名开销。
KITA 是一套密钥隔离的阈值授权架构，用来把模型评审变成执行外部动作的条件。
- 防御arXiv 2609.01677
Skill-as-API：面向智能体软件工程的机密多智能体协作协议
提出 Skill-as-API，隔离多智能体协作中的 skill 正文与系统提示词
- arXiv
- 2609.01677
- 发表
- 层
- 应用层
摘要协议把 skill 正文留在所有者侧，四层限制发现内容、权限期限和注入拼接。
Skill-as-API 是面向智能体软件工程的协调协议，用来在跨组织调用时把 skill 的代码和系统提示词留在所有者进程。作者针对三条威胁：经通道或命名空间抽取专有方法，用注入让被调用模型输出系统提示词，以及协作结束后权限继续保留。
- 防御arXiv 2609.29647
AgentKernel：面向 Agent 的可信原生操作系统内核
提出 AgentKernel，用四支柱强制中介 Agent 的输入、工具与记忆
- arXiv
- 2609.29647
- 发表
- 层
- 应用层
- 场景
- AI Agent
摘要AgentKernel 是四支柱智能体 OS 设计，安全论证未附带实测数字。
AgentKernel 是把安全做成组织原则的智能体 OS 架构，不是带跑分的攻防评测。