跳到正文
10月8日 · 周四

Agent 安全 · 论文

找到 24 篇
筛选3

攻击类型

越狱4提示注入13投毒与后门2提取与窃取1

模型自身风险

Agent 危险操作6

防御类型

模型加固1检测与过滤3指令与数据隔离9权限与审批24监控与审计2

影响

越权操作19数据与隐私泄露3输出被操纵2

系统形态

LLM 应用1AI Agent23编程 Agent3网页与电脑操作2多智能体3

攻击面/入口

用户输入9网页与界面5文档与消息3工具返回9工具与技能描述3检索语料1记忆写入2Agent 间消息1分发渠道1

层

应用层24

系统组件

MCP 与技能8记忆1监控器1权限与沙箱24

被测模型厂商

OpenAI15Google12Anthropic10DeepSeek9Qwen（阿里）9Kimi（月之暗面）7Meta5智谱 GLM5其他8
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 307 篇还没打标签，不在筛选结果里。
防御类型：权限与审批系统组件：记忆系统组件：权限与沙箱话题：Agent 安全清除全部

另有 307 篇论文还没打上分类标签，暂不在筛选结果里。

  2. 防御arXiv 2609.11757

    研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

    提出 A-VIP，将购物意图绑定到支付授权以阻断商户文本操控

    arXiv
    2609.11757
    发表
    层
    应用层
    场景
    AI Agent
    测试
    gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个

    摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。

    深度解读完整解读
  5. 防御arXiv 2609.12001

    Pheo 提出 OATS：用确定性解析器在运行时治理 Agent 技能动作

    提出 OATS，用确定性解析器在运行时治理技能动作

    arXiv
    2609.12001
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude Sonnet 5、GPT-5.5、gpt-5-mini 等 4 个

    摘要论文论证了发布时恶意扫描无法替代运行时动作许可控制，提出了轻量确定性控制门 OATS，展示了双层防御组合的必要性。

    深度解读完整解读
  7. 防御arXiv 2610.03089

    COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构

    提出 COBRA 双 LLM 架构，防御计算机使用智能体的分支转向攻击

    arXiv
    2610.03089
    发表
    层
    应用层
    场景
    网页与电脑操作
    测试
    gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等 6 个

    摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。

    深度解读完整解读
  8. 防御arXiv 2609.38983

    论文提出 Approval Laundering 分类，实测 Claude Code 审批与执行绑定失败

    提出 Approval Token 绑定编程智能体的审批与执行

    arXiv
    2609.38983
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude Code (v2.1.197, opus[1m] / claude-sonnet-5-ccmax)、Codex CLI (@openai/codex v0.154.0)

    摘要系统揭示编程智能体审批洗白风险，提出七字段权能防御机制，证实其能消除身份时序偏离但难防副作用偏离。

    深度解读完整解读
  9. 防御arXiv 2607.13716

    CAVA：面向智能体 AI 运行时治理的规范动作验证与证明

    提出 CAVA，把异构智能体运行时事件规范成可哈希动作并绑定审批与回执

    arXiv
    2607.13716
    发表
    层
    应用层
    场景
    AI Agent
    摘要CAVA 用规范动作指纹承接异构运行时治理。

    CAVA 是给异构智能体运行时用的动作语义层，用来回答“被批准和被审计的到底是哪一个动作”。

    深度解读完整解读
  10. 防御arXiv 2608.21101

    ClawSentry：面向自主 LLM Agent 的渐进式多层安全监控网关

    提出多层监控网关 ClawSentry，拦截恶意技能供应链与上下文注入

    arXiv
    2608.21101
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Codex/GPT-5.4、Codex/GPT-5.5、Claude Code/GLM-5.1 等 7 个
    摘要ClawSentry 用包准入、三级运行时门控和反绕过，压低 skill 攻击并保住干净任务。

    ClawSentry 是挂在智能体运行时之外的安全监督网关，用来同时盖住 skill 执行的多个生命周期边界，并把已被拒绝的效果记到会话里。

    深度解读完整解读
  12. 防御arXiv 2610.00797

    Sapien：面向自主 AI 智能体的有状态策略引擎

    提出有状态策略引擎 Sapien，拦截被劫持智能体的越权工具调用

    arXiv
    2610.00797
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Gemini 3.8 Flash、Gemini 3.1 Pro、Claude Sonnet 5 等 4 个
    摘要Sapien 用有状态上下文策略约束工具序列，在近似保住效用的同时拦住多数被劫持轨迹。

    Sapien 是面向通用 AI 智能体的有状态策略引擎：执行前把用户提示词译成任务策略，运行时只放行该策略承认的工具调用序列。

    深度解读完整解读
  14. 防御arXiv 2609.14003

    FlowSeal：用信息流控制阻断 LLM Agent 的隐私泄露

    提出 FLOWSEAL，在工具边界以信息流控制阻断智能体隐私泄露

    arXiv
    2609.14003
    发表
    层
    应用层
    场景
    AI Agent
    测试
    DeepSeek-V3.2、DeepSeek-R1、GPT-4.1-mini 等 4 个

    摘要作者分析大模型智能体隐私检查与攻击面重合问题，提出外部拦截防御 FLOWSEAL 并验证有效性。

    深度解读完整解读
  15. 防御arXiv 2609.22573

    研究提出面向企业 MCP 的零信任授权与工具发现方案

    提出企业 MCP 的零信任授权扩展，拒绝提示注入下的越权工具调用

    arXiv
    2609.22573
    发表
    层
    应用层
    场景
    AI Agent
    测试
    gpt-5、claude-sonnet-4-6、claude-opus-4-7 等 6 个
    摘要同一份按工具声明同时管 MCP 的发现、列表和调用，使注入不能扩大已有凭证的权限。

    作者把零信任放在 MCP 工具调用边界：智能体即使被提示注入，也不能调用其凭证范围之外的工具。问题来自三点部署性质。调用意图会随不可信上下文改变。

    深度解读完整解读
  16. 评测与基准arXiv 2608.07556

    MasDrift：跨多智能体架构的授权保持基准

    用 MasDrift 评测多智能体架构的授权保持

    arXiv
    2608.07556
    发表
    层
    应用层
    场景
    多智能体
    测试
    DeepSeek V4 Flash、Qwen3.7 Plus、GPT-5.4 Nano 等 6 个
    摘要授权保持可被测量：层级用未授权动作换完成率，重锚定比沿链携带更稳。

    MasDrift 把多智能体设计中的授权保持做成可测量性质，对象是没有攻击者的普通委托。

    深度解读完整解读
  18. 防御arXiv 2609.17648

    多智能体 LLM 流水线中的信任传播与结构隔离

    提出任务绑定令牌与策略预言机，在多智能体流水线中拦截未授权执行

    arXiv
    2609.17648
    发表
    层
    应用层
    场景
    多智能体
    测试
    gemma4:31b-cloud
    摘要结构性授权拦住了记忆投毒的未授权执行，持密钥时承重的是策略预言机。

    作者在一条会改写沙箱邮件库的四智能体流水线上，检查低权限失陷会不会变成未授权的真实动作。

    深度解读完整解读
加载更多