跳到正文
10月8日 · 周四

提示注入 · 论文

找到 7 篇
筛选3

攻击类型

越狱1提示注入6投毒与后门1

攻击技术

潜伏触发3

模型自身风险

Agent 危险操作1

防御类型

指令与数据隔离3权限与审批4监控与审计1

影响

越权操作5数据与隐私泄露1输出被操纵1

系统形态

AI Agent7编程 Agent4网页与电脑操作1多智能体1

攻击面/入口

用户输入2网页与界面2文档与消息1工具返回4工具与技能描述2代码仓库与依赖3记忆写入1Agent 间消息1

层

应用层7

系统组件

MCP 与技能6记忆4RAG1护栏与评审5监控器4推理链3权限与沙箱7微调与开源权重0视觉3音频1多模态3

被测模型厂商

OpenAI9Qwen（阿里）8Anthropic7Google7DeepSeek6其他12
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 45 篇还没打标签，不在筛选结果里。
系统组件：权限与沙箱系统组件：微调与开源权重被测模型厂商：Anthropic话题：提示注入清除全部

另有 45 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 防御arXiv 2609.11757

    研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

    提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策

    arXiv
    2609.11757
    发表
    层
    应用层
    场景
    AI Agent
    测试
    claude-opus-5、claude-sonnet-4.6、gemini-2.5-flash-lite 等 15 个

    摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。

    深度解读完整解读
  2. 防御arXiv 2610.03089

    COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构

    提出 COBRA 双 LLM 架构，防御计算机使用智能体的分支转向攻击

    arXiv
    2610.03089
    发表
    层
    应用层
    场景
    网页与电脑操作
    测试
    claude-sonnet-5、gpt-5、UI-TARS-1.5-7B 等 6 个

    摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。

    深度解读完整解读
  4. 攻击arXiv 2610.00392

    A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型

    提出 A2A-TIBA 间接提示注入，诱导智能体部署常驻回调并外传数据

    arXiv
    2610.00392
    发表
    层
    应用层
    场景
    多智能体、编程 Agent
    测试
    Claude Code CLI 2.1.90、MiniMax-M3、deepseek-v4-pro 等 8 个
    摘要A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。

    A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。

    深度解读完整解读
  7. 防御arXiv 2609.35659

    Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统

    提出 Tracekit，对编码 Agent 做防篡改的意图-推理-动作审计

    arXiv
    2609.35659
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）
    摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。

    Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。

    深度解读完整解读
已经到底了