评测与基准arXiv 2610.11942
LGWM：用动作条件世界模型验证 GUI 智能体的屏幕转移
提出 LGWM，用动作条件世界模型核验 GUI 智能体屏幕转移
- arXiv
- 2610.11942
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 被测模型
- LGWM
- 评测与基准arXiv 2610.07639
HarnessSecurity-Bench 横向评测六款编码智能体框架的安全机制
评测编码智能体 harness 安全机制在对抗任务中的防护效果
- arXiv
- 2610.07639
- 发表
- 层
- 应用层
- 评测与基准arXiv 2610.07359
论文实测 Agent 工具调用门控栈的失败相关性
提出 nmult 并评测 Agent 动作门禁堆叠的错误相关性
- arXiv
- 2610.07359
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- AgentTrust runtime (174 rules)、GPT-5.5 (gpt55)、claude-haiku-4-5-20251001 等 7 个
- 风险Agent 危险操作
- 组件权限与沙箱
摘要论文实测发现大模型裁判间错误显著相关，作者主张按机制选型并在整栈层面度量防护增益。
论文是一项针对智能体动作拦截防御堆叠故障关联性与实际组合价值的实证测量研究。
- 评测与基准arXiv 2610.06171
ControlPed 生成逼真行人危险动作场景，七款端到端驾驶模型 HDScore 从 88.8 降至 47.4
提出 ControlPed 与 HazardPed，生成可控行人危险场景并评测端到端驾驶
- arXiv
- 2610.06171
- 发表
- 层
- 模型层
- 场景
- 具身与机器人
- 被测模型
- DiffusionDrive、SSR、VAD 等 7 个
- 组件视频
- 评测与基准arXiv 2610.05840
研究：任务范围授权可将工具调用有害执行降至零
用配对回放评测任务范围授权能否阻断越权工具执行
- arXiv
- 2610.05840
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Llama 3.2 3B Instruct Q4 K M、Qwen3 4B Instruct、Gemma 3 4B 等 8 个
- 评测与基准arXiv 2610.03938
论文发现多模态模型启用工具后拒答失败率最高上升 68.7%
评测 ReAct 工具调用对多模态模型拒答有害请求的削弱
- arXiv
- 2610.03938
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Gemini-2.5-Pro、Gemini-3.1-Pro-Preview、Claude Opus 4.6 等 13 个
摘要论文揭示了工具调用范式削弱 MLLM 拒答能力的现象，分析了稀释与偏移机制并验证了重注缓解方案。
论文系统评估了智能体工具调用范式对多模态大语言模型拒答能力的影响，指出了工具增强视觉推理背后的安全隐患。核心探讨的问题在于：当 MLLM 从单次推理转向通过 ReAct 循环调用外部工具（打标、缩放、OCR、代码执行）时，工具使用机制本身是否会降低模型拒答有害请求的概率。
- 评测与基准arXiv 2610.02664
论文提出 GHOST：长程智能体在良性对话中遗忘早期安全约束
提出 STAR-Guard 双层防御，抑制长程 Agent 遗忘跨轮安全约束
- arXiv
- 2610.02664
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-5.5、DeepSeek-V4-Pro、GLM-5.2 等 7 个
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要揭示 GHOST 跨轮约束遗忘风险，构建 SCARBench 基准并通过 STAR-Guard 双层防御消除违规。
- 评测与基准arXiv 2610.00392
A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型
提出 A2A-TIBA，经 A2A 对等任务间接注入并植入常驻回调
- arXiv
- 2610.00392
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- MiniMax-M3、deepseek-v4-pro、glm-5.3 等 8 个
摘要A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。
A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
- 评测与基准arXiv 2609.38948
DrivingBench 发布：让视觉语言模型驾驶丰田 Corolla 绕桩
提出 DrivingBench，评测通用视觉语言模型能否闭环驾驶真车
- arXiv
- 2609.38948
- 发表
- 层
- 应用层
- 场景
- 具身与机器人
- 被测模型
- GPT-6 Astra、Claude Fable 5.1、Grok 4.6 等 4 个
- 组件视觉
摘要仅 Astra 第二次跑完低速锥桶路线。
DrivingBench 评测通用 VLM 能否自己闭环开真车，推理延迟也算进任务。
- 评测与基准arXiv 2610.06898
DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准
用 DIBench 评测移动 GUI 智能体被 UI 注入后的决策完整性
- arXiv
- 2610.06898
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 被测模型
- Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个
摘要论文提出移动智能体决策完整性基准 DIBench，发现欺诈 UI 注入诱导目标选择并推高完成率，通用防御收益不稳定。
- 评测与基准arXiv 2609.35557
论文：容器、权限规则与沙箱都无法区分读取研究代码的是编译器还是编码 Agent
评测容器、权限规则与沙箱能否区分编译器与编码 Agent 的文件读取
- arXiv
- 2609.35557
- 发表
- 层
- 应用层
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要此 harness 表达不了编译器可读而智能体不可读，五条路径两边都不覆盖。
作者在物理流求解器上检查一套编码智能体配置：编译器必须读本组材料与反应模型，这些字节又不得进入模型上下文或离开本机的记录。
- 评测与基准arXiv 2609.35922
VoxParity 评测：语音智能体在需要听声判断时仍按文字行事
提出 VoxParity，固定转写只改音频，评测语音智能体是否按行业规则改工具调用
- arXiv
- 2609.35922
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- MiMo-V2.6-Pro、gemini-3.7-flash、Qwen3.8-Omni 等 15 个
- 风险Agent 危险操作
- 组件音频
摘要VoxParity 用固定转写的音频对比和 words-only null，测量语音智能体是否按所听内容改变工具调用。
VoxParity 测量语音智能体在词语不变、只有声音改变时，是否按行业规则改它所执行的工具调用。
- 评测与基准arXiv 2609.37501
RegLLM：面向受监管智能体 AI 的有限自主性诊断测试框架
提出 REGLLM 框架，评测受监管智能体何时作答或升级
- arXiv
- 2609.37501
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Qwen2.5-3B
- 风险Agent 危险操作
- 组件权限与沙箱
摘要REGLLM 把升级对错做成可核验信号，并在 smoke 规模上看到适配器方向被运行方差淹没。
REGLLM 是诊断有界自主的框架，示例是 UK FCA 合规智能体。作者把它做成 smoke 规模演示，而不是完整基准验证。
- 评测与基准arXiv 2609.35912
MMSkillRisk：多模态技能图像中的隐藏指令可诱导 Agent 执行未授权操作
提出 MMSkillRisk 基准，评测多模态技能图像中的隐藏指令诱导 Agent 越权操作
- arXiv
- 2609.35912
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.6-sol、Kimi-K2.6、Kimi-K3 等 6 个
摘要论文提出 MMSkillRisk 基准与 NCVA 攻击，揭示多模态技能中教学图像潜藏指令可引发未授权操作并与良性任务共存。
- 评测与基准arXiv 2609.26900
Ajar：在 AgentDojo 上测量 Agent 防御中未关闭的权限
提出 Ajar，测量 Agent 防御对任务不需要的工具调用的放行
- arXiv
- 2609.26900
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Sonnet-5、Haiku-4.5
- 风险Agent 危险操作
- 组件权限与沙箱
摘要Ajar 用宿主基准的真值给防御的开放权限打分，OPL 独立于攻击成功和效用。
Ajar 量的是智能体防御留下的开放权限：任务不需要、但防御仍会允许的工具调用。
- 评测与基准arXiv 2609.22076
APort Vault 发布：用 4,371 条人工攻击评测 AI Agent 支付授权
构建 APort Vault 基准，对比支付智能体模型拒答与确定性授权
- arXiv
- 2609.22076
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude Fable 5.1、Claude Sonnet 5、Claude Haiku 4.5 等 14 个
- 评测与基准arXiv 2609.09404
MMPIBench：多模态提示注入对六种 Agent 框架的跨框架评测
用 MMPIBench 评测多模态提示注入对 Agent 框架的影响
- arXiv
- 2609.09404
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude Opus 4.8、GPT-5.4、Gemini 3.1 Pro 等 6 个
摘要论文提出 MMPIBench 评测多模态提示注入对智能体的影响，发现模型主导行为、尝试远超完成，音频通道缺乏防护。
- 评测与基准arXiv 2608.09476
ActBench：面向协作智能体行为安全的自演化基准
构建自演化基准 ActBench，评测协作智能体的行为安全
- arXiv
- 2608.09476
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude-Opus-4.8、Claude-Sonnet-4.6、GPT-5.5 等 15 个
摘要ActBench 通过自演化搜索与双证据重构评测轨迹行为安全，揭示基础模型决策差异主导了协同智能体的操作风险。
- 评测与基准arXiv 2608.07556
MasDrift：跨多智能体架构的授权保持基准
提出 MasDrift，评测多智能体在良性任务中的授权保持
- arXiv
- 2608.07556
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- DeepSeek V4 Flash、Qwen3.7 Plus、GPT-5.4 Nano 等 6 个
- 风险Agent 危险操作
- 组件权限与沙箱
摘要授权保持可被测量：层级用未授权动作换完成率，重锚定比沿链携带更稳。
MasDrift 把多智能体设计中的授权保持做成可测量性质，对象是没有攻击者的普通委托。
- 评测与基准arXiv 2605.14859
论文提出 AuthBench 基准，评测编码 Agent 能否推断最小权限边界
提出 AuthBench 评测编码 Agent 最小权限，并验证充足性-紧缩性分解
- arXiv
- 2605.14859
- 发表
- 层
- 应用层
- 被测模型
- GPT-5、GPT-5.3-Codex、GPT-5.4 等 9 个
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要论文提出权限边界推断基准与两阶段分解方法，有效降低安全暴露。
本文研究代码智能体在执行终端任务前自主推断最小文件权限边界的能力。