防御arXiv 2609.117579月10日
研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御
提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策
arXiv
2609.11757
发表
9月10日
层
应用层
场景
AI Agent
测试
gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
深度解读完整解读
防御arXiv 2610.0308910月2日
COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构
提出 COBRA 双 LLM 架构，防御计算机使用智能体的分支转向攻击
arXiv
2610.03089
发表
10月2日
层
应用层
场景
网页与电脑操作
测试
gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等 6 个
- 防御指令与数据隔离
- 组件权限与沙箱
摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
深度解读完整解读
防御arXiv 2608.300418月31日
SkillGuard：面向间接提示注入的 LLM Agent 能力限制机制
提出 SkillGuard，用可达性切断污染后通往禁止状态的技能调用
arXiv
2608.30041
发表
8月31日
层
应用层
场景
AI Agent
测试
Gemini 2.5 Flash、Llama3.3-70B
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2610.0079710月2日
Sapien：面向自主 AI 智能体的有状态策略引擎
提出有状态策略引擎 Sapien，拦截被劫持智能体的越权工具调用
arXiv
2610.00797
发表
10月2日
层
应用层
场景
AI Agent
测试
Gemini 3.8 Flash、Gemini 3.1 Pro、Claude Sonnet 5 等 4 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要Sapien 用有状态上下文策略约束工具序列，在近似保住效用的同时拦住多数被劫持轨迹。
Sapien 是面向通用 AI 智能体的有状态策略引擎：执行前把用户提示词译成任务策略，运行时只放行该策略承认的工具调用序列。
深度解读完整解读
防御arXiv 2609.225739月19日
研究提出面向企业 MCP 的零信任授权与工具发现方案
提出企业 MCP 的零信任授权扩展，拒绝提示注入下的越权工具调用
arXiv
2609.22573
发表
9月19日
层
应用层
场景
AI Agent
测试
gpt-5、claude-sonnet-4-6、claude-opus-4-7 等 6 个
- 防御权限与审批
- 攻击提示注入
- 组件MCP 与技能
摘要同一份按工具声明同时管 MCP 的发现、列表和调用，使注入不能扩大已有凭证的权限。
作者把零信任放在 MCP 工具调用边界：智能体即使被提示注入，也不能调用其凭证范围之外的工具。问题来自三点部署性质。调用意图会随不可信上下文改变。
深度解读完整解读
防御arXiv 2609.059039月5日
EvoSafeHarness：为 Agent 自动演化模型与领域专属安全护栏
提出 EvoSafeHarness，为冻结模型与目标域自动搜索安全 harness
arXiv
2609.05903
发表
9月5日
层
应用层
场景
AI Agent
测试
Sonnet 4.6、GLM-5、Kimi-K2.5 等 10 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2609.244469月21日
ActGov：用策略约束校验治理 LLM Agent 的工具动作
提出 ActGov，在工具执行前用确定性策略拦截间接提示注入
arXiv
2609.24446
发表
9月21日
层
应用层
场景
AI Agent
测试
Qwen3.6-flash、MiniMax-M2.5、DeepSeek-v4-pro 等 5 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2609.310399月25日
MetaPermit：通过 LLM 推断元属性为 AI Agent 提供可扩展可审计的访问控制
提出 MetaPermit，用元属性与固定策略挡住工具返回中的间接提示注入
arXiv
2609.31039
发表
9月25日
层
应用层
场景
AI Agent
测试
MiniMax-M2.7、Qwen3-235B-a22-2507、Qwen3-8B
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要MetaPermit 用固定策略评估 LLM 推断的元属性，在两个开源模型上把攻击成功压到接近零并保留更多效用。
MetaPermit 是面向工具使用 LLM 智能体的混合访问控制：LLM 描述候选调用，固定策略决定是否放行。
深度解读完整解读
防御arXiv 2609.361219月29日
Render Before Reading：把不可信内容渲染成图像以防御提示注入
提出 Pictionary，将不可信文本渲染为图像以防御提示注入
arXiv
2609.36121
发表
9月29日
层
应用层
场景
AI Agent
测试
Claude Opus 4.7、Claude Haiku 4.5、GPT-5.5 等 12 个
- 防御指令与数据隔离
- 攻击提示注入
- 组件视觉
深度解读完整解读
防御arXiv 2609.356599月29日
Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统
提出 Tracekit，对编码 Agent 做防篡改的意图-推理-动作审计
arXiv
2609.35659
发表
9月29日
层
应用层
场景
编程 Agent
测试
Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）
- 防御监控与审计
- 攻击提示注入
- 风险Agent 危险操作
- 组件监控器
摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。
Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。
深度解读完整解读
防御arXiv 2609.371969月29日
ToolFence：为工具调用 LLM Agent 提供细粒度授权
提出 ToolFence 能力级授权，执行前编译蓝图并确定性拦截工具调用
arXiv
2609.37196
发表
9月29日
层
应用层
场景
AI Agent
测试
Qwen3-max、GPT-4o (gpt-4o-2024-08-06)、Mistral-Small-3.1-24B-Instruct-2503
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读

已经到底了