防御arXiv 2609.117579月10日
研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御
提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策
arXiv
2609.11757
发表
9月10日
层
应用层
场景
AI Agent
测试
gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
深度解读完整解读
评测与基准arXiv 2610.0763910月6日
HarnessSecurity-Bench 横向评测六款编码智能体框架的安全机制
提出 HARNESSSECURITY-BENCH 评测编码智能体框架的安全机制
arXiv
2610.07639
发表
10月6日
层
应用层
场景
编程 Agent
测试
GLM-5.2、Qwen3.8-27B、Claude Opus 4.8 等 4 个
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2610.0450410月3日
论文提出 VAL 框架：相同 ASR 的 LLM Agent 防御可能对应不同安全保证
提出 VAL 防御栈，用确认门与参数沙箱约束 Agent 的高风险工具调用
arXiv
2610.04504
发表
10月3日
层
应用层
场景
AI Agent
测试
DeepSeek-chat、Meta Llama 3.1 8B、Kimi
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
评测与基准arXiv 2608.094768月10日
ActBench：面向协作智能体行为安全的自演化基准
提出自演化基准 ActBench，评测协作智能体的操作级行为安全
arXiv
2608.09476
发表
8月10日
层
应用层
场景
AI Agent
测试
Claude-Opus-4.8、Claude-Sonnet-4.6、GPT-5.5 等 15 个
- 攻击提示注入
- 组件记忆
摘要ActBench 通过自演化搜索与双证据重构评测轨迹行为安全，揭示基础模型决策差异主导了协同智能体的操作风险。
深度解读完整解读
攻击arXiv 2608.293818月30日
研究者提出 Agent 检查点回滚的五类安全失效，并在 Hermes、Cline、LangGraph 上实现三种攻击
提出利用检查点回滚破坏智能体执行连续性的攻击
arXiv
2608.29381
发表
8月30日
层
应用层
场景
AI Agent
测试
DeepSeek-v4
- 组件权限与沙箱
摘要论文系统研究了智能体 C/R 的安全性，分析了合法回滚破坏执行连续性的机理，并实证评估了其普遍性与危害。
深度解读完整解读
防御arXiv 2608.300418月31日
SkillGuard：面向间接提示注入的 LLM Agent 能力限制机制
提出 SkillGuard，用可达性切断污染后通往禁止状态的技能调用
arXiv
2608.30041
发表
8月31日
层
应用层
场景
AI Agent
测试
Gemini 2.5 Flash、Llama3.3-70B
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2610.0079710月2日
Sapien：面向自主 AI 智能体的有状态策略引擎
提出有状态策略引擎 Sapien，拦截被劫持智能体的越权工具调用
arXiv
2610.00797
发表
10月2日
层
应用层
场景
AI Agent
测试
Gemini 3.8 Flash、Gemini 3.1 Pro、Claude Sonnet 5 等 4 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要Sapien 用有状态上下文策略约束工具序列，在近似保住效用的同时拦住多数被劫持轨迹。
Sapien 是面向通用 AI 智能体的有状态策略引擎：执行前把用户提示词译成任务策略，运行时只放行该策略承认的工具调用序列。
深度解读完整解读
防御arXiv 2609.225739月19日
研究提出面向企业 MCP 的零信任授权与工具发现方案
提出企业 MCP 的零信任授权扩展，拒绝提示注入下的越权工具调用
arXiv
2609.22573
发表
9月19日
层
应用层
场景
AI Agent
测试
gpt-5、claude-sonnet-4-6、claude-opus-4-7 等 6 个
- 防御权限与审批
- 攻击提示注入
- 组件MCP 与技能
摘要同一份按工具声明同时管 MCP 的发现、列表和调用，使注入不能扩大已有凭证的权限。
作者把零信任放在 MCP 工具调用边界：智能体即使被提示注入，也不能调用其凭证范围之外的工具。问题来自三点部署性质。调用意图会随不可信上下文改变。
深度解读完整解读
防御arXiv 2609.059039月5日
EvoSafeHarness：为 Agent 自动演化模型与领域专属安全护栏
提出 EvoSafeHarness，为冻结模型与目标域自动搜索安全 harness
arXiv
2609.05903
发表
9月5日
层
应用层
场景
AI Agent
测试
Sonnet 4.6、GLM-5、Kimi-K2.5 等 10 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2609.176489月15日
多智能体 LLM 流水线中的信任传播与结构隔离
提出任务绑定令牌与策略预言机，在多智能体流水线中拦截未授权执行
arXiv
2609.17648
发表
9月15日
层
应用层
场景
多智能体
测试
gemma4:31b-cloud
- 防御权限与审批
- 攻击投毒与后门
- 组件权限与沙箱
摘要结构性授权拦住了记忆投毒的未授权执行，持密钥时承重的是策略预言机。
作者在一条会改写沙箱邮件库的四智能体流水线上，检查低权限失陷会不会变成未授权的真实动作。
深度解读完整解读
防御arXiv 2609.244469月21日
ActGov：用策略约束校验治理 LLM Agent 的工具动作
提出 ActGov，在工具执行前用确定性策略拦截间接提示注入
arXiv
2609.24446
发表
9月21日
层
应用层
场景
AI Agent
测试
Qwen3.6-flash、MiniMax-M2.5、DeepSeek-v4-pro 等 5 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2609.310399月25日
MetaPermit：通过 LLM 推断元属性为 AI Agent 提供可扩展可审计的访问控制
提出 MetaPermit，用元属性与固定策略挡住工具返回中的间接提示注入
arXiv
2609.31039
发表
9月25日
层
应用层
场景
AI Agent
测试
MiniMax-M2.7、Qwen3-235B-a22-2507、Qwen3-8B
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要MetaPermit 用固定策略评估 LLM 推断的元属性，在两个开源模型上把攻击成功压到接近零并保留更多效用。
MetaPermit 是面向工具使用 LLM 智能体的混合访问控制：LLM 描述候选调用，固定策略决定是否放行。
深度解读完整解读
防御arXiv 2609.356599月29日
Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统
提出 Tracekit，对编码 Agent 做防篡改的意图-推理-动作审计
arXiv
2609.35659
发表
9月29日
层
应用层
场景
编程 Agent
测试
Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）
- 防御监控与审计
- 攻击提示注入
- 风险Agent 危险操作
- 组件监控器
摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。
Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。
深度解读完整解读
防御arXiv 2609.371969月29日
ToolFence：为工具调用 LLM Agent 提供细粒度授权
提出 ToolFence 能力级授权，执行前编译蓝图并确定性拦截工具调用
arXiv
2609.37196
发表
9月29日
层
应用层
场景
AI Agent
测试
Qwen3-max、GPT-4o (gpt-4o-2024-08-06)、Mistral-Small-3.1-24B-Instruct-2503
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读

已经到底了