跳到正文
10月8日 · 周四

Agent 安全 · 论文

找到 18 篇
筛选3

攻击类型

越狱2提示注入10投毒与后门2提取与窃取1

攻击技术

潜伏触发4诱导选用1

模型自身风险

欺骗与谋划1奖励作弊1失准与价值偏离1Agent 危险操作3

防御类型

指令与数据隔离5权限与审批9

影响

越权操作13数据与隐私泄露2输出被操纵2监督失效1

系统形态

AI Agent18编程 Agent6多智能体2

攻击面/入口

用户输入7网页与界面1文档与消息2工具返回4工具与技能描述6代码仓库与依赖3记忆写入3Agent 间消息1分发渠道1

层

应用层18

系统组件

MCP 与技能26记忆17RAG4护栏与评审8监控器11推理链2权限与沙箱18微调与开源权重1视觉4音频1多模态4

被测模型厂商

OpenAI24Anthropic21Google17Qwen（阿里）17DeepSeek16Kimi（月之暗面）12智谱 GLM10Meta9其他17
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 275 篇还没打标签，不在筛选结果里。
系统组件：权限与沙箱被测模型厂商：DeepSeek被测模型厂商：xAI话题：Agent 安全清除全部

另有 275 篇论文还没打上分类标签，暂不在筛选结果里。

  2. 防御arXiv 2609.11757

    研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

    提出 A-VIP，将购物意图绑定到支付授权以阻断商户文本操控

    arXiv
    2609.11757
    发表
    层
    应用层
    场景
    AI Agent
    测试
    deepseek-v4-pro、gemini-2.5-flash-lite、gemini-3.1-flash-lite 等 15 个

    摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。

    深度解读完整解读
  3. 评测与基准arXiv 2610.07359

    论文实测 Agent 工具调用门控栈的失败相关性

    提出 nmult 指标，测量智能体动作门禁堆叠的错误相关性与等效层数

    arXiv
    2610.07359
    发表
    层
    应用层
    场景
    AI Agent
    测试
    deepseek-v4-flash、GPT-5.5 (gpt55)、claude-haiku-4-5-20251001 等 6 个
    摘要论文实测发现大模型裁判间错误显著相关，作者主张按机制选型并在整栈层面度量防护增益。

    论文是一项针对智能体动作拦截防御堆叠故障关联性与实际组合价值的实证测量研究。

    深度解读完整解读
  8. 攻击arXiv 2608.29381

    研究者提出 Agent 检查点回滚的五类安全失效，并在 Hermes、Cline、LangGraph 上实现三种攻击

    提出破坏执行连续性的回滚攻击，揭示检查点恢复的安全故障

    arXiv
    2608.29381
    发表
    层
    应用层
    场景
    AI Agent
    测试
    DeepSeek-v4

    摘要论文系统研究了智能体 C/R 的安全性，分析了合法回滚破坏执行连续性的机理，并实证评估了其普遍性与危害。

    深度解读完整解读
  9. 风险行为arXiv 2609.35799

    研究者复现 OpenAI-HuggingFace 事件中的失准行为，并提出自动化对齐测试方法

    在模拟环境中复现级联失准行为并降低审计诱导开销

    arXiv
    2609.35799
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Grok 4.6、GLM 5.2、GLM 5.3 等 9 个

    摘要论文复现了 OpenAI–HF 事件四步失准行为，作者报告高阶描述结合算力可自动诱导，并展示了 RL 降本潜力。

    深度解读完整解读
  12. 攻击arXiv 2610.00392

    A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型

    提出 A2A-TIBA 间接提示注入，诱导智能体部署常驻回调并外传数据

    arXiv
    2610.00392
    发表
    层
    应用层
    场景
    多智能体、编程 Agent
    测试
    deepseek-v4-pro、deepseek-flash、MiniMax-M3 等 8 个
    摘要A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。

    A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。

    深度解读完整解读
  13. 防御arXiv 2609.14003

    FlowSeal：用信息流控制阻断 LLM Agent 的隐私泄露

    提出 FLOWSEAL，在工具边界以信息流控制阻断智能体隐私泄露

    arXiv
    2609.14003
    发表
    层
    应用层
    场景
    AI Agent
    测试
    DeepSeek-V3.2、DeepSeek-R1、GPT-4.1-mini 等 4 个

    摘要作者分析大模型智能体隐私检查与攻击面重合问题，提出外部拦截防御 FLOWSEAL 并验证有效性。

    深度解读完整解读
  14. 风险行为arXiv 2609.30266

    研究显示 Claude Code、Codex 等本地智能体可轻易篡改自身执行轨迹

    测量编程智能体被诱导或为奖励而篡改自身执行轨迹

    arXiv
    2609.30266
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Grok 4.7、GPT-5.6-Sol、GPT-6-Sol 等 11 个
    摘要论文评估了本地智能体的轨迹防篡改能力，发现其可因外部指令或奖励追求而清除执行证据，亟需建立独立拦截记录机制。

    这是一项针对本地大模型智能体执行轨迹完整性与安全防篡改边界的实证研究。

    深度解读完整解读
  15. 评测与基准arXiv 2608.07556

    MasDrift：跨多智能体架构的授权保持基准

    用 MasDrift 评测多智能体架构的授权保持

    arXiv
    2608.07556
    发表
    层
    应用层
    场景
    多智能体
    测试
    DeepSeek V4 Flash、Qwen3.7 Plus、GPT-5.4 Nano 等 6 个
    摘要授权保持可被测量：层级用未授权动作换完成率，重锚定比沿链携带更稳。

    MasDrift 把多智能体设计中的授权保持做成可测量性质，对象是没有攻击者的普通委托。

    深度解读完整解读
已经到底了