防御arXiv 2610.12463
论文复盘 OpenAI、Anthropic 与 Google Agent 安全事件并提出 PASAC 框架
提出 PASAC 与边界保证栈，把智能体评测越界纳入全周期可验证保证
- arXiv
- 2610.12463
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
全部论文
另有 524 篇论文还没打上分类标签，暂不在筛选结果里。
- 攻击arXiv 2609.37468
论文提出针对 Agentic RAG 的检索器后门攻击与 DOU 隐藏方法
提出检索器后门攻击操纵智能体多轮搜索，并用 DOU 隐蔽后门
- arXiv
- 2609.37468
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- E5、Contriever-MSMARCO
摘要论文展示了通过恶意检索器操纵智能体多轮搜索并利用诱饵重塑表征隐蔽后门的可行性与系统风险。
- 攻击arXiv 2608.04565
研究者提出 Breadcrumbing 长程攻击，可劫持 DeepResearch 类搜索 Agent 的证据链
提出权威链劫持 ACH 与策略演化 TGSE，劫持搜索 Agent 的证据链
- arXiv
- 2608.04565
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Qwen3.5-9B、Gemma4-31B、DeepResearch 等 7 个
摘要论文揭示了多步搜索智能体在受限中间人操纵下的脆弱性，提出 ACH 策略与 TGSE 演化方法并完成系统验证。
- 评测与基准arXiv 2609.22076
APort Vault 发布：用 4,371 条人工攻击评测 AI Agent 支付授权
构建 APort Vault 基准，对比裸模型与确定性授权对越权支付的拦截
- arXiv
- 2609.22076
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude Fable 5.1、Claude Sonnet 5、Claude Haiku 4.5 等 14 个
- 防御arXiv 2609.11757
研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御
提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策
- arXiv
- 2609.11757
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
- 攻击arXiv 2605.12673
UC Berkeley 提出 BenchJack，自动审计 10 个 Agent 基准并发现 219 处奖励作弊缺陷
提出 BenchJack 系统审计智能体基准的奖励作弊缺陷
- arXiv
- 2605.12673
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 组件权限与沙箱
摘要论文系统揭示了智能体基准的奖励作弊隐患，提出自动化红队审计与迭代修补系统 BENCHJACK。
论文系统研究了主流 AI 智能体基准评测中的奖励作弊问题，提出了首个针对基准缺陷的自动化红队审计与生成对抗式迭代修补系统 BENCHJACK。
- 评测与基准arXiv 2610.07359
论文实测 Agent 工具调用门控栈的失败相关性
提出 nmult，实测 Agent 动作门控栈的层间错误相关性
- arXiv
- 2610.07359
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- AgentTrust runtime (174 rules)、GPT-5.5 (gpt55)、claude-haiku-4-5-20251001 等 7 个
- 风险Agent 危险操作
- 组件权限与沙箱
摘要论文实测发现大模型裁判间错误显著相关，作者主张按机制选型并在整栈层面度量防护增益。
论文是一项针对智能体动作拦截防御堆叠故障关联性与实际组合价值的实证测量研究。
- 防御arXiv 2610.06966
APEX：在 LLM Agent 执行边界主动防御间接提示注入
提出 APEX，在执行边界用预编译授权契约防御 Agent 间接提示注入
- arXiv
- 2610.06966
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- DeepSeek-V4-Flash、GLM-5.2、GPT-5.6-sol
- 评测与基准arXiv 2610.07639
HarnessSecurity-Bench 横向评测六款编码智能体框架的安全机制
提出 HARNESSSECURITY-BENCH 评测编码智能体框架的安全机制
- arXiv
- 2610.07639
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 防御arXiv 2610.04699
CoVer：用干预检验为 Agent 构造可判定规则边界
提出 COVER，以不咨询模型的干预门准入 Agent 规则自动执行
- arXiv
- 2610.04699
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude Sonnet、Claude Opus、GPT-4o 等 5 个
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要自可判定不能向模型索取。
这篇工作测的是智能体验证器在检查之前的分流：外部规则里的哪条谓词能用固定过程解决，哪条必须交给评审。
- 防御arXiv 2610.04975
论文提出长程智能体自生子目标的运行时授权机制
提出运行时授权机制，检查长程智能体自生子目标是否精化根契约
- arXiv
- 2610.04975
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要用版本化目标图授权保住重规划，并挡住自生成子目标变成新权威。
长时程工具使用把目标演化变成授权状态的一部分。本文在单 principal、单根、有限结构化域中，把自生成子目标的创建、替换、同根委托和同根 join 做成可检查转移，并在提交边界重查受保护效应。
- 防御arXiv 2610.04504
论文提出 VAL 框架：相同 ASR 的 LLM Agent 防御可能对应不同安全保证
提出 VAL 防御栈，用确认门与参数沙箱约束 Agent 的高风险工具调用
- arXiv
- 2610.04504
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- DeepSeek-chat、Meta Llama 3.1 8B、Kimi
- 防御arXiv 2609.12001
Pheo 提出 OATS：用确定性解析器在运行时治理 Agent 技能动作
提出 OATS，用确定性解析器在运行时治理 Agent 技能动作
- arXiv
- 2609.12001
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要论文论证了发布时恶意扫描无法替代运行时动作许可控制，提出了轻量确定性控制门 OATS，展示了双层防御组合的必要性。
- 防御arXiv 2610.02456
SideKernel：面向 macOS 上 AI 编码 Agent 的 microVM 沙箱
提出面向 macOS 编程 Agent 的 microVM 沙箱 SideKernel
- arXiv
- 2610.02456
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
- 防御arXiv 2610.02569
Pincer：用数字分身学习用户偏好并执行动态最小权限
提出 Pincer，用数字分身学习用户偏好并对 Agent 做资源层最小权限授权
- arXiv
- 2610.02569
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 被测模型
- Claude Haiku 4.5、Muse Spark 1.2 Contributor
摘要Pincer 在资源层以三票合取做授权。
Pincer 是加在现成 coding agent 上的资源层授权防御：用只受用户侧信息影响的 digital twin 做动态最小权限，并与 tool-call 层防御并存。要处理的是用户维护策略带来的权限蠕变和授权疲劳，以及不学习用户策略的 tool-call 分类器。作者引述工作称 auto mode 会放行多数不安全操作，并认为推理代码或复杂 shell 的效果在这一层不实际。
- 防御arXiv 2610.02664
论文提出 GHOST：长程智能体在良性对话中遗忘早期安全约束
提出 STAR-Guard 双层防御，缓解长程智能体跨轮遗忘安全约束
- arXiv
- 2610.02664
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-5.5、DeepSeek-V4-Pro、GLM-5.2 等 7 个
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要揭示 GHOST 跨轮约束遗忘风险，构建 SCARBench 基准并通过 STAR-Guard 双层防御消除违规。
- 防御arXiv 2609.38983
论文提出 Approval Laundering 分类，实测 Claude Code 审批与执行绑定失败
提出 Approval Token 绑定编程智能体的审批与执行
- arXiv
- 2609.38983
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 被测模型
- Claude Code (v2.1.197, opus[1m] / claude-sonnet-5-ccmax)、Codex CLI (@openai/codex v0.154.0)
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要系统揭示编程智能体审批洗白风险，提出七字段权能防御机制，证实其能消除身份时序偏离但难防副作用偏离。
- 防御arXiv 2607.29190
CAGE：面向工具调用 Agent 的类型化返回不确定性认证授权方法
提出 CAGE，认证工具调用 Agent 在返回邻域内的执行授权
- arXiv
- 2607.29190
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- qwen2.5:7b-instruct、qwen2.5-coder:7b、qwen2.5:32b 等 4 个
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要CAGE 认证类型化返回的联合邻域。
CAGE 是放在工具返回之后的认证授权门，处理类型化返回在绑定和数值上的残差不确定性。
- 评测与基准arXiv 2608.09476
ActBench：面向协作智能体行为安全的自演化基准
提出自演化基准 ActBench，评测协作智能体的操作级行为安全
- arXiv
- 2608.09476
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude-Opus-4.8、Claude-Sonnet-4.6、GPT-5.5 等 15 个
摘要ActBench 通过自演化搜索与双证据重构评测轨迹行为安全，揭示基础模型决策差异主导了协同智能体的操作风险。
- 攻击arXiv 2608.29381
研究者提出 Agent 检查点回滚的五类安全失效，并在 Hermes、Cline、LangGraph 上实现三种攻击
提出利用检查点回滚破坏智能体执行连续性的攻击
- arXiv
- 2608.29381
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 组件权限与沙箱
摘要论文系统研究了智能体 C/R 的安全性，分析了合法回滚破坏执行连续性的机理，并实证评估了其普遍性与危害。