防御arXiv 2610.11942
LGWM：用动作条件世界模型验证 GUI 智能体的屏幕转移
提出 LGWM，用动作条件世界模型核验 GUI 智能体屏幕转移
- arXiv
- 2610.11942
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 被测模型
- LGWM
- 防御arXiv 2610.09469
Secure-CUA：约束计算机使用智能体中不可信内容的影响
提出 Secure-CUA，用动作事务约束计算机使用智能体的不可信影响
- arXiv
- 2610.09469
- 发表
- 层
- 应用层
- 被测模型
- Claude Opus 5、Gemini 3.8 Flash、GPT-5.6-Sol
摘要Secure-CUA 用每步事务约束不可信影响，良性 TSR 接近 Vanilla-CUA。
Secure-CUA 要限制图形界面里不可信内容对 CUA 决策和 GUI 执行的影响，同时保留合法任务所需的不可信信息。
- 攻击arXiv 2610.09240
WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作
提出 WebMirage，用局部对抗图像劫持视觉网页 Agent 的浏览器操作
- arXiv
- 2610.09240
- 发表
- 层
- 应用层
- 被测模型
- LLaVA-v1.5-13B、LLaVA-v1.6-34B、MiniCPM-o-8B 等 6 个
摘要论文提出了针对网络智能体的端到端视觉红队框架 WebMirage，揭示了从视觉定位到浏览器执行的安全脆弱性。
WebMirage 是一个面向视觉定位网络智能体的流水线感知端到端红队攻击框架。
- 其他arXiv 2610.03036
WebFovea 提出视觉网页智能体四阶段加固框架，WebRetriever 挑战赛得分从 31.0 升至 57.0
提出 WebFovea，加固视觉网页智能体的解析、执行、反馈与观察往返
- arXiv
- 2610.03036
- 发表
- 层
- 应用层
- 被测模型
- claude-opus-4-6
- 组件视觉
- 防御arXiv 2610.03089
COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构
提出 COBRA 双 LLM 架构，防御计算机使用 Agent 的分支转向攻击
- arXiv
- 2610.03089
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 被测模型
- gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等 6 个
摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
- 评测与基准arXiv 2609.38948
DrivingBench 发布：让视觉语言模型驾驶丰田 Corolla 绕桩
提出 DrivingBench，评测通用视觉语言模型能否闭环驾驶真车
- arXiv
- 2609.38948
- 发表
- 层
- 应用层
- 场景
- 具身与机器人
- 被测模型
- GPT-6 Astra、Claude Fable 5.1、Grok 4.6 等 4 个
- 组件视觉
摘要仅 Astra 第二次跑完低速锥桶路线。
DrivingBench 评测通用 VLM 能否自己闭环开真车，推理延迟也算进任务。
- 评测与基准arXiv 2610.06898
DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准
用 DIBench 评测移动 GUI 智能体被 UI 注入后的决策完整性
- arXiv
- 2610.06898
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 被测模型
- Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个
摘要论文提出移动智能体决策完整性基准 DIBench，发现欺诈 UI 注入诱导目标选择并推高完成率，通用防御收益不稳定。
- 防御arXiv 2608.24017
WebMCP-Phalanx：为浏览器内 LLM Agent 工具调用建立信任边界
提出 WebMCP-Phalanx，用能力凭证与双智能体隔离浏览器工具调用
- arXiv
- 2608.24017
- 发表
- 层
- 应用层
摘要Phalanx 用浏览器凭证绑定工具所有权，Q/P 分离拦住描述注入，工具名与返回值仍有残留。
WebMCP-Phalanx针对浏览器里的 WebMCP 智能体：在 SOP 下补工具所有权，并把语义检查从有工具权的执行中分开。
- 攻击arXiv 2608.06862
SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化
提出 SYNCHAIN，诱导计算机使用 Agent 自建跨任务持久攻击链
- arXiv
- 2608.06862
- 发表
- 层
- 应用层
- 被测模型
- Qwen3.5-9B、Llama-3.1-8B、Ministral-3-8B
摘要论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。
- 评测与基准arXiv 2603.11987
LABSHIELD：面向科学实验室安全推理与规划的多模态基准
提出 LABSHIELD，评测科学实验室智能体的安全推理与规划
- arXiv
- 2603.11987
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.2、GPT-o3、GPT-o4-mini 等 20 个
- 风险Agent 危险操作
- 组件视觉
- 攻击arXiv 2505.23266
AdvOF：用对抗物体融合攻击 VLM 驱动的视觉语言导航智能体
提出 AdvOF，生成对抗物体误导视觉语言导航智能体的场景感知
- arXiv
- 2505.23266
- 发表
- 层
- 应用层
- 场景
- 具身与机器人
- 攻击者
- 白盒
- 被测模型
- Lseg、Clip、ViT-L/16 等 5 个
摘要AdvOF 以多视角融合生成对抗物体。
AdvOF 是针对 VLM 驱动 VLN 服务导航的对抗物体攻击。
- 攻击arXiv 2505.11717
WebInject：通过网页像素扰动对多模态网页 Agent 实施提示注入
提出 WebInject，用网页像素扰动诱导网页 Agent 执行指定动作
- arXiv
- 2505.11717
- 发表
- 层
- 应用层
- 被测模型
- UI-TARS-7B-SFT、Phi-4-multimodal-instruct、Llama-3.2-11B-Vision-Instruct 等 5 个
摘要WebInject 经源码扰动原始像素。
WebInject 是对 MLLM 网页智能体的环境提示注入：修改网页源码，使原始像素上的扰动经过显示器映射后，诱导智能体执行攻击者指定动作。
- 攻击arXiv 2406.12814
论文提出 ARE 框架，在 VisualWebArena 上评估多模态 Agent 的对抗鲁棒性
提出 ARE 框架与图像文本攻击，评测多模态网页 Agent 的对抗鲁棒性
- arXiv
- 2406.12814
- 发表
- 层
- 应用层
- 被测模型
- GPT-4o、GPT-4V、Claude-3-Opus 等 4 个
摘要系统评估多模态网页智能体的脆弱性，指出推理时计算组件被攻破会加剧系统风险。
已经到底了