防御arXiv 2609.117579月10日
研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御
提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策
arXiv
2609.11757
发表
9月10日
层
应用层
场景
AI Agent
测试
gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
深度解读完整解读
防御arXiv 2610.0308910月2日
COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构
提出 COBRA 双 LLM 架构，防御计算机使用智能体的分支转向攻击
arXiv
2610.03089
发表
10月2日
层
应用层
场景
网页与电脑操作
测试
gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等 6 个
- 防御指令与数据隔离
- 组件权限与沙箱
摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
深度解读完整解读
防御arXiv 2609.023169月2日
Counter-GEO-Bench：现有护栏难挡 GEO 虚假信息
构建 COUNTER-GEO-BENCH，评测生成式搜索对信息扭曲 GEO 的防御
arXiv
2609.02316
发表
9月2日
层
应用层
场景
LLM 应用
测试
Gemma-4-31B-IT、Qwen-3.5-35B-A3B、Llama-4-Scout-17B-16E 等 11 个
- 防御检测与过滤
- 攻击投毒与后门
- 组件RAG
摘要论文构建了针对 GEO 虚假信息的首个防御基准，揭示通用护栏的失效与反作用，并提出了有效的轻量对比检测基线。
深度解读完整解读
防御arXiv 2608.300418月31日
SkillGuard：面向间接提示注入的 LLM Agent 能力限制机制
提出 SkillGuard，用可达性切断污染后通往禁止状态的技能调用
arXiv
2608.30041
发表
8月31日
层
应用层
场景
AI Agent
测试
Gemini 2.5 Flash、Llama3.3-70B
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2609.140799月13日
SkillSecurer：检测并修补 AI Agent 技能中的提示注入漏洞
提出 SkillSecurer，检测定位并修补智能体技能中的提示注入
arXiv
2609.14079
发表
9月13日
层
应用层
场景
编程 Agent
测试
Claude Sonnet 5、Gemini 3.6 Flash、GPT-5.6 Sol 等 10 个
- 防御检测与过滤
- 攻击提示注入
- 组件MCP 与技能
深度解读完整解读
防御arXiv 2608.178298月18日
LeakGauge：用行为探针在解码前检测上下文泄露攻击信号
提出 LeakGauge，用行为后缀的 prefill 对数概率检测上下文泄露
arXiv
2608.17829
发表
8月18日
层
应用层
场景
LLM 应用
攻击者
黑盒
测试
Gemma-4-E4B-it、Gemma-4-31B-it、Qwen2.5-14B-Instruct 等 11 个
- 防御检测与过滤
- 攻击提取与窃取
- 组件RAG
深度解读完整解读
防御arXiv 2609.059039月5日
EvoSafeHarness：为 Agent 自动演化模型与领域专属安全护栏
提出 EvoSafeHarness，为冻结模型与目标域自动搜索安全 harness
arXiv
2609.05903
发表
9月5日
层
应用层
场景
AI Agent
测试
Sonnet 4.6、GLM-5、Kimi-K2.5 等 10 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2609.176489月15日
多智能体 LLM 流水线中的信任传播与结构隔离
提出任务绑定令牌与策略预言机，在多智能体流水线中拦截未授权执行
arXiv
2609.17648
发表
9月15日
层
应用层
场景
多智能体
测试
gemma4:31b-cloud
- 防御权限与审批
- 攻击投毒与后门
- 组件权限与沙箱
摘要结构性授权拦住了记忆投毒的未授权执行，持密钥时承重的是策略预言机。
作者在一条会改写沙箱邮件库的四智能体流水线上，检查低权限失陷会不会变成未授权的真实动作。
深度解读完整解读
防御arXiv 2609.184119月16日
可验证行动卡片 VAC：为智能体浏览器提供可信人在回路确认
提出 VAC，用真实操作参数与来源隔离保护智能体浏览器确认
arXiv
2609.18411
发表
9月16日
层
应用层
场景
网页与电脑操作
测试
gpt-oss-120b、Gemini-2.5-Flash、GPT-4.1 等 6 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2609.244469月21日
ActGov：用策略约束校验治理 LLM Agent 的工具动作
提出 ActGov，在工具执行前用确定性策略拦截间接提示注入
arXiv
2609.24446
发表
9月21日
层
应用层
场景
AI Agent
测试
Qwen3.6-flash、MiniMax-M2.5、DeepSeek-v4-pro 等 5 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2609.308249月25日
基于加密绑定身份验证能力令牌协调分布式 AI 智能体的提案
提出身份绑定且只收窄的能力令牌，用上下文外钱包约束智能体
arXiv
2609.30824
发表
9月25日
层
应用层
场景
多智能体
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要用只衰减的身份绑定令牌和上下文外钱包，约束代表人类行动的分布式智能体。
代表人类行动的分布式智能体，需要一种不把密钥放进语言模型上下文的授权方式。
深度解读完整解读
防御arXiv 2609.310399月25日
MetaPermit：通过 LLM 推断元属性为 AI Agent 提供可扩展可审计的访问控制
提出 MetaPermit，用元属性与固定策略挡住工具返回中的间接提示注入
arXiv
2609.31039
发表
9月25日
层
应用层
场景
AI Agent
测试
MiniMax-M2.7、Qwen3-235B-a22-2507、Qwen3-8B
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要MetaPermit 用固定策略评估 LLM 推断的元属性，在两个开源模型上把攻击成功压到接近零并保留更多效用。
MetaPermit 是面向工具使用 LLM 智能体的混合访问控制：LLM 描述候选调用，固定策略决定是否放行。
深度解读完整解读
防御arXiv 2609.356599月29日
Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统
提出 Tracekit，对编码 Agent 做防篡改的意图-推理-动作审计
arXiv
2609.35659
发表
9月29日
层
应用层
场景
编程 Agent
测试
Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）
- 防御监控与审计
- 攻击提示注入
- 风险Agent 危险操作
- 组件监控器
摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。
Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。
深度解读完整解读
防御arXiv 2609.371969月29日
ToolFence：为工具调用 LLM Agent 提供细粒度授权
提出 ToolFence 能力级授权，执行前编译蓝图并确定性拦截工具调用
arXiv
2609.37196
发表
9月29日
层
应用层
场景
AI Agent
测试
Qwen3-max、GPT-4o (gpt-4o-2024-08-06)、Mistral-Small-3.1-24B-Instruct-2503
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读

已经到底了