防御arXiv:2609.11757 · 9月10日
研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御
提出 A-VIP，将购物意图绑定到支付授权以阻断商户文本操控
AI Agent测试gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个应用层
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
完整解读
攻击arXiv:2609.18217 · 9月16日
研究：跨通道碎片化攻击可绕过 MCP 单通道防御
提出跨通道分段攻击，借 MCP 多通道隐式信任外发敏感数据
编程 Agent测试GPT-4o、GPT-4o-mini、GPT-5.4 等 15 个应用层
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
完整解读
攻击arXiv:2609.39065 · 9月30日
TrustProbe 在 11 个开源 Agent 中发现 104 个技能信任链漏洞
提出 TrustProbe，挖掘技能内容流向特权操作的信任链漏洞
编程 Agent测试deepseek-v4-flash、Kimi Code CLI、Qwen Code 等 5 个应用层
完整解读
攻击arXiv:2609.39607 · 9月30日
Pretext 攻击绕过 NVIDIA SkillSpector 等 Agent 技能扫描器
提出 PRETEXT，迭代改写技能文本以绕过扫描并执行木马行为
编程 Agent攻击者白盒测试glm (z-ai/glm-5.1)、qwen3t (qwen/qwen3-235b-a22b-thinking-2507)、gpt-oss (openai/gpt-oss-120b) 等 4 个应用层
摘要论文提出了针对多阶段技能检测器的白盒攻击，揭示了单纯依赖大模型自适应检测的局限。
PRETEXT 是一项针对基于“静态规则加语义大模型”的智能体技能安全检测框架的白盒攻击与协同进化评估研究。
完整解读
攻击arXiv:2609.26761 · 9月23日
A2M：针对 MCP 生态的两阶段 Agent 劫持框架
提出两阶段框架 A2M，优化 MCP 工具元数据与返回载荷以劫持智能体
AI Agent测试GLM-4.6、Qwen3-Max、DeepSeek-V3.1 等 5 个应用层
完整解读
攻击arXiv:2610.01564 · 10月1日
APEX 用跨技能链劫持 LLM Agent
提出 APEX，用跨技能进度记录夹带虚假授权劫持智能体
编程 Agent测试Claude Sonnet 5、DeepSeek V4 Flash、GPT-5.4 等 6 个应用层
完整解读
攻击arXiv:2607.25560 · 7月28日
SigLeak 可从执行轨迹推断专有 Agent 技能
提出 SigLeak，从执行轨迹比对中推断专有智能体技能
编程 Agent攻击者黑盒测试GPT-5.4-mini、GPT-5.5、GLM-5.2 等 4 个应用层
摘要提出了通过良性查询和对照轨迹推断黑盒专有技能的 SigLeak 框架，揭示了智能体执行可见性带来的行为侧信道泄露风险。
完整解读
攻击arXiv:2607.12340 · 7月14日
研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击
提出技能名抢注攻击，利用智能体虚构技能名劫持技能供应链
编程 Agent测试GLM-4.5-Air、GPT-5.4-mini、Claude Sonnet 4.6 等 10 个应用层
摘要研究证实智能体虚构技能名具有高发生率与可预测性，现有防御难以兼顾安全与效用，亟需注册表结构性防护。
本研究系统揭示了大模型智能体技能推荐场景下的虚构技能名称安全风险，将其形式化为一种新型供应链抢注攻击。
完整解读
攻击arXiv:2609.01222 · 9月1日
研究者提出上下文权限提升攻击，12 款 Agent 框架均受影响
提出上下文特权提升攻击，借助记忆、技能与仓库内容操纵编程智能体
编程 Agent测试GPT-5.5、GPT-5.4 mini、Claude-Sonnet-4.6 等 7 个应用层
完整解读
攻击arXiv:2608.23858 · 8月25日
研究者对 Google AP2 v0.2 做系统安全分析，识别 48 项威胁
系统分析智能体支付协议 AP2，揭示合法签名无法阻止前置上下文操纵
AI Agent测试gpt-5.3、gpt-5.5应用层
完整解读
攻击arXiv:2609.27542 · 9月23日
研究者用控制 token 注入删除 gpt-oss-20b 推理链并绕过思维链监控
提出控制标记注入，清空工具智能体推理链以绕过思维链监控
AI Agent测试openai/gpt-oss-20b、google/gemma-4-26B-A4B-it、deepseek-ai/DeepSeek-R1-Distill-Qwen-7B 等 4 个应用层
摘要论文阐明控制标记注入可抑制 CoT 使监控失效并促成拒绝绕过，且工具执行受解析器宽容度影响。
完整解读
攻击arXiv:2609.03884 · 9月3日
HookPry：利用插件生命周期钩子更新劫持 AI Agent 框架
提出 HOOKPRY，利用插件生命周期钩子更新劫持智能体框架执行命令
编程 Agent测试Claude Sonnet 4.6、DeepSeek-V4-Pro、Kimi-K2.6 等 6 个应用层
完整解读
攻击arXiv:2610.00430 · 10月2日
Memetic Trojans：利用社交传染在 LLM Agent 网络中传播对抗载荷
提出 memetic trojans，把对抗载荷嵌入智能体自发转发的社会传染内容
多智能体测试gpt-oss-120B、deepseek-v4.1-flash、qwen-32B 等 5 个应用层
- 投毒与后门
- MCP 与技能
摘要memetic trojans 用内生社会传染携带载荷。
Memetic trojans 是一类网络介导攻击：对抗载荷搭在智能体本来就会转发和点赞的内容上扩散，转发者不必被攻陷，也不必执行“请继续复制”的指令。
完整解读
攻击arXiv:2610.00392 · 10月2日
A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型
提出 A2A-TIBA 间接提示注入，诱导智能体部署常驻回调并外传数据
多智能体编程 Agent测试MiniMax-M3、deepseek-v4-pro、glm-5.3 等 8 个应用层
摘要A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。
A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
完整解读
攻击arXiv:2609.02035 · 9月2日
ISM：通过语义匹配隐式操纵 LLM Agent 的技能选择
提出 ISM，协同改写技能描述与提示词以隐式操纵技能选择
AI Agent测试Llama-2-7B、Llama-3-8B、Llama-3.1-8B 等 8 个应用层
完整解读
攻击arXiv:2608.06862 · 8月7日
SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化
提出 SYNCHAIN，以定向微调诱导智能体自合成跨任务潜伏工件
网页与电脑操作编程 Agent测试Qwen3.5-9B、Llama-3.1-8B、Ministral-3-8B 等 5 个应用层
摘要论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。
完整解读
攻击arXiv:2608.30441 · 8月31日
ECLIPSE：针对长程 Agent 系统的自演化隐蔽提示注入攻击
提出 ECLIPSE 双通道自演化提示注入，劫持长程智能体动作轨迹
AI Agent攻击者黑盒测试DeepSeek、GPT-4o、Claude 4.8 Opus 等 7 个应用层
完整解读
攻击arXiv:2609.30383 · 9月25日
研究者提出技能级联攻击
提出技能级联攻击，把恶意目标拆进多个技能以绕过单技能检测
编程 Agent测试GPT-5.4、GPT-5.4 Mini、Claude Opus 4.6 等 10 个应用层
摘要论文探讨了多技能智能体系统面临的技能级联攻击风险，提出自动化红队框架与基准集，指出跨技能交互存在安全防护盲区。
完整解读
评测与基准arXiv:2609.35912 · 9月28日
MMSkillRisk：多模态技能图像中的隐藏指令可诱导 Agent 执行未授权操作
构建多模态技能图像攻击基准 MMSkillRisk 并设计 NCVA
编程 Agent测试GPT-5.6-sol、Kimi-K2.6、Kimi-K3 等 6 个应用层
摘要论文提出 MMSkillRisk 基准与 NCVA 攻击，揭示多模态技能中教学图像潜藏指令可引发未授权操作并与良性任务共存。
完整解读

已经到底了