跳到正文
10月8日 · 周四

红队 · 论文

找到 13 篇
筛选3

攻击类型

越狱2提示注入8投毒与后门3检测规避1

攻击技术

梯度与表征优化1自动化搜索4编码与混淆3跨模态载荷3针对防御4潜伏触发1诱导选用1

模型自身风险

危险能力1拒答失当1

防御类型

检测与过滤1

影响

有害内容2越权操作7数据与隐私泄露2滥用能力提升1

系统形态

模型与 API2LLM 应用1AI Agent10编程 Agent7网页与电脑操作1多智能体1具身与机器人1

攻击者权限

黑盒2白盒1

攻击面/入口

用户输入2网页与界面1工具返回2工具与技能描述7代码仓库与依赖1记忆写入1Agent 间消息1图像与音视频3分发渠道3

层

提示层2模型层1应用层10

系统组件

MCP 与技能9记忆3RAG1护栏与评审13监控器2推理链2权限与沙箱5微调与开源权重2视觉5视频1图像生成4多模态10

被测模型厂商

Qwen（阿里）13OpenAI12Anthropic11DeepSeek10Google8智谱 GLM7Kimi（月之暗面）7其他10
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 66 篇还没打标签，不在筛选结果里。
系统组件：MCP 与技能系统组件：视觉被测模型厂商：Qwen（阿里）话题：红队清除全部

另有 66 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2610.09240

    WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

    提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作

    arXiv
    2610.09240
    发表
    层
    应用层
    场景
    网页与电脑操作
    测试
    Qwen2-VL-7B、LLaVA-v1.5-13B、LLaVA-v1.6-34B 等 6 个
    摘要论文提出了针对网络智能体的端到端视觉红队框架 WebMirage，揭示了从视觉定位到浏览器执行的安全脆弱性。

    WebMirage 是一个面向视觉定位网络智能体的流水线感知端到端红队攻击框架。

    深度解读完整解读
  3. 攻击arXiv 2609.18217

    研究：跨通道碎片化攻击可绕过 MCP 单通道防御

    提出跨通道分段攻击，借 MCP 多通道隐式信任外发敏感数据

    arXiv
    2609.18217
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Qwen-2.5-72B、GPT-4o、GPT-4o-mini 等 15 个

    摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。

    深度解读完整解读
  4. 攻击arXiv 2609.39607

    Pretext 攻击绕过 NVIDIA SkillSpector 等 Agent 技能扫描器

    提出 PRETEXT，迭代改写技能文本以绕过扫描并执行木马行为

    arXiv
    2609.39607
    发表
    层
    应用层
    场景
    编程 Agent
    攻击者
    白盒
    测试
    qwen3t (qwen/qwen3-235b-a22b-thinking-2507)、glm (z-ai/glm-5.1)、gpt-oss (openai/gpt-oss-120b) 等 4 个
    摘要论文提出了针对多阶段技能检测器的白盒攻击，揭示了单纯依赖大模型自适应检测的局限。

    PRETEXT 是一项针对基于“静态规则加语义大模型”的智能体技能安全检测框架的白盒攻击与协同进化评估研究。

    深度解读完整解读
  6. 攻击arXiv 2610.00392

    A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型

    提出 A2A-TIBA 间接提示注入，诱导智能体部署常驻回调并外传数据

    arXiv
    2610.00392
    发表
    层
    应用层
    场景
    多智能体、编程 Agent
    测试
    qwen3.8-max、MiniMax-M3、deepseek-v4-pro 等 8 个
    摘要A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。

    A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。

    深度解读完整解读
  7. 风险行为arXiv 2609.38971

    研究测量并预测具身 VLM 规划器中任务的拒答可变性

    测量并预测具身 VLM 规划器在日常物体插入后的拒答可塑性

    arXiv
    2609.38971
    发表
    层
    模型层
    场景
    具身与机器人
    测试
    Qwen3-VL-30B-A3B-Thinking、gemini-robotics-er-2-preview、gemini-robotics-er-1.6-preview
    摘要日常物体能翻转一部分已给出的拒答，可翻转程度取决于任务且可被本地代理预测。

    作者测量 constitution 守护的具身 VLM 规划器：一次拒答在只往场景里放一个日常物体之后还保不保持得住，并把这种易翻转程度称为任务的 malleability。

    深度解读完整解读
  9. 其他arXiv 2609.18120

    PentestChain：面向免费层 LLM 的成本感知 MCP 编排自动化渗透测试框架

    提出成本感知的 MCP 编排框架，用确定性利用图与免费层模型做自动化渗透测试

    arXiv
    2609.18120
    发表
    层
    应用层
    场景
    LLM 应用
    测试
    qwen2.5:7b (Ollama, local)、OpenRouter (free-tier)、Cerebras (free-tier)
    摘要确定性利用图加免费层级联在十次自建运行上测得付费成本为零。

    PentestChain 是一个十阶段、经 MCP 暴露的自动渗透框架，用确定性利用图把 7B 本地模型挡在利用关键路径之外，并把每次交战的美元成本当作实测指标。。

    深度解读完整解读
  10. 攻击arXiv 2609.30383

    研究者提出技能级联攻击

    提出技能级联攻击，把恶意目标拆进多个技能以绕过单技能检测

    arXiv
    2609.30383
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Qwen 3 72B、GPT-5.4、GPT-5.4 Mini 等 10 个

    摘要论文探讨了多技能智能体系统面临的技能级联攻击风险，提出自动化红队框架与基准集，指出跨技能交互存在安全防护盲区。

    深度解读完整解读
  13. 评测与基准arXiv 2609.35912

    MMSkillRisk：多模态技能图像中的隐藏指令可诱导 Agent 执行未授权操作

    构建多模态技能图像攻击基准 MMSkillRisk 并设计 NCVA

    arXiv
    2609.35912
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Qwen3.8-Flash-Next、GPT-5.6-sol、Kimi-K2.6 等 6 个

    摘要论文提出 MMSkillRisk 基准与 NCVA 攻击，揭示多模态技能中教学图像潜藏指令可引发未授权操作并与良性任务共存。

    深度解读完整解读
已经到底了