防御arXiv 2610.06966
APEX：在 LLM Agent 执行边界主动防御间接提示注入
提出 APEX，在执行边界用预编译授权契约防御 Agent 间接提示注入
- arXiv
- 2610.06966
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- DeepSeek-V4-Flash、GLM-5.2、GPT-5.6-sol 等 4 个
Agent 安全 · 论文
另有 268 篇论文还没打上分类标签，暂不在筛选结果里。
- 评测与基准arXiv 2610.04378
COPEX：面向 MCP 智能体的受控攻击评测基准发布
提出 COPEX 基准，固定协议栈评测 MCP 智能体的攻击抵抗力
- arXiv
- 2610.04378
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Claude Opus 4.7、Claude Sonnet 4.6、GPT-5.5 等 9 个
- 防御arXiv 2605.17380
Uber 提出 ADR 企业级 Agent 检测系统，在 7200 台主机部署十个月
提出企业级检测系统 ADR，检测编程 Agent 的提示注入与恶意 MCP
- arXiv
- 2605.17380
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 测试
- GPT-4o、Claude Sonnet 4、Llama Guard 3-8B 等 4 个
摘要提出了端点因果遥测、两级在线分流与离线红队闭环的 ADR 系统，并在生产环境中验证了有效性。
- 评测与基准arXiv 2610.03585
宾州州立大学提出 TPRS，量化 Agent 安全基准中工具命名对 ASR 的影响
提出 TPRS，量化工具命名等表征变化对智能体安全基准得分的影响
- arXiv
- 2610.03585
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-5-mini、Claude Haiku 4.5、GPT-4o-mini
- 防御arXiv 2610.03089
COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构
提出 COBRA，用分支能力约束与代理拦截防御计算机使用 Agent 的分支引导攻击
- arXiv
- 2610.03089
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 测试
- gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等 6 个
摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
- 攻击arXiv 2609.18217
研究：跨通道碎片化攻击可绕过 MCP 单通道防御
提出跨通道分段攻击，利用 MCP 隐式信任诱导外发敏感文件
- arXiv
- 2609.18217
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 测试
- GPT-4o、GPT-4o-mini、GPT-5.4 等 15 个
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
- 攻击arXiv 2609.26761
A2M：针对 MCP 生态的两阶段 Agent 劫持框架
提出两阶段框架 A2M，优化 MCP 工具元数据与返回载荷以劫持智能体
- arXiv
- 2609.26761
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GLM-4.6、Qwen3-Max、DeepSeek-V3.1 等 5 个
- 攻击arXiv 2608.23858
研究者对 Google AP2 v0.2 做系统安全分析，识别 48 项威胁
系统分析 AP2 支付协议的授权安全并验证前置上下文操纵
- arXiv
- 2608.23858
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- gpt-5.3、gpt-5.5
- 防御arXiv 2610.01349
PACE：面向工具调用 LLM Agent 的来源感知能力强制执行
提出 PACE，在工具调用前对 Agent 做路径隔离与效果授权
- arXiv
- 2610.01349
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- gpt-5.6-luna、DeepSeek-V4-Flash、Qwen-3.8-27B
摘要PACE 在工具边界做路径割与效果核验。
PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。
- 攻击arXiv 2610.00430
Memetic Trojans：利用社交传染在 LLM Agent 网络中传播对抗载荷
提出 memetic trojans，把对抗载荷嵌入智能体自发转发的社会传染内容
- arXiv
- 2610.00430
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- gpt-oss-120B、deepseek-v4.1-flash、qwen-32B 等 5 个
摘要memetic trojans 用内生社会传染携带载荷。
Memetic trojans 是一类网络介导攻击：对抗载荷搭在智能体本来就会转发和点赞的内容上扩散，转发者不必被攻陷，也不必执行“请继续复制”的指令。
- 防御arXiv 2609.22573
研究提出面向企业 MCP 的零信任授权与工具发现方案
提出企业 MCP 的零信任授权扩展，拒绝提示注入下的越权工具调用
- arXiv
- 2609.22573
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- gpt-5、claude-sonnet-4-6、claude-opus-4-7 等 6 个
摘要同一份按工具声明同时管 MCP 的发现、列表和调用，使注入不能扩大已有凭证的权限。
作者把零信任放在 MCP 工具调用边界：智能体即使被提示注入，也不能调用其凭证范围之外的工具。问题来自三点部署性质。调用意图会随不可信上下文改变。
- 分析与理论arXiv 2609.10854
MCPSEC：仅凭工具元数据检测 MCP 服务器间接提示注入漏洞
提出 MCPS EC，仅凭 MCP 工具元数据检测间接提示注入
- arXiv
- 2609.10854
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-5.4
- 攻击arXiv 2608.30441
ECLIPSE：针对长程 Agent 系统的自演化隐蔽提示注入攻击
提出 ECLIPSE 双通道自演化提示注入，劫持长程智能体动作轨迹
- arXiv
- 2608.30441
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 攻击者
- 黑盒
- 测试
- DeepSeek、GPT-4o、Claude 4.8 Opus 等 7 个
- 评测与基准arXiv 2609.28915
研究提出 ACE 语料库，评估内核级证据对 Agent 安全检测的有效性
构建 ACE 语料并比较内核与应用层证据的攻击检测效果
- arXiv
- 2609.28915
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 测试
- AdaBoost、XGBoost、TabPFN 等 13 个
摘要ACE 用配对的内核与应用层证据表明，syscall 痕迹可判别智能体攻击，两层组合通常更好。
ACE 是一份把智能体会话的内核 syscall 痕迹与应用层清单、转录配对起来的检测语料和基准。。
已经到底了