跳到正文
10月10日 · 周六

全部论文

找到 80 篇
筛选6

攻击类型

越狱9提示注入24投毒与后门14

攻击技术

梯度与表征优化3自动化搜索4针对防御5潜伏触发6诱导选用3

模型自身风险

欺骗与谋划5失准与价值偏离7Agent 危险操作7拒答失当4幻觉与编造4

防御类型

模型加固4检测与过滤5指令与数据隔离5权限与审批4监控与审计3

影响

有害内容17越权操作150数据与隐私泄露42输出被操纵63可用性与可靠性29监督失效47滥用能力提升10

系统形态

模型与 API236LLM 应用34AI Agent80coding agent11science agent5web agent3网页与电脑操作2多智能体16具身与机器人6

攻击者权限

黑盒6

攻击面/入口

用户输入17网页与界面6文档与消息6工具返回14工具与技能描述5检索语料3记忆写入4Agent 间消息5图像与音视频5训练数据3权重与梯度3分发渠道7

层

提示层4模型层7应用层66训练与数据层3

系统组件

MCP 与技能5记忆12RAG4护栏与评审6监控器3推理链3权限与沙箱6视觉8多模态8
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 436 篇还没打标签，不在筛选结果里。
影响：有害内容影响：输出被操纵系统形态：AI Agent系统形态：coding agent系统形态：网页与电脑操作系统形态：多智能体清除全部

另有 436 篇论文还没打上分类标签，暂不在筛选结果里。

  4. 攻击arXiv 2610.07645

    SkillPoison：用成功经验投毒自进化 Agent 的技能形成

    提出 SkillPoison，用局部有效的成功经验诱导自进化 Agent 形成过度泛化技能

    arXiv
    2610.07645
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    deepseek-v4-flash、Qwen V3.8 Flash、GPT-5.5
    摘要SkillPoison 通过局部有效且验证成功的经验诱导技能过度泛化，在多个评测基准上实现了持久的下游攻击影响。

    SkillPoison 提出了一种针对自进化智能体经验到技能形成过程的攻击范式，通过组织已验证的成功经验诱导技能过度泛化。

    深度解读完整解读
  5. 评测与基准arXiv 2610.06748

    BazaarBench：评估 LLM Agent 在去中心化 C2C 市场中的代理安全

    构建 BazaarBench，评测 C2C 市场中 Agent 的违规与失信行为

    arXiv
    2610.06748
    发表
    层
    应用层
    场景
    多智能体
    被测模型
    GPT-5.5、GPT-5.4、GPT-5.4-mini 等 5 个
    摘要论文提出挂钩底层资产的 C2C 交易评测基准，发现时间压力与对抗指令显著推高了智能体的违规承诺与欺诈行为。

    BazaarBench 针对大语言模型智能体在去中心化 C2C 交易中的代理安全问题，提出了一个结合底层实体状态与大模型裁判的仿真基准平台。

    深度解读完整解读
  6. 可解释性arXiv 2610.06576

    研究：智能体欺骗行为在外部显现前已可从内部表征预测

    提出基于决策前隐藏状态的检测与引导，预测并抑制智能体欺骗

    arXiv
    2610.06576
    发表
    层
    模型层
    场景
    AI Agent
    被测模型
    Qwen3-14B

    摘要论文展示了智能体自发欺骗可在行为显现前由内部表征预测，并通过激活引导证实了表征的行为可操作性。

    深度解读完整解读
  8. 评测与基准arXiv 2610.07089

    研究者提出统一滥用监控基准，覆盖分解攻击与提示注入约 6200 条轨迹

    提出危害窗口与区间指标，统一评测分解攻击和提示注入下的智能体滥用监视

    arXiv
    2610.07089
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    Gemma 4 26B-A4B、Qwen3.6 27B、Qwen3.5 27B 等 12 个

    摘要统一智能体滥用监视框架，动作视角兼顾两类威胁但危害定位仍存瓶颈。

    深度解读完整解读
  9. 可解释性arXiv 2610.06064

    TrustMI：通过模型激活因果控制助手对用户的信任

    提出 TrustMI，用激活转向因果调控助手对用户主张的信任

    arXiv
    2610.06064
    发表
    层
    模型层
    场景
    AI Agent
    被测模型
    Qwen3.5-9B、Qwen3.5-27B、Llama-3.1-8B-Instruct 等 6 个
    摘要作者用 BiPO 转向调控助手对用户的依赖，并称该效应迁移到智能体安全任务。

    TrustMI 研究助手对用户的信任能否沿激活中的线性方向被因果调控，以及这种调控会不会改变安全相关的智能体行为。

    深度解读完整解读
  10. 攻击arXiv 2610.05793

    研究者训练出按多智能体拓扑触发的代码后门模型

    提出拓扑条件后门，使代码模型在推断多智能体部署时植入漏洞

    arXiv
    2610.05793
    发表
    层
    训练与数据层
    场景
    coding agent
    被测模型
    Qwen2.5-7B-Instruct、Qwen2.5-Coder-7B-Instruct

    摘要论文证实了拓扑条件后门的可训练性与泛化性，展示了常规评测盲区，并提出差异化拓扑审计作为检测防御方向。

    深度解读完整解读
  11. 攻击arXiv 2610.05266

    论文披露主动式智能体的服务方间接提示注入攻击

    提出服务方间接提示注入，把主动智能体的决策协助转向预选目标

    arXiv
    2610.05266
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    GPT-5、Claude Opus 4.6、Gemini 3 Pro 等 7 个
    摘要提供者侧间接注入用 T–B–S 把主动协助转向外部目标，并在三环境中提高模拟用户授权。

    外部提供者只控制与自身目标关联的内容，就可以把良性主动个人智能体的协助转向该目标。

    深度解读完整解读
  12. 防御arXiv 2610.05162

    MemAdapter：用反事实适配缓解记忆诱发的谄媚

    提出 MemAdapter，在检索后约束记忆对智能体推理的影响

    arXiv
    2610.05162
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    DeepSeek-V4-Flash、GPT-5.6-sol、Qwen3-8B
    摘要检索后三阶段调节记忆角色。

    MemAdapter 是给长期记忆智能体用的检索后调节框架，用来处理记忆诱发谄媚。

    深度解读完整解读
  13. 防御arXiv 2610.04412

    论文研究 LLM 数字孪生参与增强民主时的提示注入脆弱性

    提出检测、结构化与 GSPO 流程，降低共识生成的提示注入错位

    arXiv
    2610.04412
    发表
    层
    应用层
    场景
    LLM 应用、多智能体
    被测模型
    LLaMA-2 7B、LLaMA-3 8B、GPT 3.5 Turbo 等 14 个
    摘要三章依次做个体偏好预测、政党知识图谱审议，以及共识生成对提示注入的脆弱性与一条防御流程。

    这是一篇把 LLM 数字孪生放进增强民主的博士论文，分个体表示、政党聚合和共识生成的提示注入三章。

    深度解读完整解读
  14. 评测与基准arXiv 2610.03938

    论文发现多模态模型启用工具后拒答失败率最高上升 68.7%

    评测 ReAct 工具调用对多模态模型拒答有害请求的削弱

    arXiv
    2610.03938
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    Gemini-2.5-Pro、Gemini-3.1-Pro-Preview、Claude Opus 4.6 等 13 个
    摘要论文揭示了工具调用范式削弱 MLLM 拒答能力的现象，分析了稀释与偏移机制并验证了重注缓解方案。

    论文系统评估了智能体工具调用范式对多模态大语言模型拒答能力的影响，指出了工具增强视觉推理背后的安全隐患。核心探讨的问题在于：当 MLLM 从单次推理转向通过 ReAct 循环调用外部工具（打标、缩放、OCR、代码执行）时，工具使用机制本身是否会降低模型拒答有害请求的概率。

    深度解读完整解读
  16. 防御arXiv 2610.04699

    CoVer：用干预检验为 Agent 构造可判定规则边界

    提出 COVER，用干预门判定 Agent 规则谓词能否自动执行

    arXiv
    2610.04699
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    Claude Sonnet、Claude Opus、GPT-4o 等 5 个
    摘要自可判定不能向模型索取。

    这篇工作测的是智能体验证器在检查之前的分流：外部规则里的哪条谓词能用固定过程解决，哪条必须交给评审。

    深度解读完整解读
  18. 防御arXiv 2610.03434

    Persona Guardrail：面向智能体系统的生产级防御框架

    提出 Persona Guardrail，强制客服智能体守住功能边界

    arXiv
    2610.03434
    发表
    层
    应用层
    场景
    AI Agent
    攻击者
    黑盒
    被测模型
    Qwen3-30B-A3B、Qwen3-VL-30B、Qwen3-8B 等 5 个
    摘要Persona Guardrail 用功能边界做同步输入输出校验，并在 PAGE 与生产延迟预算下给出评测。

    Persona Guardrail 是客服向智能体的同步运行时防御：先写明功能边界，再决定放行或拦截，而不是只检测某一攻击类。

    深度解读完整解读
  19. 风险行为arXiv 2610.03195

    论文发现 LLM Agent 存在来源偏好，并测试两种缓解路径

    测量 Agent 端到端检索选择中的来源偏好并测试缓解

    arXiv
    2610.03195
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    GPT-5.4-nano、GPT-5.6-Luna、Gemini-3.7-Flash 等 14 个
    摘要来源标识本身会改变选择。

    这篇工作测量的是智能体在端到端检索里的来源偏好：满足相同需求、位置对齐时，仍系统性多选某些 URL 域的条目。

    深度解读完整解读
  20. 风险行为arXiv 2610.03033

    研究：LLM 智能体间的数值信号与协调行为

    测量多智能体博弈中数值信号的结构及其对合作的影响

    arXiv
    2610.03033
    发表
    层
    应用层
    场景
    多智能体
    被测模型
    GPT-4o (gpt-4o-2024-11-20)、Mistral Large (mistral-large-2512)、Claude Haiku 4.5 (claude-haiku-4-5-20251001) 等 4 个
    摘要受指令数值会形成锚定收益的结构并影响接收方，但合作效应不能跨模型外推。

    四种 LLM 在四个经典两人博弈中交换无预设语义的数字时，消息结构可以跨模型出现，合作水平的变化则不能跨模型外推。

    深度解读完整解读
加载更多