红队 · 论文

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

测试

GPT-4o、Gemini 3 Flash、Claude Sonnet 4 等 7 个

• 攻击提示注入
• 技术自动化搜索

CredLeak-Bench

提出 CredLeak-Bench，评测 Agent 在钓鱼登录与收件箱中的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 5、Claude Opus 4.8、Gemini 3.6 Flash 等 7 个

• 攻击提示注入

研究：跨通道碎片化攻击可绕过 MCP 单通道防御

提出跨通道分段攻击，利用 MCP 隐式信任诱导外发敏感文件

arXiv

2609.18217

发表

9月16日

层

应用层

场景

编程 Agent

测试

GPT-4o、GPT-4o-mini、GPT-5.4 等 15 个

• 攻击提示注入
• 技术编码与混淆
• 组件MCP 与技能
• +1+1

OpenAI 发布 GPT-Red：通过自博弈训练自动化红队智能体

提出自博弈红队智能体 GPT-Red，自动挖掘提示注入与越狱攻击

arXiv

2607.26115

发表

7月29日

层

应用层

场景

AI Agent

攻击者

黑盒

测试

GPT-5.6、GPT-5.5、GPT-5.4 等 8 个

• 攻击提示注入
• 技术自动化搜索
• +1+1

OpenART 提出环境演化红队框架

构建 OpenART 竞技场并以 EMHA 演化环境诱导 Agent 违规

arXiv

2608.00677

发表

8月1日

层

应用层

场景

AI Agent

测试

GPT-5.5、Claude-Opus-4.8、GLM-5.2 等 5 个

• 攻击提示注入
• 技术自动化搜索

A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型

提出 A2A-TIBA 间接提示注入，诱导智能体部署常驻回调并外传数据

arXiv

2610.00392

发表

10月2日

层

应用层

场景

多智能体、编程 Agent

测试

MiniMax-M3、deepseek-v4-pro、glm-5.3 等 8 个

• 攻击提示注入
• 技术潜伏触发
• 组件MCP 与技能
• +1+1

自主网络事件响应智能体的网络靶场评估

评测仿真训练的网络事件响应智能体在靶场中阻止红队扩大访问的综合代价

arXiv

2609.16541

发表

9月15日

层

应用层

场景

AI Agent

测试

Vejde、Vejde w/ Noise、Heuristic 等 4 个

红队测试 Auto Mode：用注入与多上下文攻击绕过编码 Agent 阻断监控器

提出 Auto Mode ++，加固编码 Agent 的阻断监视器

arXiv

2609.19587

发表

9月17日

层

应用层

场景

编程 Agent

测试

Opus 5、Opus 4.8、Opus 4.7 等 8 个

• 防御监控与审计
• 风险欺骗与谋划
• 组件监控器