全部论文

论文提出选项通道攻击：改一个选项标签即可让 Agent 护栏放行违规操作

提出选项通道攻击，改写选项标签使 Agent 护栏放行违规操作

arXiv

2610.12292

发表

10月9日

层

应用层

场景

AI Agent

攻击者

黑盒

被测模型

LAYA-TD、LAYA-EN、LAYA-ML 等 5 个

• 攻击检测规避
• 技术针对防御
• 组件护栏与评审

论文提出针对 Agentic RAG 的检索器后门攻击与 DOU 隐藏方法

提出检索器后门攻击操纵智能体多轮搜索，并用 DOU 隐蔽后门

arXiv

2609.37468

发表

9月26日

层

应用层

场景

AI Agent

被测模型

E5、Contriever-MSMARCO

• 攻击投毒与后门
• 技术潜伏触发
• 组件RAG
• +4+4

研究者披露针对 LLM Agent 护栏的推理扩展型拒绝服务攻击

提出针对 LLM Agent 护栏的推理扩展拒绝服务攻击

arXiv

2606.14517

发表

6月12日

层

应用层

场景

AI Agent

攻击者

黑盒、白盒

• 攻击拒绝服务
• 技术推理链操控
• 组件护栏与评审
• +2+2

研究者提出 Breadcrumbing 长程攻击，可劫持 DeepResearch 类搜索 Agent 的证据链

提出权威链劫持 ACH 与策略演化 TGSE，劫持搜索 Agent 的证据链

arXiv

2608.04565

发表

8月5日

层

应用层

场景

AI Agent

被测模型

Qwen3.5-9B、Gemma4-31B、DeepResearch 等 7 个

• 攻击提示注入
• 技术自动化搜索
• 组件RAG

ColluSkill 用跨技能组合绕过 Agent 技能扫描器

提出 ColluSkill 跨技能组合攻击，拆分恶意载荷以绕过技能扫描器

arXiv

2608.09732

发表

8月10日

层

应用层

场景

编程 Agent

攻击者

黑盒、灰盒

被测模型

GPT-5.5、DeepSeek-V4-Pro、GLM-5.2

• 防御检测与过滤
• 攻击检测规避
• 技术针对防御
• 组件MCP 与技能
• +3+3

研究者系统研究 LLM 智能体记忆投毒攻击并提出 MPBench 基准

系统研究 LLM 智能体记忆投毒并构建基准 MPBench

arXiv

2606.04329

发表

6月3日

层

应用层

场景

AI Agent

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播

提出 EVOMAL 攻击，诱导编码 Agent 自我投毒并蠕虫式传播技能

arXiv

2608.25776

发表

8月26日

层

应用层

场景

编程 Agent

被测模型

Devstral-Small-2、Gemma-4-31B-IT、Qwen3-Coder-Next 等 7 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +3+3

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

被测模型

GPT-4o、Gemini 3 Flash、Claude Sonnet 4 等 7 个

• 攻击提示注入
• 技术自动化搜索

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

被测模型

GPT-5.6-Sol、GPT-5.6-Terra、GPT-5.6-Luna 等 14 个

用时序逻辑监控工具 Agent

提出 MFOTL 时序监控，用 MonPoly 检出工具 Agent 的危险动作链

arXiv

2610.09793

发表

10月7日

层

应用层

场景

AI Agent

• 防御监控与审计
• 攻击提示注入
• 组件监控器
• +1+1

CredLeak-Bench

提出 CredLeak-Bench，评测 Agent 在钓鱼登录与收件箱中的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

• 攻击提示注入

研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策

arXiv

2609.11757

发表

9月10日

层

应用层

场景

AI Agent

被测模型

gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱
• +1+1

论文提出 eTAMP 攻击：网页内容注入可跨会话污染 Web Agent 记忆

提出 eTAMP，通过网页注入跨会话污染 Web 智能体轨迹记忆

arXiv

2604.02623

发表

4月

层

应用层

场景

网页与电脑操作

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

Trojan Hippo Bench：针对 LLM Agent 持久记忆攻击与防御的动态基准

提出 Trojan Hippo Bench，评测智能体持久记忆攻击与防御

arXiv

2605.01970

发表

5月3日

层

应用层

场景

AI Agent

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +2+2

WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作

arXiv

2610.09240

发表

10月7日

层

应用层

场景

网页与电脑操作

被测模型

LLaVA-v1.5-13B、LLaVA-v1.6-34B、MiniCPM-o-8B 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

APEX：在 LLM Agent 执行边界主动防御间接提示注入

提出 APEX，在执行边界用预编译授权契约防御 Agent 间接提示注入

arXiv

2610.06966

发表

10月4日

层

应用层

场景

AI Agent

被测模型

DeepSeek-V4-Flash、GLM-5.2、GPT-5.6-sol

• 防御权限与审批
• 攻击提示注入
• 组件MCP 与技能
• +2+2

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

被测模型

Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

研究者提出统一滥用监控基准，覆盖分解攻击与提示注入约 6200 条轨迹

构建统一滥用监视基准，评测分解攻击与提示注入轨迹

arXiv

2610.07089

发表

10月5日

层

应用层

场景

AI Agent

被测模型

Gemma 4 26B-A4B、Qwen3.6 27B、Qwen3.5 27B 等 12 个

• 攻击越狱
• 组件监控器
• +1+1

HarnessSecurity-Bench 横向评测六款编码智能体框架的安全机制

提出 HARNESSSECURITY-BENCH 评测编码智能体框架的安全机制

arXiv

2610.07639

发表

10月6日

层

应用层

场景

编程 Agent

• 攻击提示注入
• 组件权限与沙箱
• +1+1

CORSA：面向技能路由器的技能注入攻击可跨路由器与 LLM 迁移

提出 CORSA，在任务簇上联合优化技能注入的检索与执行

arXiv

2610.08098

发表

10月6日

层

应用层

场景

编程 Agent

被测模型

GPT-5.4、DeepSeek-V4-Pro、Qwen3.8-27B 等 5 个

• 攻击提示注入
• 技术诱导选用
• 组件MCP 与技能
• +2+2