攻击arXiv 2609.117579月10日
研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御
提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策
arXiv
2609.11757
发表
9月10日
层
应用层
场景
AI Agent
测试
gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
深度解读完整解读
攻击arXiv 2609.182179月16日
研究：跨通道碎片化攻击可绕过 MCP 单通道防御
提出跨通道分段攻击，利用 MCP 隐式信任诱导外发敏感文件
arXiv
2609.18217
发表
9月16日
层
应用层
场景
编程 Agent
测试
GPT-4o、GPT-4o-mini、GPT-5.4 等 15 个
- 攻击提示注入
- 技术编码与混淆
- 组件MCP 与技能
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
深度解读完整解读
攻击arXiv 2609.267619月23日
A2M：针对 MCP 生态的两阶段 Agent 劫持框架
提出两阶段框架 A2M，优化 MCP 工具元数据与返回载荷以劫持智能体
arXiv
2609.26761
发表
9月23日
层
应用层
场景
AI Agent
测试
GLM-4.6、Qwen3-Max、DeepSeek-V3.1 等 5 个
- 攻击提示注入
- 技术诱导选用
- 组件MCP 与技能
深度解读完整解读
攻击arXiv 2608.293818月30日
研究者提出 Agent 检查点回滚的五类安全失效，并在 Hermes、Cline、LangGraph 上实现三种攻击
提出利用检查点回滚破坏智能体执行连续性的攻击
arXiv
2608.29381
发表
8月30日
层
应用层
场景
AI Agent
测试
DeepSeek-v4
- 组件权限与沙箱
摘要论文系统研究了智能体 C/R 的安全性，分析了合法回滚破坏执行连续性的机理，并实证评估了其普遍性与危害。
深度解读完整解读
攻击arXiv 2607.261157月29日
OpenAI 发布 GPT-Red：通过自博弈训练自动化红队智能体
提出自博弈红队智能体 GPT-Red，自动挖掘提示注入与越狱攻击
arXiv
2607.26115
发表
7月29日
层
应用层
场景
AI Agent
攻击者
黑盒
测试
GPT-5.6、GPT-5.5、GPT-5.4 等 8 个
- 攻击提示注入
- 技术自动化搜索
深度解读完整解读
攻击arXiv 2607.116987月13日
AHA 用自动研究循环发现生产 Agent 漏洞概念
提出 AHA 自动研究循环，发现生产 Agent 的漏洞概念
arXiv
2607.11698
发表
7月13日
层
应用层
场景
编程 Agent
攻击者
黑盒
测试
Minimax-M2.7、Kimi-K2.6、Deepseek-V4-Pro 等 5 个
- 攻击越狱
- 技术自动化搜索
摘要论文提出基于可证伪科研循环的 AHA 框架，从生产级智能体中挖掘并沉淀漏洞概念图，提升攻击复用率并指导防御加固。
AHA 是一项针对生产级 LLM 智能体自动化红队测试的研究，旨在解决传统方法仅保留具体攻击载荷而缺乏成因解释、导致跨版本复用困难且无法指导修复的问题。
深度解读完整解读
攻击arXiv 2608.238588月25日
研究者对 Google AP2 v0.2 做系统安全分析，识别 48 项威胁
系统分析 AP2 支付协议的授权安全并验证前置上下文操纵
arXiv
2608.23858
发表
8月25日
层
应用层
场景
多智能体
测试
gpt-5.3、gpt-5.5
- 攻击提示注入
- 组件MCP 与技能
深度解读完整解读
攻击arXiv 2609.275429月23日
研究者用控制 token 注入删除 gpt-oss-20b 推理链并绕过思维链监控
提出控制标记注入，清空工具智能体推理链以绕过思维链监控
arXiv
2609.27542
发表
9月23日
层
应用层
场景
AI Agent
测试
openai/gpt-oss-20b、google/gemma-4-26B-A4B-it、deepseek-ai/DeepSeek-R1-Distill-Qwen-7B 等 4 个
- 攻击提示注入
- 技术对话结构操控
- 组件推理链
摘要论文阐明控制标记注入可抑制 CoT 使监控失效并促成拒绝绕过，且工具执行受解析器宽容度影响。
深度解读完整解读
攻击arXiv 2609.044959月4日
研究将间接提示注入重新表述为测试时搜索问题
提出 Search Harness，把间接提示注入做成测试时搜索
arXiv
2609.04495
发表
9月4日
层
应用层
场景
AI Agent
测试
Claude Opus 4.8、GPT-5.5、GLM-5.2
- 攻击提示注入
- 技术自动化搜索
深度解读完整解读
攻击arXiv 2608.304418月31日
ECLIPSE：针对长程 Agent 系统的自演化隐蔽提示注入攻击
提出 ECLIPSE 双通道自演化提示注入，劫持长程智能体动作轨迹
arXiv
2608.30441
发表
8月31日
层
应用层
场景
AI Agent
攻击者
黑盒
测试
DeepSeek、GPT-4o、Claude 4.8 Opus 等 7 个
- 攻击提示注入
- 技术自动化搜索
- 组件MCP 与技能
深度解读完整解读
攻击arXiv 2609.285859月23日
论文提出持久计费状态概念，揭示工具调用 LLM Agent 的拒绝钱包攻击与防御
提出工具调用 Agent 的拒绝钱包攻击及主机侧计费约束
arXiv
2609.28585
发表
9月23日
层
应用层
场景
AI Agent
测试
GPT-4o、GPT-4o-mini、Mistral-Large 等 9 个
- 防御指令与数据隔离
- 攻击拒绝服务
摘要已准入工具返回的跨轮保留会重复计费。
这篇工作把工具调用智能体里跨轮保留、并被提供商反复计费的外部工具返回定义为 persistent billable state，并把它的主机侧再次送入决定当作控制点。。
深度解读完整解读
攻击arXiv 2609.313189月25日
AgentXploit：面向 AI Agent 的仓库到运行时自动化红队系统
提出 AgentXploit 红队系统，分离仓库攻击路径发现与运行时利用
arXiv
2609.31318
发表
9月25日
层
应用层
场景
AI Agent
测试
gpt-5.1-codex、GPT-4.1
- 攻击提示注入
- 技术自动化搜索
深度解读完整解读
攻击arXiv 2609.336289月27日
用课程强化学习对前沿模型做提示注入红队测试
提出跨目标课程强化学习，生成间接提示注入以劫持智能体
arXiv
2609.33628
发表
9月27日
层
应用层
场景
AI Agent
测试
Qwen3-4B-Instruct-2507、GPT-4o-mini、GPT-5-nano 等 14 个
- 攻击提示注入
- 技术自动化搜索
摘要提出跨目标模型课程强化学习，攻破前沿模型冷启动瓶颈并实现跨模型迁移。
该研究针对强化学习自动化提示注入红队在攻击前沿大模型时的冷启动问题，提出了一种基于目标模型鲁棒性递进的课程强化学习方法。
深度解读完整解读
攻击arXiv 2609.365769月29日
AdaLCPI：让 Agent 从长上下文碎片中重建间接提示注入
提出 AdaLCPI，把间接提示注入拆成片段嵌入工具返回并自适应优化
arXiv
2609.36576
发表
9月29日
层
应用层
场景
AI Agent
测试
GPT-4.1、GPT-5.1、GPT-5.6-Luna 等 7 个
- 攻击提示注入
- 技术编码与混淆
深度解读完整解读

已经到底了