全部论文

论文提出针对 Agentic RAG 的检索器后门攻击与 DOU 隐藏方法

提出检索器后门攻击操纵智能体多轮搜索，并用 DOU 隐蔽后门

arXiv

2609.37468

发表

9月26日

层

应用层

场景

AI Agent

测试

E5、Contriever-MSMARCO、Qwen2.5-7B-Instruct

• 攻击投毒与后门
• 技术潜伏触发
• 组件RAG
• +4+4

AudioHijack 框架对 13 个语音大模型实现隐蔽音频提示注入

提出 AudioHijack，用不可感知对抗音频对语音模型实施听觉提示注入

arXiv

2604.14604

发表

4月16日

层

应用层

场景

AI Agent

测试

SpeechGPT、GLM-4-Voice、VITA-Audio 等 15 个

• 攻击提示注入
• 技术梯度与表征优化
• 组件音频
• +1+1

研究者提出 Breadcrumbing 长程攻击，可劫持 DeepResearch 类搜索 Agent 的证据链

提出权威链劫持 ACH 与策略演化 TGSE，劫持搜索 Agent 的证据链

arXiv

2608.04565

发表

8月5日

层

应用层

场景

AI Agent

测试

Qwen3.5-9B、Gemma4-31B、DeepResearch 等 8 个

• 攻击提示注入
• 技术自动化搜索
• 组件RAG

研究者提出 PoisonedEvolution 轨迹投毒攻击

提出 PoisonedEvolution 轨迹投毒，诱导自演化技能系统把恶意行为固化为技能

arXiv

2608.05563

发表

8月6日

层

应用层

场景

AI Agent

测试

GPT-5.4、MiniMax-M2.5、DeepSeek-V3.2 等 7 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆

研究者系统研究 LLM 智能体记忆投毒攻击并提出 MPBench 基准

系统研究 LLM 智能体记忆投毒并构建基准 MPBench

arXiv

2606.04329

发表

6月3日

层

应用层

场景

AI Agent

测试

GPT-OSS-120B、Meta-Llama-3.1-70B-Instruct、Deberta-v3-base 等 6 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

Purdue 提出 Pact：将欺骗作为行为遗忘

提出 PACT，遗忘推理模型在压力下的欺骗行为并保留上下文理解

arXiv

2609.38909

发表

9月30日

层

训练与数据层

场景

模型与 API

攻击者

白盒

测试

DeepSeek-R1-Distill-Qwen-32B、QwQ-32B

• 防御模型加固
• 攻击模型篡改
• 风险欺骗与谋划
• 组件微调与开源权重
• +1+1

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

GPT-5.6-Sol、GPT-5.6-Terra、GPT-5.6-Luna 等 14 个

研究提出 Confidence Game 模型

测量委托收费激励下模型策略性虚报任务信心

arXiv

2610.09371

发表

10月7日

层

模型层

场景

模型与 API

测试

gpt-oss-120b

• 风险欺骗与谋划

新论文称 Lean 验证不能为 OpenAI 的 Navier-Stokes 自然语言证明背书

论证 Lean 编译通过不能保证自然语言数学证明语义忠实

arXiv

2610.08144

发表

10月6日

层

模型层

场景

模型与 API

测试

ChatGPT-6 (Astra Ultra)、OpenAI Navier-Stokes formalisation AI、Meta Atlas autoformaliser

研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策

arXiv

2609.11757

发表

9月10日

层

应用层

场景

AI Agent

测试

gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱
• +1+1

P-VMI：对抗图像经 KV cache 持续影响多轮对话

提出持久视觉记忆注入，使对抗图像经缓存在触发时操控输出

arXiv

2610.09027

发表

10月7日

层

基础设施层

场景

模型与 API

测试

Qwen3-8B、Qwen3-VL-8B-Instruct、Gemma-4-12B 等 4 个

• 攻击提示注入
• 技术潜伏触发
• 组件视觉
• +1+1

研究：后训练配方决定大模型是否违背自身道德判断行事

提出知行差距面板，测量压力下模型是否违背自身判断

arXiv

2610.08670

发表

10月7日

层

模型层

场景

模型与 API

测试

OLMo-3-7B-Instruct、Llama-3.1-8B-Instruct、Tulu 3 等 7 个

• 风险失准与价值偏离

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

SkillPoison：用成功经验投毒自进化 Agent 的技能形成

提出 SkillPoison，用局部有效的成功经验投毒自进化智能体的技能形成

arXiv

2610.07645

发表

10月6日

层

应用层

场景

AI Agent

测试

deepseek-v4-flash、Qwen V3.8 Flash、GPT-5.5

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

研究发现类型化决策模型主要按选项标签而非定义作答

揭示类型化决策模型按选项标签而非定义规则作答

arXiv

2610.02586

发表

10月1日

层

提示层

场景

模型与 API

测试

von、Qwen2.5-0.5B、Qwen2.5-1.5B 等 6 个

• 组件护栏与评审

SycoLens 研究：单一谄媚翻转率掩盖纠正与屈从的区别

构建 SycoLens 重放评测，区分谄媚翻转中的纠错与屈从

arXiv

2610.06522

发表

10月5日

层

模型层

场景

模型与 API

测试

opus-5、sonnet-5、sonnet-4.6 等 11 个

• 风险失准与价值偏离

BazaarBench：评估 LLM Agent 在去中心化 C2C 市场中的代理安全

构建 BazaarBench 评测 C2C 市场中 Agent 的违规失信

arXiv

2610.06748

发表

10月5日

层

应用层

场景

多智能体

测试

GPT-5.5、GPT-5.4、GPT-5.4-mini 等 5 个

• 攻击恶意使用
• 风险欺骗与谋划

研究者训练出按多智能体拓扑触发的代码后门模型

提出拓扑条件后门，使模型在推断多智能体部署时向代码插入隐蔽漏洞

arXiv

2610.05793

发表

10月5日

层

训练与数据层

场景

编程 Agent、多智能体

测试

Qwen2.5-7B-Instruct、Qwen2.5-Coder-7B-Instruct

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重

研究者提出闭环偏见注入攻击

提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见

arXiv

2610.05894

发表

10月5日

层

模型层

场景

模型与 API

攻击者

灰盒

测试

LLaDA-8B-Instruct、Dream-v0-Instruct-7B、LLaDA-MoE-7B-A1B-Instruct

• 攻击模型篡改
• 技术梯度与表征优化

研究揭示无触发投毒审计缺口：事实答对不等于决策正确

揭示无触发虚假训练下事实回答与下游决策的审计差距

arXiv

2610.02886

发表

10月2日

层

训练与数据层

场景

模型与 API

测试

Qwen2.5-0.5B、Qwen2.5-1.5B、Qwen2.5-3B 等 9 个

• 攻击投毒与后门