攻击arXiv 2607.03220
CONTRA：研究者用配置树搜索对个人化 Agent 做红队测试
提出 CONTRA，用树搜索修改良性配置以诱发 Agent 恶意动作
- arXiv
- 2607.03220
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Nemotron-Cascade-2、Gemma4-31b、Gemma4-e4b 等 6 个
- 技术自动化搜索
全部论文
另有 600 篇论文还没打上分类标签，暂不在筛选结果里。
- 攻击arXiv 2607.12340
研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击
提出技能名称抢注攻击，利用智能体虚构技能名实施供应链劫持
- arXiv
- 2607.12340
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 测试
- Nemotron-Cascade-2 30B、GLM-4.5-Air、GPT-5.4-mini 等 10 个
摘要研究证实智能体虚构技能名具有高发生率与可预测性，现有防御难以兼顾安全与效用，亟需注册表结构性防护。
本研究系统揭示了大模型智能体技能推荐场景下的虚构技能名称安全风险，将其形式化为一种新型供应链抢注攻击。
- 攻击arXiv 2609.28585
论文提出持久计费状态概念，揭示工具调用 LLM Agent 的拒绝钱包攻击与防御
提出工具调用 Agent 的拒绝钱包攻击及主机侧计费约束
- arXiv
- 2609.28585
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Nemotron-120B、GPT-4o、GPT-4o-mini 等 9 个
摘要已准入工具返回的跨轮保留会重复计费。
这篇工作把工具调用智能体里跨轮保留、并被提供商反复计费的外部工具返回定义为 persistent billable state，并把它的主机侧再次送入决定当作控制点。。
- 攻击arXiv 2609.36474
FinRT：将自适应红队策略蒸馏为消费金融领域的可复用对抗生成器
提出 FinRT，将消费金融自适应红队轨迹蒸馏为可复用对抗提示生成器
- arXiv
- 2609.36474
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Nemotron-3-Super-120B、Llama-3.3-70B、Llama-3.1-8B 等 6 个
摘要FinRT 用前向失效发现加校准代理 DPO，把消费金融红队收成单次前向生成器。
FinRT 是面向消费金融的红队框架：先发现政策失效，再训练一个按政策、领域与目标行为出提示的生成器。
- 攻击arXiv 2609.33985
研究：众包微调数据投毒可放大专有指令抽取
提出主题锚点投毒，放大众包微调后的专有指令提取
- arXiv
- 2609.33985
- 发表
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Mistral-Nemo-12B-Instruct、Qwen2.5-7B-Instruct、Qwen2.5-14B-Instruct 等 6 个
摘要论文提出基于主题锚点的数据中毒攻击，证明低比例的中毒样本可在黑盒条件下隐蔽放大微调指令泄漏。
已经到底了