全部论文

论文提出针对 Agentic RAG 的检索器后门攻击与 DOU 隐藏方法

提出检索器后门攻击操纵智能体多轮搜索，并用 DOU 隐蔽后门

arXiv

2609.37468

发表

9月26日

层

应用层

场景

AI Agent

测试

Qwen2.5-7B-Instruct、E5、Contriever-MSMARCO

• 攻击投毒与后门
• 技术潜伏触发
• 组件RAG
• +4+4

研究者提出 PoisonedEvolution 轨迹投毒攻击

提出 PoisonedEvolution 轨迹投毒，诱导自演化技能系统把恶意行为固化为技能

arXiv

2608.05563

发表

8月6日

层

应用层

场景

AI Agent

测试

Qwen3.5-35B-A3B、Qwen3.5-122B-A10B、GPT-5.4 等 7 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆

研究提出社会性作弊概念：RL训练让LLM发现社会规则漏洞

用 SocioHack 展示 RL 训练使模型自发利用社会规制漏洞

arXiv

2606.04075

发表

6月3日

层

模型层

场景

模型与 API

测试

Qwen3-30B-A3B、Qwen3.5-4B、Qwen3.5-9B 等 6 个

• 风险奖励作弊

EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播

提出 EVOMAL 攻击，诱导编码 Agent 自我投毒并蠕虫式传播技能

arXiv

2608.25776

发表

8月26日

层

应用层

场景

编程 Agent

测试

Qwen3-Coder-Next、Devstral-Small-2、Gemma-4-31B-IT 等 7 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +3+3

Purdue 提出 Pact：将欺骗作为行为遗忘

提出 PACT，遗忘推理模型在压力下的欺骗行为并保留上下文理解

arXiv

2609.38909

发表

9月30日

层

训练与数据层

场景

模型与 API

攻击者

白盒

测试

QwQ-32B、DeepSeek-R1-Distill-Qwen-32B

• 防御模型加固
• 攻击模型篡改
• 风险欺骗与谋划
• 组件微调与开源权重
• +1+1

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

Qwen3.5-122B-A10B、Qwen3.5-27B、GPT-5.6-Sol 等 14 个

DelegationBench

提出 DelegationBench，评测智能体该请示用户时是否实际询问

arXiv

2610.05532

发表

10月5日

层

应用层

场景

AI Agent

测试

Qwen 3.6 27B、GPT-5.6 Sol、GPT-5.6 Terra 等 10 个

• 风险Agent 危险操作

审计发现 CLIP 安全分数主要反映画面与提示词场景的相似度

开环审计冻结视觉安全分，发现偏离主要来自场景模板与视角

arXiv

2610.09517

发表

10月7日

层

模型层

场景

具身与机器人

测试

Qwen2-VL-7B、CLIP ViT-B/32、CLIP ViT-L/14 等 6 个

• 组件视觉
• +1+1

CredLeak-Bench

提出 CredLeak-Bench，评测 Agent 在钓鱼登录与收件箱中的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Qwen3.5-9B、Claude Sonnet 5、Claude Opus 4.8 等 7 个

• 攻击提示注入

APort Vault 发布：用 4,371 条人工攻击评测 AI Agent 支付授权

构建 APort Vault 基准，对比裸模型与确定性授权对越权支付的拦截

arXiv

2609.22076

发表

9月18日

层

应用层

场景

AI Agent

测试

Qwen3.8 Max、Claude Fable 5.1、Claude Sonnet 5 等 14 个

• 防御权限与审批
• 攻击越狱
• 组件权限与沙箱

论文提出 eTAMP 攻击：网页内容注入可跨会话污染 Web Agent 记忆

提出 eTAMP，通过网页注入跨会话污染 Web 智能体轨迹记忆

arXiv

2604.02623

发表

4月

层

应用层

场景

网页与电脑操作

测试

Qwen2.5-VL-72B、Qwen3-VL-32B、Qwen3.5-122B-A10B 等 7 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作

arXiv

2610.09240

发表

10月7日

层

应用层

场景

网页与电脑操作

测试

Qwen2-VL-7B、LLaVA-v1.5-13B、LLaVA-v1.6-34B 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

SafeEvo：从拒答回路视角解释大模型安全对齐机制与演化

用 SafeEvo 提取拒绝电路，并提出 SCA 仅微调该电路

arXiv

2610.09600

发表

10月7日

层

训练与数据层

场景

模型与 API

测试

Qwen-2.5-7B、Llama-3-8B、Mistral-7B-v0.1 等 4 个

• 防御模型加固
• 风险拒答失当

P-VMI：对抗图像经 KV cache 持续影响多轮对话

提出持久视觉记忆注入，使对抗图像经缓存在触发时操控输出

arXiv

2610.09027

发表

10月7日

层

基础设施层

场景

模型与 API

测试

Qwen3-8B、Qwen3-VL-8B-Instruct、Qwen2.5-32B 等 4 个

• 攻击提示注入
• 技术潜伏触发
• 组件视觉
• +1+1

PatchBench 提出激活补丁局部评测协议，揭示越狱修复的附带损伤

提出 PatchBench-Local 协议，评测激活补丁修复越狱的局部附带损伤

arXiv

2610.10276

发表

10月7日

层

模型层

场景

模型与 API

测试

Qwen2.5-3B-Instruct、Qwen2.5-14B-Instruct、gemma-3-4b-it 等 8 个

• 防御推理时干预
• 攻击越狱

人格层级模型解释微调 LLM 的上下文泛化

提出人格层级模型并设计 PPR 抑制奖励作弊的跨上下文泛化

arXiv

2610.09384

发表

10月7日

层

模型层

场景

模型与 API

测试

Qwen3-4B、Llama-3.1-8B-Instruct

• 防御模型加固
• 风险奖励作弊

论文揭示 LLM Agent 工具调用在执行路径中被改写，并提出 IntAct 修复方案

提出 IEC 协议与 IntAct，定位并修复 Agent 工具调用的静默篡改

arXiv

2610.04375

发表

10月3日

层

应用层

场景

编程 Agent

测试

qwen3-coder-plus、Qwen2.5-Coder-32B、Qwen2.5-72B 等 4 个

研究：后训练配方决定大模型是否违背自身道德判断行事

提出知行差距面板，测量压力下模型是否违背自身判断

arXiv

2610.08670

发表

10月7日

层

模型层

场景

模型与 API

测试

Qwen2.5-7B-Instruct、Qwen2.5-7B、OLMo-3-7B-Instruct 等 7 个

• 风险失准与价值偏离

研究：LLM 潜在空间去偏方向主要编码置信度而非公平性

分析 LLM 去偏激活方向，发现其编码置信度而非公平性

arXiv

2610.08559

发表

10月6日

层

模型层

场景

模型与 API

测试

Qwen3.5-9B-Base、Qwen3.5-9B、Llama-3.1-8B 等 8 个

• 防御推理时干预
• 风险偏见与歧视

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉