攻击arXiv 2610.09027
P-VMI：对抗图像经 KV cache 持续影响多轮对话
提出持久视觉记忆注入，使对抗图像经缓存在触发时操控输出
- arXiv
- 2610.09027
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen3-8B、Qwen3-VL-8B-Instruct、Gemma-4-12B
摘要论文提出 P-VMI，证实对抗输入被掩蔽后仍可经 KV 缓存持久控制模型，强调了保留状态的安全风险。
- 评测与基准arXiv 2610.06748
BazaarBench：评估 LLM Agent 在去中心化 C2C 市场中的代理安全
构建 BazaarBench，评测 C2C 市场中 Agent 的违规与失信行为
- arXiv
- 2610.06748
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- GPT-5.5、GPT-5.4、GPT-5.4-mini 等 5 个
- 风险欺骗与谋划
摘要论文提出挂钩底层资产的 C2C 交易评测基准，发现时间压力与对抗指令显著推高了智能体的违规承诺与欺诈行为。
BazaarBench 针对大语言模型智能体在去中心化 C2C 交易中的代理安全问题，提出了一个结合底层实体状态与大模型裁判的仿真基准平台。
- 攻击arXiv 2610.03430
JIL：通过对抗后缀操纵 LLM 请求调度优先级
提出 JIL 对抗后缀，压低长度预测以抬高请求调度优先级
- arXiv
- 2610.03430
- 发表
- 场景
- 模型与 API
- 被测模型
- Llama-3-8B-Instruct、Qwen2.5-7B-Instruct、Mistral-7B-Instruct-v0.3 等 4 个
- 技术梯度与表征优化
摘要JIL 用对抗后缀压低长度预测，在预测式 LLM 调度中提高自身优先级。
JIL 是对预测式 LLM 调度的攻击：用对抗后缀压低长度预测，使请求在 SRPT 式队列里更早得到服务。
- 风险行为arXiv 2610.03033
研究：LLM 智能体间的数值信号与协调行为
测量多智能体博弈中数值信号的结构及其对合作的影响
- arXiv
- 2610.03033
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- GPT-4o (gpt-4o-2024-11-20)、Mistral Large (mistral-large-2512)、Claude Haiku 4.5 (claude-haiku-4-5-20251001) 等 4 个
- 风险欺骗与谋划
摘要受指令数值会形成锚定收益的结构并影响接收方，但合作效应不能跨模型外推。
四种 LLM 在四个经典两人博弈中交换无预设语义的数字时，消息结构可以跨模型出现，合作水平的变化则不能跨模型外推。
- 防御arXiv 2610.02005
贝叶斯辩证论证（BDA）：面向持续对抗下多 LLM 委员会的可校准聚合
提出 BDA，按辩证动作可靠性加权聚合多 LLM 议会以抵抗持续对抗
- arXiv
- 2610.02005
- 发表
- 层
- 应用层
- 场景
- 多智能体
摘要BDA 用零额外调用的可靠性加权，给出可校准后验，并在持续对抗下反转不可靠席位。
BDA 是一种不另调 LLM 的多 LLM 议会聚合方法，同时处理置信度校准和持续不可靠席位。
- 防御arXiv 2609.39297
MiniRep：面向多智能体辩论的鲁棒声誉聚合方法
提出 MiniRep，在多智能体辩论聚合中结合当前质量、风险与历史声誉并限制克隆组
- arXiv
- 2609.39297
- 发表
- 层
- 应用层
- 场景
- 多智能体
摘要MiniRep 用当前提案证据校准历史声誉并限制克隆组，MATH 上平均准确率高于基线，其他任务有反例。
MiniRep 是面向恶意智能体的 MAD 声誉聚合，只作用在 Decide 阶段。
- 评测与基准arXiv 2609.39146
MADBench：多智能体辩论安全性评测基准发布
提出 MADBench，评测多智能体辩论是吸收还是放大对抗影响
- arXiv
- 2609.39146
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- gpt-4o、GPT-5、GPT-6 Astra
摘要MADBench 显示辩论能吸收部分准确率攻击，同时放大未授权读写。
MADBench 是一个评测多智能体辩论安全性的基准，用来看攻击是被辩论吸收还是被放大。
- 攻击arXiv 2609.38270
VirusCascade：劫持 LLM 推荐智能体的协同反思机制
提出 VirusCascade，劫持推荐智能体协同反思以实现定向推广
- arXiv
- 2609.38270
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 风险行为arXiv 2609.36855
研究：上游错误消息会让多智能体 LLM 下游覆盖正确答案
测量多智能体交接中错误上游消息覆盖下游正确答案
- arXiv
- 2609.36855
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- gpt-4o-mini、gpt-5.4、kimi-k2.6 等 7 个
- 风险失准与价值偏离
摘要固定证据只改消息后，错误上游结论会定向替换下游本可答对的答案。
这项受控研究考察多智能体 draft-review 交接里，一条上游消息会怎样改变下游原本能做对的判断。下游同时看到任务证据和上游消息。作者固定证据，比较消息隐藏、原样展示和结论反转，用消息价值τ和交互Γ分开“消息有用”和“消息有害”，并把能独立答对却改成上游具体错答称为substitution。
- 攻击arXiv 2609.28613
研究：提示注入可改变 Jev 决策模型的行动概率
测量间接提示注入对类型化概率决策的动作劫持
- arXiv
- 2609.28613
- 发表
- 层
- 应用层
- 场景
- 模型与 API
- 被测模型
- jev-1.13.0
摘要封闭动作集改变提示注入的表现，但没有去掉概率被不可信内容移动的风险。
作者在 jev-1.13.0 上研究 decision hijacking：不可信内容能否在用户任务和可选动作都不变时，把类型化决策推向攻击者目标。
- 攻击arXiv 2609.17817
论文：用投毒基准污染自改进编码 Agent，令其后续版本写出漏洞代码
提出基准投毒攻击，使自修改编码 Agent 跨代写出含漏洞代码
- arXiv
- 2609.17817
- 发表
- 层
- 应用层
- 被测模型
- Claude Sonnet 4.5、Qwen3.5-397B、gpt-oss-120b 等 5 个
- 攻击投毒与后门
摘要论文报告了恶意基准能污染自修改代码智能体的进化过程并持续输出漏洞，警示系统设计需纳入安全约束。
- 评测与基准arXiv 2609.17320
Emergence World：对长时程多智能体系统开展对抗压力测试
提出 Emergence World，对长时程多智能体系统开展对抗压力测试
- arXiv
- 2609.17320
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- Claude Opus 4.8、DeepSeek v4 Pro、Gemini 3.5 Flash 等 9 个
摘要作者通过长期平行世界实验指出模型对齐不具备可组合性，单模型群体会产生社会奉承、协同退缩及语言不透明等失效。
- 评测与基准arXiv 2609.05591
WolfSociety：金融智能体社会中有害智能体规模带来的集体风险
提出 WolfBench，测量金融智能体社会中有害智能体规模带来的集体崩溃
- arXiv
- 2609.05591
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- DeepSeek V3.2、GPT-4.1、Qwen3-235B 等 6 个
摘要更大的金融智能体社会在更低有害比例上崩溃，但所需有害人数仍增加。
WolfSociety 把多智能体安全写成受控金融社会中的集体失败问题：智能体经社交网络交流，并在共享市场里交易，形成从交流到行动再到后续决策的闭环。
摘要两层证明记录放出字节与边授权。
部署方侧的两层证明，用来在多智能体跨部署方委托之后回答两个事后问题：谁放出了这些字节，这条跨部署方边有没有父方授权。
- 风险行为arXiv 2608.10218
研究者用进化算法构造多智能体 LLM 系统中的自我传播“思维病毒”
用演化算法构造 mind virus 并测量其在多智能体中的传播
- arXiv
- 2608.10218
- 发表
- 层
- 应用层
- 被测模型
- Claude Haiku 4.5、Claude Sonnet 4.6、Gemini 3 Flash 等 7 个
- 评测与基准arXiv 2608.03421
ForesightSafety-TIDE
构建 ForesightSafety-TIDE 评测欺骗对多智能体事实恢复的影响
- arXiv
- 2608.03421
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- GPT-5.5、DeepSeek-v4-pro、Grok-4.5
- 风险欺骗与谋划
已经到底了