跳到正文
10月9日 · 周五

全部论文

找到 15 篇
筛选7

攻击类型

提示注入6投毒与后门7提取与窃取1检测规避2

攻击技术

自动化搜索1针对防御2

模型自身风险

奖励作弊1Agent 危险操作2拒答失当1偏见与歧视1

防御类型

模型加固62推理时干预1检测与过滤9指令与数据隔离2权限与审批5监控与审计13水印与溯源1

影响

有害内容1越权操作5数据与隐私泄露2输出被操纵4可用性与可靠性1监督失效2

系统形态

模型与 API6LLM 应用14AI Agent66编程 Agent9网页与电脑操作5多智能体7

攻击者权限

黑盒1灰盒2

攻击面/入口

用户输入1网页与界面1文档与消息1工具返回3工具与技能描述3代码仓库与依赖2Agent 间消息1训练数据4权重与梯度2分发渠道4

层

提示层12模型层3应用层9训练与数据层6基础设施层1

系统组件

MCP 与技能5护栏与评审1监控器3推理链1权限与沙箱4微调与开源权重1

被测模型厂商

OpenAI6其他14
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 552 篇还没打标签，不在筛选结果里。
防御类型：检测与过滤防御类型：指令与数据隔离防御类型：权限与审批系统形态：模型与 API系统形态：编程 Agent层：应用层层：训练与数据层清除全部

另有 552 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2608.09732

    ColluSkill 用跨技能组合绕过 Agent 技能扫描器

    提出 ColluSkill 跨技能组合攻击，拆分恶意载荷以绕过技能扫描器

    arXiv
    2608.09732
    发表
    层
    应用层
    场景
    编程 Agent
    攻击者
    黑盒、灰盒
    测试
    GPT-5.5、DeepSeek-V4-Pro、GLM-5.2

    摘要论文揭示了单技能孤立扫描的盲区，提出多技能链攻击 ColluSkill 与上下文防御 ChainGuard 并验证了有效性。

    深度解读完整解读
  2. 防御arXiv 2605.17380

    Uber 提出 ADR 企业级 Agent 检测系统，在 7200 台主机部署十个月

    提出企业级检测系统 ADR，检测编程 Agent 的提示注入与恶意 MCP

    arXiv
    2605.17380
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    GPT-4o、Claude Sonnet 4、Llama Guard 3-8B 等 4 个

    摘要提出了端点因果遥测、两级在线分流与离线红队闭环的 ADR 系统，并在生产环境中验证了有效性。

    深度解读完整解读
  3. 防御arXiv 2609.38983

    论文提出 Approval Laundering 分类，实测 Claude Code 审批与执行绑定失败

    提出 Approval Token 绑定编程智能体的审批与执行

    arXiv
    2609.38983
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude Code (v2.1.197, opus[1m] / claude-sonnet-5-ccmax)、Codex CLI (@openai/codex v0.154.0)

    摘要系统揭示编程智能体审批洗白风险，提出七字段权能防御机制，证实其能消除身份时序偏离但难防副作用偏离。

    深度解读完整解读
  5. 防御arXiv 2608.21101

    ClawSentry：面向自主 LLM Agent 的渐进式多层安全监控网关

    提出 ClawSentry 渐进式多层监控网关，拦截恶意技能包与上下文注入

    arXiv
    2608.21101
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Codex/GPT-5.4、Codex/GPT-5.5、Claude Code/GLM-5.1 等 7 个
    摘要ClawSentry 用包准入、三级运行时门控和反绕过，压低 skill 攻击并保住干净任务。

    ClawSentry 是挂在智能体运行时之外的安全监督网关，用来同时盖住 skill 执行的多个生命周期边界，并把已被拒绝的效果记到会话里。

    深度解读完整解读
  8. 防御arXiv 2609.39107

    MASCRDM：面向大语言模型训练过程的合规风险检测与缓解多智能体系统

    提出 MASCRDM，在监督微调中实时检测并缓解偏见

    arXiv
    2609.39107
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    Qwen3-8B-Base、Llama-3.1-8B
    摘要MASCRDM 在 SFT 中按法规图谱检测数据、结构与损失风险，BBQ 总准确率在两模型上最高。

    MASCRDM 把 AI 法律规章编成知识图谱，再由五个智能体在 LLM 训练中做实时合规检测与缓解，实验以偏见与歧视为代表风险。

    深度解读完整解读
  9. 防御arXiv 2609.01677

    Skill-as-API：面向智能体软件工程的机密多智能体协作协议

    提出 Skill-as-API，防止协作通道泄露 skill 代码与系统提示词

    arXiv
    2609.01677
    发表
    层
    应用层
    场景
    多智能体、编程 Agent
    摘要协议把 skill 正文留在所有者侧，四层限制发现内容、权限期限和注入拼接。

    Skill-as-API 是面向智能体软件工程的协调协议，用来在跨组织调用时把 skill 的代码和系统提示词留在所有者进程。作者针对三条威胁：经通道或命名空间抽取专有方法，用注入让被调用模型输出系统提示词，以及协作结束后权限继续保留。

    深度解读完整解读
  10. 攻击arXiv 2609.27124

    Fed-ADR：用恶意编排服务器协同客户端梯度操纵攻击联邦学习

    提出 Fed-ADR，用编排服务器协同操纵梯度攻破联邦学习并检测恢复

    arXiv
    2609.27124
    发表
    层
    训练与数据层
    场景
    模型与 API
    攻击者
    灰盒
    测试
    CNN（MNIST：2 Conv + 3 FC）、CNN（Fashion-MNIST：6 Conv + 1 FC）、ResNet18（CIFAR-10）
    摘要Fed-ADR 用 gray-box 编排攻击绕过多种聚合防御，再用 Hessian 一致性检测和窗口内恢复把准确率拉回。

    Fed-ADR 是一套面向联邦学习的攻击、检测与恢复框架：编排服务器改写合谋客户端的梯度，使参数服务器的现有防御把投毒更新当成良性，同时在发现后用历史梯度把全局模型原地修回来。

    深度解读完整解读
  13. 防御arXiv 2609.07063

    VERITAS：抗投毒的本地差分隐私图学习协议

    提出 VERITAS，用双边背书剪除本地隐私图学习中的投毒节点

    arXiv
    2609.07063
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    GCN、GraphSAGE、GAT
    摘要VERITAS 用分级信任的双边背书剪除 LDP 图学习中的投毒节点，并恢复分类准确率。

    VERITAS 是面向本地差分隐私图学习的投毒防御协议，按 trust-but-verify 在保持 ϵ-LDP 的同时剪除伪造节点。

    深度解读完整解读
  15. 防御arXiv 2609.35659

    Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统

    提出 Tracekit，对编码 Agent 做防篡改的意图-推理-动作审计

    arXiv
    2609.35659
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）
    摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。

    Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。

    深度解读完整解读
已经到底了