Agent 安全 · 论文

P-VMI：对抗图像经 KV cache 持续影响多轮对话

提出持久视觉记忆注入，使对抗图像经缓存在触发时操控输出

arXiv

2610.09027

发表

10月7日

层

基础设施层

场景

模型与 API

测试

Qwen3-8B、Qwen3-VL-8B-Instruct、Gemma-4-12B 等 4 个

• 攻击提示注入
• 技术潜伏触发
• 组件视觉
• +1+1

研究者训练出按多智能体拓扑触发的代码后门模型

提出拓扑条件后门，使模型在推断多智能体部署时向代码插入隐蔽漏洞

arXiv

2610.05793

发表

10月5日

层

训练与数据层

场景

编程 Agent、多智能体

测试

Qwen2.5-7B-Instruct、Qwen2.5-Coder-7B-Instruct

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重

READY：面向企业 Agent 部署的可靠性资格认证框架

提出 READY 资格框架，评测企业 Agent 在监督下的可靠性与复核成本

arXiv

2609.02095

发表

9月2日

层

应用层

场景

编程 Agent

测试

Opus 5、Sonnet 5、GPT-5.6-Sol 等 15 个

研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击

提出技能名称抢注攻击，利用智能体虚构技能名实施供应链劫持

arXiv

2607.12340

发表

7月14日

层

应用层

场景

编程 Agent

测试

GLM-4.5-Air、GPT-5.4-mini、Claude Sonnet 4.6 等 10 个

• 攻击投毒与后门
• 风险幻觉与编造
• 技术诱导选用
• 组件MCP 与技能
• +1+1

BioSecBench-Surveillance：面向病原体基因组监测 AI 智能体的可验证基准

提出 BioSecBench-Surveillance，评测 Agent 的病原监测分析

arXiv

2607.19262

发表

7月22日

层

应用层

场景

编程 Agent

测试

Opus 4.8、Opus 4.7、Opus 4.6 等 10 个

研究者用进化算法构造多智能体 LLM 系统中的自我传播“思维病毒”

用演化算法构造思维病毒并测量其在多智能体中的传播

arXiv

2608.10218

发表

8月11日

层

应用层

场景

多智能体、编程 Agent

测试

Claude Haiku 4.5、Claude Sonnet 4.6、Claude Opus 4.6 等 9 个

• 风险失准与价值偏离
• 组件记忆

论文：用投毒基准污染自改进编码 Agent，令其后续版本写出漏洞代码

提出基准投毒攻击，使自修改编码智能体跨代写出漏洞代码

arXiv

2609.17817

发表

9月16日

层

应用层

场景

编程 Agent

测试

Claude Sonnet 4.5、Qwen3.5-397B、gpt-oss-120b 等 6 个

• 攻击投毒与后门
• 技术潜伏触发

AuraForge：为训练安全编码 Agent 扩展安全监督

提出 AuraForge，从漏洞修复合成安全测试并监督训练编码智能体

arXiv

2610.00850

发表

10月2日

层

训练与数据层

场景

编程 Agent

测试

Qwen3.5-4B、Muse Spark 1.3、DeepSeek-V4.1-Flash 等 11 个

• 防御模型加固
• 风险Agent 危险操作

研究：提示注入可改变 Jev 决策模型的行动概率

测量间接提示注入对类型化概率决策的动作劫持

arXiv

2609.28613

发表

9月24日

层

应用层

场景

模型与 API

测试

jev-1.13.0

• 攻击提示注入
• 技术自动化搜索

Box² Bench：语言模型能否有选择地依赖外部指导

提出 Box2-Bench，评测模型能否选择性依赖外部工作流

arXiv

2609.39578

发表

9月30日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

Gemini 3.7 Flash、DeepSeek V4 Flash、GLM 5.2 等 9 个

FAME：用反事实推理评测自主智能体的虚假记忆

提出 FAME，用反事实概念漂移评测智能体虚假记忆

arXiv

2609.39473

发表

9月30日

层

模型层

场景

模型与 API

测试

Llama-3B

• 组件记忆