Agent 安全 · 论文

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 4、GPT-4o、Gemini 3 Flash 等 7 个

• 攻击提示注入
• 技术自动化搜索

东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核

揭示推理模型用标识符规则替代随机抽样，使审计可被预测

arXiv

2610.09667

发表

10月7日

层

模型层

场景

模型与 API

测试

Claude Sonnet 5、GPT-6 Sol、GPT-6 Luna 等 6 个

• 组件推理链

CredLeak-Bench

提出 CredLeak-Bench，评测智能体在钓鱼场景下的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 5、Claude Opus 4.8、Gemini 3.6 Flash 等 7 个

UC Berkeley 提出 BenchJack，自动审计 10 个 Agent 基准并发现 219 处奖励作弊缺陷

提出 BENCHJACK，自动审计智能体基准的奖励作弊缺陷

arXiv

2605.12673

发表

5月12日

层

应用层

场景

编程 Agent、网页与电脑操作

测试

Claude Code、OpenAI Codex

• 风险奖励作弊
• 组件护栏与评审
• +1+1

研究显示 VLM 视觉定位输出的拒答率按危害领域平均低 31 至 59 个百分点

提出融合定位拒答与能力保留的安全微调，补齐视觉定位输出的拒答缺口

arXiv

2610.05637

发表

10月5日

层

训练与数据层

场景

模型与 API

测试

Claude Sonnet 4.6、Gemini 3.5 Flash、Molmo2-8B 等 5 个

• 防御模型加固
• 风险拒答失当
• 组件视觉

COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构

提出 COBRA 双 LLM 架构，防御计算机使用智能体的分支转向攻击

arXiv

2610.03089

发表

10月2日

层

应用层

场景

网页与电脑操作

测试

claude-sonnet-5、gpt-5、UI-TARS-1.5-7B 等 6 个

• 防御指令与数据隔离
• 组件权限与沙箱
• +2+2

SCOPE：训练有能力且安全的计算机使用智能体

提出 SCOPE 联合后训练计算机使用智能体的任务执行与安全决策

arXiv

2609.22178

发表

8月27日

层

应用层

场景

网页与电脑操作

测试

Claude 4.5 Sonnet、Qwen3.5-9B、SCOPE-mid-checkpoint 等 14 个

• 防御模型加固
• 攻击提示注入

UCM：为网页智能体遮蔽不可信内容以提供安全保证

提出 UCM，用 DOM 掩码与类型受限隔离模型隔开网页智能体与不可信内容

arXiv

2607.05277

发表

7月7日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 4.5、Claude Sonnet 4.6、GPT-5.4

• 防御指令与数据隔离
• 攻击提示注入

OSWorld-Science：面向科学软件学习与使用的计算机操作智能体基准

提出 OSWorld-Science 评测计算机使用智能体的科学软件操作能力

arXiv

2609.39903

发表

9月30日

层

应用层

场景

网页与电脑操作

测试

Claude Fable 5.1、Claude Opus 5、Claude Sonnet 5 等 12 个

JailbreakSkill：用可复用可演化技能扩展自动化红队

提出 JailbreakSkill，用可演化技能自动搜索并复用越狱提示

arXiv

2608.16465

发表

8月17日

层

提示层

场景

模型与 API

攻击者

黑盒

测试

Claude Sonnet 4.6、GLM 5.2、DeepSeek-V4-Pro Preview 等 8 个

• 攻击越狱
• 技术自动化搜索

AgentTell：浏览器 Agent 的行为侧信道泄漏基准

构建 AGENTTELL 基准，测量浏览器智能体跨站行为侧信道泄露

arXiv

2609.32915

发表

9月26日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 5、Gemini 3.7 Flash、GPT-5.6 Luna 等 6 个

• 风险Agent 危险操作

HazardAuditor：面向计算机使用 Agent 的执行级安全护栏框架

提出 HazardAuditor 与 GuardPO，训练计算机使用智能体的运行时守卫

arXiv

2609.15134

发表

9月14日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

Claude-Sonnet-4.6、HazardAuditor、HazardAuditor-SFT 等 15 个

• 防御监控与审计
• 风险Agent 危险操作
• 组件监控器

EngiWorld 基准发布：前沿 Agent 在专业工程环境中最高仅得 44.3 分

提出 EngiWorld 基准，评测 Agent 在专业工程软件中走完设计闭环的能力

arXiv

2609.37686

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

Claude Opus 5 (Max)、GPT-5.6-Sol (XHigh)、Qwen 3.8 Max 等 7 个

CONFLICTGUI 基准与 CONFLICTGUARD 框架：让多模态 GUI Agent 学会在冲突指令下终止执行

AI 导读作者提出 CONFLICTGUI 基准，覆盖指令内部冲突与指令和 GUI 上下文冲突两类场景，用于研究 GUI Agent 的冲突感知终止能力。

arXiv

2609.03438

发表

9月3日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 4.6、UI-Venus-1.5-8B、UI-TARS-1.5-7B 等 10 个

• 防御推理时干预
• 风险Agent 危险操作
• 组件视觉

MATE：面向移动 Agent 的策略感知安全审计方法

提出策略条件轨迹审计器 MATE，判断移动 Agent 是否违反可编辑安全策略

arXiv

2609.22724

发表

9月19日

层

应用层

场景

网页与电脑操作

攻击者

黑盒

测试

Claude-Sonnet-4、MATE-0.5B、MATE-1.5B 等 8 个

• 防御监控与审计
• 攻击恶意使用
• 风险Agent 危险操作
• 组件监控器