供应链安全 · 论文

EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播

提出 EVOMAL 攻击，诱导编码 Agent 自我投毒并蠕虫式传播技能

arXiv

2608.25776

发表

8月26日

层

应用层

场景

编程 Agent

测试

Devstral-Small-2、Gemma-4-31B-IT、Qwen3-Coder-Next 等 7 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +3+3

FAB 攻击：给 HuBERT/WavLM 植入后门，背景警笛声即可让下游语音任务失灵

提出 FAB 攻击，向声学基础模型植入可由环境声触发的后门

arXiv

2610.09819

发表

10月7日

层

训练与数据层

场景

模型与 API

测试

HuBERT-base、WavLM-base

• 攻击投毒与后门
• 技术潜伏触发
• 组件音频
• +1+1

PersistBD：攻击者可在发布前强化后门，使其在开发者 SFT 与 RL 后仍保持高攻击成功率

提出 PERSISTBD，发布前强化后门以穿透良性 SFT 与 RL

arXiv

2610.07510

发表

10月6日

层

应用层

场景

编程 Agent

测试

Qwen2.5-Coder-3B-Instruct、Qwen2.5-Coder-7B-Instruct、Qwen3-Coder-30B-A3B-Instruct

• 攻击投毒与后门
• 技术梯度与表征优化
• 组件微调与开源权重
• +1+1

研究者披露 LiteLLM 网关跨租户干扰攻击 Cooldown Landmines

提出利用共享冷却的跨租户干扰攻击，并设计租户隔离机制

arXiv

2610.05089

发表

10月4日

层

基础设施层

场景

LLM 应用

测试

Qwen1.5-MoE-A2.7B-Chat、DeepSeek-MoE-16B-Chat

• 防御指令与数据隔离
• 攻击拒绝服务
• +1+1

研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击

提出技能名称抢注攻击，利用智能体虚构技能名实施供应链劫持

arXiv

2607.12340

发表

7月14日

层

应用层

场景

编程 Agent

测试

GLM-4.5-Air、GPT-5.4-mini、Claude Sonnet 4.6 等 10 个

• 攻击投毒与后门
• 风险幻觉与编造
• 技术诱导选用
• 组件MCP 与技能
• +1+1

论文：蒸馏防御在蒸馏后强化学习下易被攻破

提出用 API 推理摘要重建轨迹再蒸馏加强化学习，攻破蒸馏防御

arXiv

2609.35699

发表

9月29日

层

训练与数据层

场景

模型与 API

攻击者

黑盒

测试

Qwen2.5-0.5B、Qwen2.5-1.5B、Qwen2.5-3B 等 12 个

• 攻击提取与窃取
• 组件推理链

面向软件交付决策门禁的智能体安全审计器持续保障机制

提出 TAIP，把策略与证据分离，在配置或策略变化后重算仓库审计门禁裁决

arXiv

2609.35266

发表

9月28日

层

应用层

场景

编程 Agent

测试

gpt-4o-mini、gpt-4.1

研究者提出上下文权限提升攻击，12 款 Agent 框架均受影响

提出 M-CPE 与 X-CPE 两类上下文特权提升攻击

arXiv

2609.01222

发表

9月1日

层

应用层

场景

编程 Agent

测试

GPT-5.5、GPT-5.4 mini、Claude-Sonnet-4.6 等 7 个

• 攻击提示注入
• 组件记忆
• +2+2

CodePoisonRAG：针对检索增强代码生成的知识投毒攻击

提出 CodePoisonRAG，对检索增强代码生成的知识库投毒以植入漏洞

arXiv

2609.02774

发表

9月3日

层

应用层

场景

LLM 应用

测试

Qwen 3.5 9B、Code Llama 13B、DeepSeek-Coder-V2 16B 等 4 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件RAG

10a Labs 测绘无审查开源模型生态：3,471 个原始模型与 8,164 次再分发

测绘去安全开源模型的生产与重分发留存链路

arXiv

2609.05241

发表

9月4日

层

训练与数据层

场景

模型与 API

测试

Qwen、Llama、Gemma 等 10 个

• 攻击模型篡改
• 组件微调与开源权重

研究揭示基于混淆的端侧 LLM 保护方案的安全边界

提出 Collapse，从端侧混淆暴露视图抽取高效用替代模型

arXiv

2609.10117

发表

9月9日

层

模型层

场景

模型与 API

测试

BERT-Base、ViT-Base、Qwen2.5-0.5B 等 4 个

• 攻击提取与窃取
• 技术针对防御

面向 AI-SOC 的神经符号防御框架：用 SIEM 解码器与 NeMo Guardrails 阻断日志投毒提示注入

提出神经符号纵深架构，阻断 AI-SOC 的日志投毒与间接提示注入

arXiv

2609.10707

发表

9月10日

层

应用层

场景

LLM 应用

测试

Gemma 3 (12B)

• 防御检测与过滤
• 攻击提示注入
• 组件护栏与评审
• +1+1

PatchHolmes：基于列表式选择的智能体补丁检索系统

提出列表式智能体补丁检索系统，在仓库中定位 CVE 修复提交

arXiv

2609.38807

发表

9月30日

层

应用层

场景

编程 Agent

测试

Qwen3-235B、Qwen3-Coder-30B、gpt-oss-120B 等 6 个

推理层安全：防御对抗性推理与基础设施滥用

用 SCM 合成会话并训练检测器识别推理层滥用

arXiv

2609.38239

发表

9月29日

层

基础设施层

场景

模型与 API

测试

gradient-boosted detector (GBDT/XGBoost)

• 防御检测与过滤
• 攻击越狱
• +1+1

SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化

提出 SYNCHAIN，诱导计算机使用 Agent 自合成潜伏技能并跨任务触发

arXiv

2608.06862

发表

8月7日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

Qwen3.5-9B、Llama-3.1-8B、Ministral-3-8B 等 5 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件MCP 与技能
• +3+3

Akrasia：针对推理型代码 LLM 的隐蔽后门攻击

提出推断期后门攻击 AKRASIA，用代码触发器与伪装推理篡改代码输出

arXiv

2609.01023

发表

9月1日

层

提示层

场景

编程 Agent

测试

Claude-Sonnet-5、GPT-5.5、Gemini-3.5-flash 等 7 个

• 技术推理链操控
• 组件推理链
• +1+1

去中心化联邦学习中的拜占庭节点放置优化

提出 BPI 选点算法，增强去中心化联邦学习中的模型与数据投毒

arXiv

2609.01495

发表

9月2日

层

训练与数据层

场景

模型与 API

• 攻击投毒与后门

PentestChain：面向免费层 LLM 的成本感知 MCP 编排自动化渗透测试框架

提出成本感知的 MCP 编排框架，用确定性利用图与免费层模型做自动化渗透测试

arXiv

2609.18120

发表

9月16日

层

应用层

场景

LLM 应用

测试

qwen2.5:7b (Ollama, local)、OpenRouter (free-tier)、Cerebras (free-tier)

• 风险危险能力
• 组件MCP 与技能

OllamaDrama：用蜜罐测量暴露 LLM 基础设施遭受的攻击

部署蜜罐测量针对暴露 LLM 基础设施的攻击

arXiv

2609.29757

发表

9月24日

层

基础设施层

场景

模型与 API

SkillDRE：用预执行与运行时双阶段反馈自动演化恶意 Agent 技能

提出 SkillDRE，用预执行与运行时反馈演化恶意技能

arXiv

2609.32400

发表

9月26日

层

应用层

场景

编程 Agent

测试

DeepSeek-V4-Pro、GLM-5.2、Qwen3.5-397B-A17B 等 4 个

• 攻击投毒与后门
• 技术自动化搜索
• 组件MCP 与技能
• +4+4