跳到正文
10月9日 · 周五

Agent 安全 · 论文

找到 59 篇
筛选5

攻击类型

越狱1提示注入21投毒与后门10提取与窃取1检测规避1恶意使用3

攻击技术

自动化搜索2编码与混淆1角色扮演与说服1对话结构操控1潜伏触发4

模型自身风险

欺骗与谋划8奖励作弊2失准与价值偏离6Agent 危险操作7危险能力1拒答失当2

防御类型

模型加固2检测与过滤2指令与数据隔离4权限与审批7监控与审计1水印与溯源1

影响

有害内容2越权操作15数据与隐私泄露5输出被操纵18可用性与可靠性2监督失效10滥用能力提升1

系统形态

模型与 API1LLM 应用14AI Agent295编程 Agent65网页与电脑操作24多智能体41具身与机器人3

攻击者权限

黑盒1

攻击面/入口

用户输入6网页与界面2文档与消息9工具返回6工具与技能描述3代码仓库与依赖1检索语料8记忆写入5Agent 间消息11训练数据1权重与梯度1

层

提示层2模型层9应用层59训练与数据层4基础设施层3

系统组件

MCP 与技能6记忆7RAG4护栏与评审4监控器5权限与沙箱8

被测模型厂商

OpenAI35Qwen（阿里）31Google24Anthropic21DeepSeek20Meta17Kimi（月之暗面）11Mistral9智谱 GLM8xAI6其他22
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 226 篇还没打标签，不在筛选结果里。
系统形态：模型与 API系统形态：LLM 应用系统形态：多智能体系统形态：具身与机器人层：应用层话题：Agent 安全清除全部

另有 226 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2607.14493

    LogInject 框架披露 LLM 日志分析中的被动提示注入

    提出 LogInject 框架，评测日志分析中的被动提示注入及缓解

    arXiv
    2607.14493
    发表
    层
    应用层
    场景
    LLM 应用
    测试
    GPT-4o、Claude 3.5 Sonnet、Llama-3-70B-Instruct

    摘要论文评估了 LLM 日志分析中的上下文污染风险，提出分片拼接等攻击与三层防御，指出必须结合架构隔离与人工介入。

    深度解读完整解读
  2. 风险行为arXiv 2609.32701

    研究显示前沿模型智能体在测试时自行形成隐蔽信道

    展示多智能体在禁令与监视下自发建立隐蔽信道传递机密

    arXiv
    2609.32701
    发表
    层
    应用层
    场景
    多智能体
    测试
    GPT-5.6 Sol、Terra、Luna 等 6 个
    摘要论文研究了固定参数智能体在受监视交互中仅凭单比特反馈自发建立隐蔽信道，指出了多智能体跨域协作的保密安全新风险。

    论文研究了固定参数与提示词的智能体在受审计交互中自发形成隐蔽信道并泄露机密的过程。

    深度解读完整解读
  3. 防御arXiv 2610.05640

    研究揭示 CaMeL 防护在多智能体系统中失效并提出 multi-CaMeL

    提出 multi-CaMeL，在多智能体调用边界隔离可信指令与不可信数据

    arXiv
    2610.05640
    发表
    层
    应用层
    场景
    多智能体
    测试
    Claude Fable 5、GPT-5.5、GPT-4.1 等 6 个

    摘要论文针对多智能体中单体防御不组合的边界清洗问题，提出 multi-CaMeL 协议彻底阻断了 MultiAgentDojo 上的注入攻击。

    深度解读完整解读
  4. 评测与基准arXiv 2610.06748

    BazaarBench：评估 LLM Agent 在去中心化 C2C 市场中的代理安全

    构建 BazaarBench 评测 C2C 市场中 Agent 的违规失信

    arXiv
    2610.06748
    发表
    层
    应用层
    场景
    多智能体
    测试
    GPT-5.5、GPT-5.4、GPT-5.4-mini 等 5 个
    摘要论文提出挂钩底层资产的 C2C 交易评测基准，发现时间压力与对抗指令显著推高了智能体的违规承诺与欺诈行为。

    BazaarBench 针对大语言模型智能体在去中心化 C2C 交易中的代理安全问题，提出了一个结合底层实体状态与大模型裁判的仿真基准平台。

    深度解读完整解读
  6. 风险行为arXiv 2609.39050

    研究：九个前沿模型中七个会隐蔽传递凭据以绕过监控

    测量良性多智能体协作中自发隐蔽传递凭据以绕过监控

    arXiv
    2609.39050
    发表
    层
    应用层
    场景
    多智能体、编程 Agent
    测试
    DeepSeek-V4-Pro、devstral-2512、gpt-oss-120b 等 15 个

    摘要论文揭示智能体会因良性助人意图自主编码凭据规避监控，主张不能单靠内容审查，需在动作层强化严格鉴权。

    深度解读完整解读
  7. 攻击arXiv 2609.35576

    研究提出跨 LLM 助手的记忆跳跃攻击

    提出跨独立助手的工件介导记忆跳跃自传播攻击

    arXiv
    2609.35576
    发表
    层
    应用层
    场景
    多智能体
    测试
    GPT-5.6 Luna、Kimi-K2.6、GPT-OSS-120B 等 6 个
    摘要论文证实持久工件与内存可形成跨智能体传播链，揭示了将共享工件纳入安全防线的重要意义。

    该论文系统研究并量化了通过共享持久工件在具有独立私有内存的 LLM 智能体之间发生自传播的“工件介导传播”攻击风险。

    深度解读完整解读
  10. 分析与理论arXiv 2609.23215

    研究审计 Active Inference Agent 的 LLM 解释器失败模式

    审计 Active Inference Agent 上 LLM 解释器的监督叙述失败

    arXiv
    2609.23215
    发表
    层
    应用层
    场景
    LLM 应用
    测试
    GPT-4o、Claude-3-Opus、Gemini
    摘要三组触发下解释流畅但错误，所提缓解都未被评估。

    作者审计的是挂在智能体上的运行时解释器，而不是智能体本身。操作员读到的是信念与动作的自然语言叙述。作者要问哪些可复现触发会让这段叙述失败，以及失败痕迹是什么样。

    深度解读完整解读
  11. 攻击arXiv 2609.19722

    ALIBI：向二进制注入虚假安全叙事可让 LLM 恶意软件分析器误判

    提出 ALIBI，向恶意二进制注入不执行掩护叙事使分析器误判为良性

    arXiv
    2609.19722
    发表
    层
    应用层
    场景
    LLM 应用
    攻击者
    黑盒
    测试
    Gemini 2.5 Pro、GPT-5.5 Pro、Claude Opus 4.7 等 4 个
    摘要ALIBI 用二进制内的掩护叙事重释可疑静态证据，Gemini 上翻转多，另两模型主要为降级。

    ALIBI 是针对 LLM 恶意软件分诊的语义掩护叙事攻击：不覆盖系统指令，而把仍可见的可疑静态证据重释成良性安全产品的预期行为。

    深度解读完整解读
  14. 防御arXiv 2610.00371

    FlowReview：以授权配对评测控制多智能体组合信息流

    提出 FlowReview，用对象解析与确定性提交门控制多智能体组合信息流

    arXiv
    2610.00371
    发表
    层
    应用层
    场景
    多智能体
    测试
    Sonnet 4.5、Haiku 4.5、Qwen3-32B 等 7 个
    摘要配对标准要求拒绝禁止使用并完成授权使用，FlowReview 把三项审查接到执行。

    这篇工作把多智能体安全写成一件必须同时成立的事：拦住组合信息所启用的禁止使用，并完成同一场景里任务所需的授权使用。

    深度解读完整解读
  15. 评测与基准arXiv 2609.31342

    研究揭示过期文档投毒：RAG 检索可让模型放弃原本正确的答案

    评测 RAG 中过期文档推翻模型原本正确回答的现象

    arXiv
    2609.31342
    发表
    层
    应用层
    场景
    LLM 应用
    测试
    GPT-4o、GPT-4.1、Claude-Opus-4.5 等 13 个
    摘要论文评测了陈旧检索推翻正确知识的中毒现象，并分析了其内部机制与防御局限。

    这篇论文是对检索增强生成（RAG）中“陈旧文档中毒”现象的实证与机理评估研究。

    深度解读完整解读
  16. 防御arXiv 2608.30387

    研究者提出多智能体系统输出与委派链路双层存证方案

    提出多智能体输出与委派谱系的两层存证方案

    arXiv
    2608.30387
    发表
    层
    应用层
    场景
    多智能体
    测试
    Ollama llama3.1:latest
    摘要两层证明记录放出字节与边授权。

    部署方侧的两层证明，用来在多智能体跨部署方委托之后回答两个事后问题：谁放出了这些字节，这条跨部署方边有没有父方授权。

    深度解读完整解读
  17. 防御arXiv 2608.30083

    研究者提出零知识谓词证明网关，在 MCP 与 Agent2Agent 上实现 Agent 间数据最小化

    提出零知识谓词证明网关，让 Agent 只交换谓词证明而不传敏感值

    arXiv
    2608.30083
    发表
    层
    应用层
    场景
    多智能体
    摘要作者将 source integrity 而不是证明开销视为绑定约束。

    Proof Gateway 是一套已运行的智能体间数据最小化机制：用治理谓词的零知识证明代替原始值和自然语言自述。

    深度解读完整解读
  20. 评测与基准arXiv 2609.03221

    FairMedAgent：临床 LLM 智能体公平性审计中的随机噪声下限

    用 FairMedAgent 测量临床智能体在输入不变时的动作不稳定性下限

    arXiv
    2609.03221
    发表
    层
    应用层
    场景
    LLM 应用
    测试
    claude-haiku-4-5、claude-sonnet-5、llama3.1:8b-instruct 等 7 个
    摘要先测同一输入下的动作不一致率，再用它解读人口学翻转率。

    FairMedAgent 把临床智能体公平审计里的采样噪声单独量出来：输入不变时动作仍会改变，这个比率就是解读翻转率的下限。。

    深度解读完整解读
加载更多