攻击arXiv 2610.02373
HDI 攻击：篡改 GraphRAG 辅助结构可致 88–94% 攻击成功率
提出 HDI 攻击以篡改 GraphRAG 辅助结构破坏检索
- arXiv
- 2610.02373
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 测试
- Microsoft GraphRAG、HippoRAG2、text-embedding-3-small 等 4 个
摘要论文形式化了 GraphRAG 辅助模式级实体攻击面，提出 HDI 攻击并验证其攻击效果。
Agent 安全 · 论文
另有 276 篇论文还没打上分类标签，暂不在筛选结果里。
- 分析与理论arXiv 2610.01535
论文：安全路由评测在分布偏移下失效，基线选取偏差被低估
提出诚实留出协议，量化安全路由评测的基线选择偏差
- arXiv
- 2610.01535
- 发表
- 层
- 应用层
- 测试
- claude-3-5-sonnet、claude-3-opus、claude-sonnet-4-6 等 12 个
- 攻击越狱
摘要论文揭示安全路由评估在分布偏移下的虚假下限，指出防御重心应转向外部动作级强制。
- 评测与基准arXiv 2609.31342
研究揭示过期文档投毒：RAG 检索可让模型放弃原本正确的答案
评测 RAG 中过期文档推翻模型原本正确回答的现象
- arXiv
- 2609.31342
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 测试
- GPT-4o、GPT-4.1、Claude-Opus-4.5 等 13 个
- 组件RAG
摘要论文评测了陈旧检索推翻正确知识的中毒现象，并分析了其内部机制与防御局限。
这篇论文是对检索增强生成（RAG）中“陈旧文档中毒”现象的实证与机理评估研究。
- 评测与基准arXiv 2609.03221
FairMedAgent：临床 LLM 智能体公平性审计中的随机噪声下限
用 FairMedAgent 测量临床智能体在输入不变时的动作不稳定性下限
- arXiv
- 2609.03221
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 测试
- claude-haiku-4-5、claude-sonnet-5、llama3.1:8b-instruct 等 7 个
摘要先测同一输入下的动作不一致率，再用它解读人口学翻转率。
FairMedAgent 把临床智能体公平审计里的采样噪声单独量出来：输入不变时动作仍会改变，这个比率就是解读翻转率的下限。。
- 攻击arXiv 2609.02774
CodePoisonRAG：针对检索增强代码生成的知识投毒攻击
提出 CodePoisonRAG，对检索增强代码生成的知识库投毒以植入漏洞
- arXiv
- 2609.02774
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 测试
- Qwen 3.5 9B、Code Llama 13B、DeepSeek-Coder-V2 16B 等 4 个
摘要CodePoisonRAG 展示了 RACG 外部知识库的新攻击面，在较低投毒率下可定向诱发指定漏洞并部分抵御防御。
- 防御arXiv 2610.00328
ContractRL：面向可审计工具调用修复的屏蔽组相对策略优化
提出契约约束的工具调用修复协议，在执行前拦截非法补丁
- arXiv
- 2610.00328
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 测试
- 2B rank-8 LoRA、0.8B rank-4 LoRA
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
- 防御arXiv 2609.13601
Mind the Gap：检测 DAO 治理中的描述-执行不匹配攻击
提出 DEMI 检测框架，在执行前识别 DAO 提案描述与执行载荷的不匹配
- arXiv
- 2609.13601
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 测试
- GPT-4o、Claude 4.5 Sonnet、Gemini 2.5 Pro 等 8 个
摘要用公开链上数据仿真治理全流程，再以逐动作证据映射在执行前发现描述与执行不一致。
Mind the Gap 把 DAO 提案的描述–执行不一致（DEMI）做成可在投票窗口内运行的检测问题。。
- 攻击arXiv 2609.28613
研究：提示注入可改变 Jev 决策模型的行动概率
测量间接提示注入对类型化概率决策的动作劫持
- arXiv
- 2609.28613
- 发表
- 层
- 应用层
- 场景
- 模型与 API
- 测试
- jev-1.13.0
摘要封闭动作集改变提示注入的表现，但没有去掉概率被不可信内容移动的风险。
作者在 jev-1.13.0 上研究 decision hijacking：不可信内容能否在用户任务和可选动作都不变时，把类型化决策推向攻击者目标。
- 防御arXiv 2609.10707
面向 AI-SOC 的神经符号防御框架：用 SIEM 解码器与 NeMo Guardrails 阻断日志投毒提示注入
提出神经符号纵深架构，阻断 AI-SOC 的日志投毒与间接提示注入
- arXiv
- 2609.10707
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 测试
- Gemma 3 (12B)
- 评测与基准arXiv 2608.28411
LongPIBench：面向长上下文提示注入的评测基准
提出 LongPIBench，评测长文档场景下的提示注入攻击与防御
- arXiv
- 2608.28411
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 测试
- Llama-3.1-8B-Instruct、Llama-3.2-3B-Instruct、Apertus-8B-Instruct 等 11 个
- 攻击提示注入
摘要论文构建长文本提示注入基准 LongPIBench，揭示启发式与优化攻击在长文档中的高有效性及现有防御的大幅失效。
- 其他arXiv 2609.18120
PentestChain：面向免费层 LLM 的成本感知 MCP 编排自动化渗透测试框架
提出成本感知的 MCP 编排框架，用确定性利用图与免费层模型做自动化渗透测试
- arXiv
- 2609.18120
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 测试
- qwen2.5:7b (Ollama, local)、OpenRouter (free-tier)、Cerebras (free-tier)
摘要确定性利用图加免费层级联在十次自建运行上测得付费成本为零。
PentestChain 是一个十阶段、经 MCP 暴露的自动渗透框架，用确定性利用图把 7B 本地模型挡在利用关键路径之外，并把每次交战的美元成本当作实测指标。。
- 防御arXiv 2609.21088
Provenance-Aware Transformers：用来源感知架构分离可信边界以防御间接提示注入
提出 Provenance-Aware Transformers，隔离不可信来源防御间接提示注入
- arXiv
- 2609.21088
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 测试
- SmolLM2-360M-Instruct、LLaMA-3-8B-Instruct、Qwen2.5-7B-Instruct 等 4 个
已经到底了