全部论文

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

测试

GPT-4o、Gemini 3 Flash、Claude Sonnet 4 等 7 个

• 攻击提示注入
• 技术自动化搜索

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

GPT-5.6-Sol、GPT-5.6-Terra、GPT-5.6-Luna 等 14 个

CredLeak-Bench

提出 CredLeak-Bench，评测 Agent 在钓鱼登录与收件箱中的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 5、Claude Opus 4.8、Gemini 3.6 Flash 等 7 个

• 攻击提示注入

论文提出 eTAMP 攻击：网页内容注入可跨会话污染 Web Agent 记忆

提出 eTAMP，通过网页注入跨会话污染 Web 智能体轨迹记忆

arXiv

2604.02623

发表

4月

层

应用层

场景

网页与电脑操作

测试

GPT-5-mini、GPT-5.2、GPT-OSS-120B 等 7 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作

arXiv

2610.09240

发表

10月7日

层

应用层

场景

网页与电脑操作

测试

LLaVA-v1.5-13B、LLaVA-v1.6-34B、MiniCPM-o-8B 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

研究者训练出按多智能体拓扑触发的代码后门模型

提出拓扑条件后门，使模型在推断多智能体部署时向代码插入隐蔽漏洞

arXiv

2610.05793

发表

10月5日

层

训练与数据层

场景

编程 Agent、多智能体

测试

Qwen2.5-7B-Instruct、Qwen2.5-Coder-7B-Instruct

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重

COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构

提出 COBRA，用分支能力约束与代理拦截防御计算机使用 Agent 的分支引导攻击

arXiv

2610.03089

发表

10月2日

层

应用层

场景

网页与电脑操作

测试

gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等 6 个

• 防御指令与数据隔离
• 攻击提示注入
• 组件MCP 与技能
• +1+1

Mind2Web-Injection：面向网页 Agent 视觉提示注入护栏的证据对齐评测

提出 Mind2Web-Injection，评测网页 Agent 截图护栏的证据对齐

arXiv

2609.05535

发表

9月2日

层

应用层

场景

网页与电脑操作

测试

GPT-5.6-luna、Qwen3-VL-32B、Qwen3-VL-8B 等 6 个

• 防御检测与过滤
• 攻击提示注入
• 组件护栏与评审
• +1+1

ZoneClaw 用记忆分区防御 OpenClaw 式计算机使用 Agent 的持久记忆攻击

提出 ZoneClaw，用信任区隔离计算机使用 Agent 的持久记忆权限

arXiv

2610.00450

发表

10月1日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 4.6、GPT-5.5、GLM-5.2 等 4 个

• 防御指令与数据隔离
• 攻击投毒与后门
• 组件记忆
• +3+3

DURA：用扩散模型生成自然对抗补丁攻击 VLA 机器人模型

提出 DURA，沿扩散潜空间生成自然对抗补丁，把机器人动作导向指定目标

arXiv

2608.10393

发表

8月11日

层

提示层

场景

具身与机器人

测试

OpenVLA-7B、π0-FAST、openvla-7B

• 技术跨模态载荷
• 组件视觉
• +1+1

SCOPE：训练有能力且安全的计算机使用智能体

提出 SCOPE 联合后训练计算机使用智能体的任务执行与安全决策

arXiv

2609.22178

发表

8月27日

层

应用层

场景

网页与电脑操作

测试

Qwen3.5-9B、SCOPE-mid-checkpoint、SCOPE-Capability-Safety 等 14 个

• 防御模型加固
• 攻击提示注入

UCM：为网页智能体遮蔽不可信内容以提供安全保证

提出 UCM，用 DOM 掩码与类型受限隔离模型隔开网页智能体与不可信内容

arXiv

2607.05277

发表

7月7日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 4.5、Claude Sonnet 4.6、GPT-5.4

• 防御指令与数据隔离
• 攻击提示注入

论文：用投毒基准污染自改进编码 Agent，令其后续版本写出漏洞代码

提出基准投毒攻击，使自修改编码智能体跨代写出漏洞代码

arXiv

2609.17817

发表

9月16日

层

应用层

场景

编程 Agent

测试

Claude Sonnet 4.5、Qwen3.5-397B、gpt-oss-120b 等 6 个

• 攻击投毒与后门
• 技术潜伏触发

AgentLSD：在对抗性任务污染下评测 AI 安全 Agent

用 AgentLSD 评测安全 Agent 在对抗任务污染下的解题与开销

arXiv

2609.19140

发表

9月17日

层

应用层

场景

网页与电脑操作

测试

Gemma-4 31B、DeepSeek-V4 Flash、GPT-OSS 120B 等 6 个

• 攻击提示注入

UBA-ORL：针对离线强化学习的遗忘激活后门攻击

提出 UBA-ORL，借助 BD 与 CM 样本让离线强化学习后门在轨迹删除后激活

arXiv

2609.22711

发表

9月19日

层

训练与数据层

场景

具身与机器人

测试

TD3+BC、BCQ、IQL

• 攻击投毒与后门
• 技术潜伏触发

可验证行动卡片 VAC：为智能体浏览器提供可信人在回路确认

提出可验证操作卡 VAC，从真实 DOM 重构智能体浏览器的确认信息

arXiv

2609.18411

发表

9月16日

层

应用层

场景

网页与电脑操作

测试

gpt-oss-120b、Gemini-2.5-Flash、GPT-4.1 等 6 个

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱
• +1+1

MMSkillRisk：多模态技能图像中的隐藏指令可诱导 Agent 执行未授权操作

提出 MMSkillRisk 与 NCVA，评测技能图像隐藏指令诱导的未授权操作

arXiv

2609.35912

发表

9月28日

层

应用层

场景

编程 Agent

测试

GPT-5.6-sol、Kimi-K2.6、Kimi-K3 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件MCP 与技能
• +2+2

Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统

提出 Tracekit，对编码 Agent 做防篡改的意图-推理-动作审计

arXiv

2609.35659

发表

9月29日

层

应用层

场景

编程 Agent

测试

Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）

• 防御监控与审计
• 攻击提示注入
• 风险Agent 危险操作
• 组件监控器
• +3+3