全部论文

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

GPT-5.6-Sol、GPT-5.6-Terra、GPT-5.6-Luna 等 14 个

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

研究者训练出按多智能体拓扑触发的代码后门模型

提出拓扑条件后门，使模型在推断多智能体部署时向代码插入隐蔽漏洞

arXiv

2610.05793

发表

10月5日

层

训练与数据层

场景

编程 Agent、多智能体

测试

Qwen2.5-7B-Instruct、Qwen2.5-Coder-7B-Instruct

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重

READY：面向企业 Agent 部署的可靠性资格认证框架

提出 READY 资格框架，评测企业 Agent 在监督下的可靠性与复核成本

arXiv

2609.02095

发表

9月2日

层

应用层

场景

编程 Agent

测试

Opus 5、Sonnet 5、GPT-5.6-Sol 等 15 个

研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击

提出技能名称抢注攻击，利用智能体虚构技能名实施供应链劫持

arXiv

2607.12340

发表

7月14日

层

应用层

场景

编程 Agent

测试

GLM-4.5-Air、GPT-5.4-mini、Claude Sonnet 4.6 等 10 个

• 攻击投毒与后门
• 风险幻觉与编造
• 技术诱导选用
• 组件MCP 与技能
• +1+1

CryptanalysisBench：五个前沿模型在 191 项密码分析任务上的表现

提出 CryptanalysisBench，评测模型端到端破解真实密码原语的能力

arXiv

2607.18538

发表

7月21日

层

应用层

场景

编程 Agent

测试

Claude Opus 4.8、Claude Sonnet 5、Claude Mythos 5 等 10 个

• 风险危险能力

AgentRewind：面向长周期 LLM Agent 的可恢复执行框架

提出 AgentRewind，用对齐检查点回退长程 Agent 的上下文与工作区

arXiv

2608.14380

发表

8月14日

层

应用层

场景

编程 Agent

测试

GPT-5.4、GPT-5.4 mini、Qwen3.7-Max 等 7 个

• 组件权限与沙箱

BioSecBench-Surveillance：面向病原体基因组监测 AI 智能体的可验证基准

提出 BioSecBench-Surveillance，评测 Agent 的病原监测分析

arXiv

2607.19262

发表

7月22日

层

应用层

场景

编程 Agent

测试

Opus 4.8、Opus 4.7、Opus 4.6 等 10 个

BioSecBench-Refusal：面向智能体生物安全风险评估的配对基准

提出 BioSecBench-Refusal，评测智能体生物安全拒答是否对准风险

arXiv

2607.05462

发表

7月6日

层

应用层

场景

编程 Agent

测试

Opus 4.8、Opus 4.7、Opus 4.6 等 10 个

• 风险拒答失当
• 组件护栏与评审

斯坦福与 UC Berkeley 发布 MobileCybench：用可执行探针评测 Agent 漏洞发现

提出 MobileCybench，用可执行探针评测编程智能体的漏洞发现与利用

arXiv

2609.23980

发表

9月21日

层

应用层

场景

编程 Agent

测试

OpenCode/GPT-5.5、OpenCode/GPT-5.6-Sol、OpenCode/GLM-5.2 等 5 个

• 风险危险能力

Salesforce AI Research 重测自改进 Agent

重测记忆型自改进智能体，揭示任务顺序和多次运行带来的性能不稳

arXiv

2608.18066

发表

8月19日

层

应用层

场景

网页与电脑操作

测试

GPT-5-mini、Gemini-2.5-Pro、GPT-OSS-120B 等 4 个

• 组件记忆

研究者用进化算法构造多智能体 LLM 系统中的自我传播“思维病毒”

用演化算法构造思维病毒并测量其在多智能体中的传播

arXiv

2608.10218

发表

8月11日

层

应用层

场景

多智能体、编程 Agent

测试

Claude Haiku 4.5、Claude Sonnet 4.6、Claude Opus 4.6 等 9 个

• 风险失准与价值偏离
• 组件记忆

论文：用投毒基准污染自改进编码 Agent，令其后续版本写出漏洞代码

提出基准投毒攻击，使自修改编码智能体跨代写出漏洞代码

arXiv

2609.17817

发表

9月16日

层

应用层

场景

编程 Agent

测试

Claude Sonnet 4.5、Qwen3.5-397B、gpt-oss-120b 等 6 个

• 攻击投毒与后门
• 技术潜伏触发

AuraForge：为训练安全编码 Agent 扩展安全监督

提出 AuraForge，从漏洞修复合成安全测试并监督训练编码智能体

arXiv

2610.00850

发表

10月2日

层

训练与数据层

场景

编程 Agent

测试

Qwen3.5-4B、Muse Spark 1.3、DeepSeek-V4.1-Flash 等 11 个

• 防御模型加固
• 风险Agent 危险操作

微软团队提出 capability laundering 攻击：弱模型拆分任务向对齐前沿模型套取能力

提出能力洗钱攻击，让未对齐编排器拆分任务向对齐模型套取能力

arXiv

2609.15383

发表

9月14日

层

应用层

场景

编程 Agent

攻击者

黑盒

测试

GPT-5.5、Claude Opus 4.8、Grok-4.3 等 7 个

• 攻击恶意使用
• 风险危险能力
• 技术多轮渐进

AgentLSD：在对抗性任务污染下评测 AI 安全 Agent

用 AgentLSD 评测安全 Agent 在对抗任务污染下的解题与开销

arXiv

2609.19140

发表

9月17日

层

应用层

场景

网页与电脑操作

测试

Gemma-4 31B、DeepSeek-V4 Flash、GPT-OSS 120B 等 6 个

• 攻击提示注入

Mid-Harness：在模型与 Harness 之间扩展终端智能体的动作采样

提出 Mid-Harness，在执行前验证并选择终端智能体的候选动作

arXiv

2609.39982

发表

9月30日

层

应用层

场景

编程 Agent

测试

TMAX-9B、TMAX-4B、TMAX-27B 等 8 个

AgentCyberRange：复旦团队发布真实网络靶场自主攻击能力基准

提出 AgentCyberRange，评测智能体自主实施网络攻击的能力

arXiv

2606.14295

发表

6月12日

层

应用层

场景

编程 Agent

测试

GPT-5.5、Claude-Opus-4.7、GLM-5.1 等 7 个

• 风险危险能力

Box² Bench：语言模型能否有选择地依赖外部指导

提出 Box2-Bench，评测模型能否选择性依赖外部工作流

arXiv

2609.39578

发表

9月30日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

Gemini 3.7 Flash、DeepSeek V4 Flash、GLM 5.2 等 9 个

Akrasia：针对推理型代码 LLM 的隐蔽后门攻击

提出推断期后门攻击 AKRASIA，用代码触发器与伪装推理篡改代码输出

arXiv

2609.01023

发表

9月1日

层

提示层

场景

编程 Agent

测试

Claude-Sonnet-5、GPT-5.5、Gemini-3.5-flash 等 7 个

• 技术推理链操控
• 组件推理链
• +1+1