评测与基准arXiv 2609.272739月23日
微软研究院发布 CAVEAT
提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离
arXiv
2609.27273
发表
9月23日
层
应用层
场景
网页与电脑操作
测试
GPT-5.6-Sol、GPT-5.6-Terra、GPT-5.6-Luna 等 14 个
摘要提出 CAVEAT 基准揭示智能体在商业偏好下的决策退化，诊断出三类失效并给出缓解方案。
深度解读完整解读
评测与基准arXiv 2610.0887110月6日
CredLeak-Bench
提出 CredLeak-Bench，评测 Agent 在钓鱼登录与收件箱中的凭据泄露
arXiv
2610.08871
发表
10月6日
层
应用层
场景
网页与电脑操作
测试
Claude Sonnet 5、Claude Opus 4.8、Gemini 3.6 Flash 等 7 个
- 攻击提示注入
深度解读完整解读
评测与基准arXiv 2610.068989月29日
DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准
提出 DIBench，评测界面注入对移动智能体选择决策的操纵
arXiv
2610.06898
发表
9月29日
层
应用层
场景
网页与电脑操作
测试
Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个
- 攻击提示注入
- 技术跨模态载荷
- 组件视觉
摘要论文提出移动智能体决策完整性基准 DIBench，发现欺诈 UI 注入诱导目标选择并推高完成率，通用防御收益不稳定。
深度解读完整解读
评测与基准arXiv 2610.0763910月6日
HarnessSecurity-Bench 横向评测六款编码智能体框架的安全机制
提出 HARNESSSECURITY-BENCH 评测编码智能体框架的安全机制
arXiv
2610.07639
发表
10月6日
层
应用层
场景
编程 Agent
测试
GLM-5.2、Qwen3.8-27B、Claude Opus 4.8 等 4 个
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
评测与基准arXiv 2610.0516310月4日
研究者在 Claude Code 和 Codex 上构造分段提示注入并发布边界动作审计基准
提出路径对齐归因 PAA，在边界动作前审计长流程智能体的分段提示注入
arXiv
2610.05163
发表
10月4日
层
应用层
场景
编程 Agent
测试
Claude Code (v2.1.172, Claude Sonnet 5)、Codex CLI (v0.144.0, GPT-5.5)、Claude Sonnet 5 等 7 个
- 防御监控与审计
- 攻击提示注入
- 组件监控器
摘要论文针对长流程注入提出边界动作审计与 PAA，在保持低误阻的同时实现高拦截率。
本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。
深度解读完整解读
评测与基准arXiv 2604.029474月3日
AgentHazard：评估计算机使用智能体有害行为的基准
提出 AgentHazard 基准，评测计算机使用智能体的执行层有害行为
arXiv
2604.02947
发表
4月3日
层
应用层
场景
网页与电脑操作、编程 Agent
测试
Qwen2.5-72B-Instruct、Qwen2.5-Coder-32B-Instruct、Qwen3-32B 等 12 个
- 攻击恶意使用
摘要AgentHazard 评估了计算机使用智能体的执行安全，作者认为模型层对齐无法可靠保障智能体层面的安全性。
AgentHazard 是针对计算机使用智能体执行层安全构建的评估基准，重点探究多步工具调用下局部合理动作累积引发的危害。
深度解读完整解读
评测与基准arXiv 2610.0315310月2日
EvoRiskBench：面向工作区 Agent 运行时安全风险的演化基准
提出 EvoRiskBench，评测工作区 Agent 的运行时安全风险
arXiv
2610.03153
发表
10月2日
层
应用层
场景
编程 Agent
测试
GPT-5.6 Sol、DeepSeek-V4-Pro-0813、Claude Opus 5
- 攻击提示注入
摘要论文构建了工作空间智能体运行时风险基准 EvoRiskBench，发现高执行力智能体在 IPI 下面临较高安全风险。
深度解读完整解读
评测与基准arXiv 2609.055359月2日
Mind2Web-Injection：面向网页 Agent 视觉提示注入护栏的证据对齐评测
提出 Mind2Web-Injection，评测网页 Agent 截图护栏的证据对齐
arXiv
2609.05535
发表
9月2日
层
应用层
场景
网页与电脑操作
测试
GPT-5.6-luna、Qwen3-VL-32B、Qwen3-VL-8B 等 6 个
- 防御检测与过滤
- 攻击提示注入
- 组件护栏与评审
摘要作者称检测、定位和反事实响应在六个 VLM 上可分开。
Mind2Web-Injection 用来检查网页截图护栏的判决是否对齐到该用的画面证据。。
深度解读完整解读
评测与基准arXiv 2607.146117月16日
论文评测 Claude Code 与 Codex 记忆文件中的提示注入风险
评测编码智能体记忆文件中的提示注入及其跨会话持久性
arXiv
2607.14611
发表
7月16日
层
应用层
场景
编程 Agent
测试
Claude Haiku 4.5、Claude Opus 4.7、GPT-5.2 等 4 个
- 攻击投毒与后门
- 技术潜伏触发
- 组件记忆
摘要已植入记忆文件的载荷可以跨会话影响 Claude Code 与 Codex，攻击成功与载荷是否留下是两种不同的失败。
Bad Memory 在沙箱合成工作区里评测文件型持久记忆上的提示注入，比较载荷能否改变当前会话，以及能否在后续会话中留下或叠加。
深度解读完整解读
评测与基准arXiv 2609.191409月17日
AgentLSD：在对抗性任务污染下评测 AI 安全 Agent
用 AgentLSD 评测安全 Agent 在对抗任务污染下的解题与开销
arXiv
2609.19140
发表
9月17日
层
应用层
场景
网页与电脑操作
测试
Gemma-4 31B、DeepSeek-V4 Flash、GPT-OSS 120B 等 6 个
- 攻击提示注入
摘要AgentLSD 用配对 web CTF 表明，欺骗性环境证据会改变安全智能体的解题率与工作量。
AgentLSD 是一个对照框架，用来测量安全智能体在任务本身不变时，对对抗性任务污染的反应。
深度解读完整解读
评测与基准arXiv 2608.068628月7日
SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化
提出 SYNCHAIN，诱导计算机使用 Agent 自合成潜伏技能并跨任务触发
arXiv
2608.06862
发表
8月7日
层
应用层
场景
网页与电脑操作、编程 Agent
测试
Qwen3.5-9B、Llama-3.1-8B、Ministral-3-8B 等 5 个
- 攻击投毒与后门
- 技术潜伏触发
- 组件MCP 与技能
摘要论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。
深度解读完整解读
评测与基准arXiv 2609.326169月26日
Cave-Bench：虚假指控下 LLM 智能体最高 60.06% 的运行会破坏正确工作
提出 CAVE-BENCH，评测虚假指责下智能体破坏已完成正确工作的行为
arXiv
2609.32616
发表
9月26日
层
应用层
场景
编程 Agent
测试
Claude-Sonnet-5、Claude-Opus-5、GPT-5.6-Sol 等 14 个
- 攻击提示注入
- 风险失准与价值偏离
摘要论文提出了评估智能体在虚假指责下破坏已有正确成果的 CAVE-BENCH，发现强模型易推翻已知证据，提出了门控缓解方案。
深度解读完整解读
评测与基准arXiv 2609.289159月24日
研究提出 ACE 语料库，评估内核级证据对 Agent 安全检测的有效性
构建 ACE 语料并比较内核与应用层证据的攻击检测效果
arXiv
2609.28915
发表
9月24日
层
应用层
场景
编程 Agent
测试
AdaBoost、XGBoost、TabPFN 等 13 个
- 防御监控与审计
- 攻击提示注入
- 组件监控器
摘要ACE 用配对的内核与应用层证据表明，syscall 痕迹可判别智能体攻击，两层组合通常更好。
ACE 是一份把智能体会话的内核 syscall 痕迹与应用层清单、转录配对起来的检测语料和基准。。
深度解读完整解读

已经到底了