红队 · 论文

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

测试

Gemini 3 Flash、GPT-4o、Claude Sonnet 4 等 7 个

• 攻击提示注入
• 技术自动化搜索

CredLeak-Bench

提出 CredLeak-Bench，评测智能体在钓鱼场景下的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Gemini 3.6 Flash、Claude Sonnet 5、Claude Opus 4.8 等 7 个

研究：94% 开发者未能识破编码 Agent 的隐蔽破坏

评测人类开发者在协作编程中能否发现编码智能体的隐蔽破坏

arXiv

2606.05647

发表

6月4日

层

应用层

场景

编程 Agent

测试

Gemini-3.1-Pro、Claude-Opus-4.6、GPT-5.4 等 5 个

• 风险欺骗与谋划
• 组件监控器

研究：跨通道碎片化攻击可绕过 MCP 单通道防御

提出跨通道分段攻击，借 MCP 多通道隐式信任外发敏感数据

arXiv

2609.18217

发表

9月16日

层

应用层

场景

编程 Agent

测试

Gemini 2.5 Flash、GPT-4o、GPT-4o-mini 等 15 个

• 攻击提示注入
• 技术编码与混淆
• 组件MCP 与技能
• +2+2

研究者提出 SkillMisevo-Bench，量化自改进 Agent 的技能误演化风险

构建 SKILLMISEVO-BENCH，评测自进化编程智能体的技能误演化风险

arXiv

2608.12851

发表

8月13日

层

应用层

场景

编程 Agent

测试

Gemini-3-Flash、Claude Code、Codex 等 6 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆

研究者用进化算法构造多智能体 LLM 系统中的自我传播“思维病毒”

用演化算法构造思维病毒并测量其在多智能体中的传播

arXiv

2608.10218

发表

8月11日

层

应用层

场景

多智能体、编程 Agent

测试

Gemini 3 Flash、Gemini 3.1 Pro、Claude Haiku 4.5 等 9 个

• 风险失准与价值偏离
• 组件记忆

SkillSecurer：检测并修补 AI Agent 技能中的提示注入漏洞

提出 SkillSecurer，检测定位并修补智能体技能中的提示注入

arXiv

2609.14079

发表

9月13日

层

应用层

场景

编程 Agent

测试

Gemini 3.6 Flash、Gemma 31B、Claude Sonnet 5 等 10 个

• 防御检测与过滤
• 攻击提示注入
• 组件MCP 与技能

微软团队提出 capability laundering 攻击：弱模型拆分任务向对齐前沿模型套取能力

提出能力洗钱攻击，让未对齐编排器拆分任务向对齐模型套取能力

arXiv

2609.15383

发表

9月14日

层

应用层

场景

编程 Agent

攻击者

黑盒

测试

Gemma-4-31B、Gemma-4-12B、GPT-5.5 等 7 个

• 攻击恶意使用
• 风险危险能力
• 技术多轮渐进

研究者提出技能级联攻击

提出技能级联攻击，把恶意目标拆进多个技能以绕过单技能检测

arXiv

2609.30383

发表

9月25日

层

应用层

场景

编程 Agent

测试

Gemini 2.5 Pro、Gemini 2.5 Flash、GPT-5.4 等 10 个

• 攻击投毒与后门
• 技术编码与混淆
• 组件MCP 与技能
• +2+2

SkillDRE：用预执行与运行时双阶段反馈自动演化恶意 Agent 技能

提出 SkillDRE，用预执行与运行时反馈演化恶意技能

arXiv

2609.32400

发表

9月26日

层

应用层

场景

编程 Agent

测试

Gemini-3.7-Flash、DeepSeek-V4-Pro、GLM-5.2 等 4 个

• 攻击投毒与后门
• 技术自动化搜索
• 组件MCP 与技能
• +4+4