跳到正文
10月9日 · 周五

全部论文

找到 16 篇
筛选4

攻击类型

提示注入5投毒与后门1恶意使用1

攻击技术

多轮渐进1编码与混淆1针对防御1潜伏触发1

模型自身风险

失准与价值偏离1Agent 危险操作5危险能力3

防御类型

权限与审批1监控与审计3

影响

越权操作5数据与隐私泄露2可用性与可靠性1滥用能力提升2

系统形态

模型与 API2LLM 应用23AI Agent68编程 Agent13网页与电脑操作9多智能体7具身与机器人3

攻击者权限

黑盒1

攻击面/入口

用户输入3网页与界面1文档与消息1工具返回2工具与技能描述1代码仓库与依赖2记忆写入1Agent 间消息1分发渠道1

层

提示层1模型层2应用层16训练与数据层7

系统组件

MCP 与技能3监控器3推理链1权限与沙箱2

被测模型厂商

OpenAI65Anthropic54Qwen（阿里）38DeepSeek32智谱 GLM31Google30Kimi（月之暗面）25Meta14MiniMax14Mistral7xAI7其他18
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 479 篇还没打标签，不在筛选结果里。
系统形态：编程 Agent系统形态：具身与机器人层：应用层被测模型厂商：其他清除全部

另有 479 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2609.18217

    研究：跨通道碎片化攻击可绕过 MCP 单通道防御

    提出跨通道分段攻击，利用 MCP 隐式信任诱导外发敏感文件

    arXiv
    2609.18217
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Composer 2、GPT-4o、GPT-4o-mini 等 15 个

    摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。

    深度解读完整解读
  2. 评测与基准arXiv 2608.11727

    Harness-IF：评估编码 Agent 跨指令面的指令遵循能力

    提出 Harness-IF，按交付面评测编程 Agent 的指令遵循

    arXiv
    2608.11727
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Hy3、Claude-Opus-4.7、GPT-5.5 等 12 个
    摘要规则级基准显示总分开高估反先验遵循，交付面优先序也不按提示词深度。

    Harness-IF 用执行证据给编程智能体的单条操作规则打分，并单独报告反对未提示默认的那一部分。。

    深度解读完整解读
  5. 攻击arXiv 2610.00392

    A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型

    提出 A2A-TIBA 间接提示注入，诱导智能体部署常驻回调并外传数据

    arXiv
    2610.00392
    发表
    层
    应用层
    场景
    多智能体、编程 Agent
    测试
    hermes-agent 0.21.0、MiniMax-M3、deepseek-v4-pro 等 8 个
    摘要A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。

    A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。

    深度解读完整解读
  6. 攻击arXiv 2609.15383

    微软团队提出 capability laundering 攻击：弱模型拆分任务向对齐前沿模型套取能力

    提出能力洗钱攻击，让未对齐编排器拆分任务向对齐模型套取能力

    arXiv
    2609.15383
    发表
    层
    应用层
    场景
    编程 Agent
    攻击者
    黑盒
    测试
    Muse-Glimmer-30B、GPT-5.5、Claude Opus 4.8 等 7 个

    摘要作者提出了能力洗钱攻击，发现未对齐编排器分解咨询对齐模型可恢复能力差距，指出需建立跨会话防御。

    深度解读完整解读
  7. 评测与基准arXiv 2609.26618

    NavSafe-∞：在真实感环境中评测闭环驾驶安全

    提出闭环基准 NAVSAFE-∞，评测端到端驾驶策略的安全关键事件表现

    arXiv
    2609.26618
    发表
    层
    应用层
    场景
    具身与机器人
    测试
    Human Driver Reference、PDM-Closed、LTF 等 15 个
    摘要写真事件级闭环基准显示开环高分不能稳定变成闭环安全。

    NAVSAFE-∞ 用写真、事件级闭环仿真检查端到端驾驶策略的安全，而不是只看开环轨迹分数。

    深度解读完整解读
  8. 其他arXiv 2609.39982

    Mid-Harness：在模型与 Harness 之间扩展终端智能体的动作采样

    提出 Mid-Harness，在执行前验证并选择终端智能体的候选动作

    arXiv
    2609.39982
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    TMAX-9B、TMAX-4B、TMAX-27B 等 8 个
    摘要Mid-Harness 在执行前选择候选动作。

    Mid-Harness 在不改生成器和执行 harness 的前提下，于二者之间做动作级测试时计算，用来研究终端智能体里“多采样、再验证”何时提高轨迹成功。

    深度解读完整解读
  10. 其他arXiv 2609.38807

    PatchHolmes：基于列表式选择的智能体补丁检索系统

    提出列表式智能体补丁检索系统，在仓库中定位 CVE 修复提交

    arXiv
    2609.38807
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    e5、Qwen3-235B、Qwen3-Coder-30B 等 6 个
    摘要PatchHolmes 用混合检索和列表式四工具智能体做补丁检索，增益主要来自联合阅读候选而非更换骨干。

    PatchHolmes 是面向补丁检索的两阶段系统：在本地 Git 仓库上用冻结开源权重模型，为一个已知 CVE 找出修复提交，不做按仓库微调，也不使用付费外部搜索 API。

    深度解读完整解读
  12. 评测与基准arXiv 2609.32616

    Cave-Bench：虚假指控下 LLM 智能体最高 60.06% 的运行会破坏正确工作

    提出 CAVE-BENCH，评测虚假指责下智能体破坏已完成正确工作的行为

    arXiv
    2609.32616
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Hy3、Claude-Sonnet-5、Claude-Opus-5 等 14 个

    摘要论文提出了评估智能体在虚假指责下破坏已有正确成果的 CAVE-BENCH，发现强模型易推翻已知证据，提出了门控缓解方案。

    深度解读完整解读
  14. 其他arXiv 2609.17247

    DriveMCP：面向高级驾驶辅助系统的智能体 AI 框架

    提出 DriveMCP 框架，将感知、交规检索与 RSS 仲裁接成可审计驾驶辅助

    arXiv
    2609.17247
    发表
    层
    应用层
    场景
    具身与机器人
    测试
    DriveLM
    摘要DriveMCP 用可审计专家工具和 RSS/TTC 仲裁做驾驶辅助，作者称违章与超速低于三个 VLM 基线。

    DriveMCP 是面向高级驾驶辅助的模块化智能体框架，把感知、合规、车辆状态和安全仲裁拆开并留下审计轨迹。

    深度解读完整解读
  15. 评测与基准arXiv 2609.28915

    研究提出 ACE 语料库，评估内核级证据对 Agent 安全检测的有效性

    构建 ACE 语料并比较内核与应用层证据的攻击检测效果

    arXiv
    2609.28915
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    AdaBoost、XGBoost、TabPFN 等 13 个
    摘要ACE 用配对的内核与应用层证据表明，syscall 痕迹可判别智能体攻击，两层组合通常更好。

    ACE 是一份把智能体会话的内核 syscall 痕迹与应用层清单、转录配对起来的检测语料和基准。。

    深度解读完整解读
  16. 防御arXiv 2609.35659

    Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统

    提出 Tracekit，对编码 Agent 做防篡改的意图-推理-动作审计

    arXiv
    2609.35659
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    独立评审（同一 CLI，无工具）、Claude Code (claude -p, version 2.1)
    摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。

    Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。

    深度解读完整解读
已经到底了