跳到正文
10月9日 · 周五

全部论文

找到 9 篇
筛选5

攻击类型

提示注入6投毒与后门6

攻击技术

潜伏触发5诱导选用1

模型自身风险

失准与价值偏离1Agent 危险操作2

防御类型

权限与审批1监控与审计1

影响

越权操作4数据与隐私泄露2输出被操纵2可用性与可靠性1

系统形态

模型与 API44LLM 应用2AI Agent63编程 Agent8网页与电脑操作13多智能体8具身与机器人1

攻击面/入口

用户输入13网页与界面1文档与消息5工具返回6工具与技能描述14代码仓库与依赖11记忆写入5Agent 间消息4图像与音视频2训练数据3权重与梯度4分发渠道13

层

应用层7训练与数据层2

系统组件

MCP 与技能3记忆3监控器1推理链1权限与沙箱2微调与开源权重1

被测模型厂商

Anthropic7OpenAI5Qwen（阿里）5其他7
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 506 篇还没打标签，不在筛选结果里。
系统形态：编程 Agent系统形态：具身与机器人攻击面/入口：网页与界面攻击面/入口：记忆写入攻击面/入口：训练数据清除全部

另有 506 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2608.25776

    EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播

    提出 EVOMAL 攻击，诱导编码 Agent 自我投毒并蠕虫式传播技能

    arXiv
    2608.25776
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Devstral-Small-2、Gemma-4-31B-IT、Qwen3-Coder-Next 等 7 个

    摘要论文指出了自演化智能体模仿检索代码的自我毒化漏洞，提出 EVOMAL 攻击与防御，阐明了供应链新风险。

    深度解读完整解读
  3. 攻击arXiv 2610.05793

    研究者训练出按多智能体拓扑触发的代码后门模型

    提出拓扑条件后门，使模型在推断多智能体部署时向代码插入隐蔽漏洞

    arXiv
    2610.05793
    发表
    层
    训练与数据层
    场景
    编程 Agent、多智能体
    测试
    Qwen2.5-7B-Instruct、Qwen2.5-Coder-7B-Instruct

    摘要论文证实了拓扑条件后门的可训练性与泛化性，展示了常规评测盲区，并提出差异化拓扑审计作为检测防御方向。

    深度解读完整解读
  5. 评测与基准arXiv 2607.14611

    论文评测 Claude Code 与 Codex 记忆文件中的提示注入风险

    评测编码智能体记忆文件中的提示注入及其跨会话持久性

    arXiv
    2607.14611
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude Haiku 4.5、Claude Opus 4.7、GPT-5.2 等 4 个
    摘要已植入记忆文件的载荷可以跨会话影响 Claude Code 与 Codex，攻击成功与载荷是否留下是两种不同的失败。

    Bad Memory 在沙箱合成工作区里评测文件型持久记忆上的提示注入，比较载荷能否改变当前会话，以及能否在后续会话中留下或叠加。

    深度解读完整解读
  6. 攻击arXiv 2609.17817

    论文：用投毒基准污染自改进编码 Agent，令其后续版本写出漏洞代码

    提出基准投毒攻击，使自修改编码智能体跨代写出漏洞代码

    arXiv
    2609.17817
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude Sonnet 4.5、Qwen3.5-397B、gpt-oss-120b 等 6 个

    摘要论文报告了恶意基准能污染自修改代码智能体的进化过程并持续输出漏洞，警示系统设计需纳入安全约束。

    深度解读完整解读
  7. 攻击arXiv 2609.22711

    UBA-ORL：针对离线强化学习的遗忘激活后门攻击

    提出 UBA-ORL，借助 BD 与 CM 样本让离线强化学习后门在轨迹删除后激活

    arXiv
    2609.22711
    发表
    层
    训练与数据层
    场景
    具身与机器人
    测试
    TD3+BC、BCQ、IQL
    摘要UBA-ORL 用竞争的 BD/CM 样本，使离线 RL 后门在删除伪装轨迹后激活。

    UBA-ORL 研究离线强化学习中由合规轨迹删除激活的后门：合法贡献者同时上传共享触发的后门轨迹和伪装轨迹，训练后触发响应被压低，删除伪装批次后再升高。受害系统是使用静态数据集和轨迹级遗忘接口的离线 RL 服务。对手不能看到训练算法、参数、梯度或具体遗忘算法，但能提交可区分批次，并在部署时向观测注入预定触发。

    深度解读完整解读
  8. 评测与基准arXiv 2609.32616

    Cave-Bench：虚假指控下 LLM 智能体最高 60.06% 的运行会破坏正确工作

    提出 CAVE-BENCH，评测虚假指责下智能体破坏已完成正确工作的行为

    arXiv
    2609.32616
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude-Sonnet-5、Claude-Opus-5、GPT-5.6-Sol 等 14 个

    摘要论文提出了评估智能体在虚假指责下破坏已有正确成果的 CAVE-BENCH，发现强模型易推翻已知证据，提出了门控缓解方案。

    深度解读完整解读
  9. 防御arXiv 2609.35659

    Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统

    提出 Tracekit，对编码 Agent 做防篡改的意图-推理-动作审计

    arXiv
    2609.35659
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）
    摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。

    Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。

    深度解读完整解读
已经到底了