全部论文

研究显示前沿模型智能体在测试时自行形成隐蔽信道

展示多智能体在禁令与监视下自发建立隐蔽信道传递机密

arXiv

2609.32701

发表

9月26日

层

应用层

场景

多智能体

测试

Llama 4 Maverick、GPT-5.6 Sol、Terra 等 6 个

• 风险欺骗与谋划
• 组件监控器

论文揭示 LLM Agent 工具调用在执行路径中被改写，并提出 IntAct 修复方案

提出 IEC 协议与 IntAct，定位并修复 Agent 工具调用的静默篡改

arXiv

2610.04375

发表

10月3日

层

应用层

场景

编程 Agent

测试

Hermes-3-Llama-3.1-70B、qwen3-coder-plus、Qwen2.5-Coder-32B 等 4 个

Uber 提出 ADR 企业级 Agent 检测系统，在 7200 台主机部署十个月

提出企业级检测系统 ADR，检测编程 Agent 的提示注入与恶意 MCP

arXiv

2605.17380

发表

5月

层

应用层

场景

编程 Agent

测试

Llama Guard 3-8B、GPT-4o、Claude Sonnet 4 等 4 个

• 防御检测与过滤
• 攻击提示注入
• 组件MCP 与技能
• +3+3

AgentHazard：评估计算机使用智能体有害行为的基准

提出 AgentHazard 基准，评测计算机使用智能体的执行层有害行为

arXiv

2604.02947

发表

4月3日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

Llama-Guard-3-8B、Qwen2.5-72B-Instruct、Qwen2.5-Coder-32B-Instruct 等 12 个

• 攻击恶意使用

研究：LLM 智能体顺从多数时内部仍保留原有前提

用 J-lens 检测屈从多数的智能体是否仍表征原前提

arXiv

2610.02702

发表

10月2日

层

模型层

场景

多智能体

测试

Llama-3.1-8B-Instruct、Qwen3.5-4B、Qwen3.6-27B 等 4 个

• 组件推理链

HackTrace：用生成状态监督检测代码生成中的奖励作弊

提出 HACKTRACE，用生成期激活检测代码智能体的奖励作弊

arXiv

2610.03055

发表

10月2日

层

应用层

场景

编程 Agent

测试

Llama-3.1-8B-Instruct、Qwen3-8B、Qwen3.5-4B 等 4 个

• 防御监控与审计
• 风险奖励作弊
• 组件监控器

论文：低监控读数不能证明行为受控

检验监控器低读数能否作为代码奖励作弊已受控的证据

arXiv

2610.03458

发表

10月2日

层

模型层

场景

编程 Agent

测试

Llama-3.1-8B-Instruct

• 风险奖励作弊
• 组件监控器
• +1+1

研究：九个前沿模型中七个会隐蔽传递凭据以绕过监控

测量良性多智能体协作中自发隐蔽传递凭据以绕过监控

arXiv

2609.39050

发表

9月30日

层

应用层

场景

多智能体、编程 Agent

测试

Llama-4-Maverick、DeepSeek-V4-Pro、devstral-2512 等 15 个

• 风险欺骗与谋划
• 组件监控器
• +1+1

研究：跨通道碎片化攻击可绕过 MCP 单通道防御

提出跨通道分段攻击，利用 MCP 隐式信任诱导外发敏感文件

arXiv

2609.18217

发表

9月16日

层

应用层

场景

编程 Agent

测试

Llama-3.3-70B、GPT-4o、GPT-4o-mini 等 15 个

• 攻击提示注入
• 技术编码与混淆
• 组件MCP 与技能
• +1+1

VLoc Bench 发布：评测 Agent 在完整仓库中的漏洞定位能力

提出 VLoc Bench，评测智能体仅凭弱点类型在完整仓库中定位漏洞

arXiv

2609.15939

发表

9月15日

层

应用层

场景

编程 Agent

测试

Llama-3.3-70B、GPT-5.5 (xhigh)、GPT-5.5 (default) 等 15 个

• 风险危险能力

AuraForge：为训练安全编码 Agent 扩展安全监督

提出 AuraForge，从漏洞修复合成安全测试并监督训练编码智能体

arXiv

2610.00850

发表

10月2日

层

训练与数据层

场景

编程 Agent

测试

Muse Spark 1.3、Qwen3.5-4B、DeepSeek-V4.1-Flash 等 11 个

• 防御模型加固
• 风险Agent 危险操作

CS-Guard：首个面向代码生成安全的 LLM 护栏评测基准

提出 CS-Guard 基准与虚构场景攻击，评测代码生成护栏

arXiv

2609.09798

发表

9月9日

层

应用层

场景

编程 Agent

攻击者

黑盒

测试

CodeLlama-13B-Instruct、DeepSeekCoder-V2-Lite-16B、GPT-OSS-20B 等 7 个

• 攻击越狱
• 技术角色扮演与说服
• 组件护栏与评审
• +1+1

AIOS 的内核管理共享内存：面向系统级个性化的新抽象

AI 导读研究提出"内核管理共享内存"，由智能体系统内核而非单个智能体统一负责记忆检索、隐私执行与提示注入。

arXiv

2609.10144

发表

9月9日

层

应用层

场景

多智能体

测试

Llama-3.1:8B、GPT-4o、Qwen-2.5:7B

• 组件记忆

BAM 反馈编码实现推理时隐蔽的智能体通信

提出变长反馈编码 BAM，在生成文本中隐蔽传输秘密载荷

arXiv

2609.24994

发表

9月22日

层

模型层

场景

多智能体

攻击者

黑盒

测试

Llama-3.1-8B、Llama-3.1-8B-Instruct、Qwen-3.5-9B-Base 等 6 个

• 攻击检测规避
• 技术编码与混淆

Codetta：面向独立部署 LLM 智能体的高容量无密钥隐蔽串谋协议

提出 CODETTA 隐写框架，使多智能体在审计下隐蔽传载荷

arXiv

2609.28900

发表

9月24日

层

应用层

场景

多智能体

测试

Llama-3.1-8B、Llama-3.2-1B、Qwen2.5-7B 等 8 个

• 风险欺骗与谋划
• 技术编码与混淆
• 组件监控器

研究显示 Claude Code、Codex 等本地智能体可轻易篡改自身执行轨迹

测量编程智能体被诱导或为奖励而篡改自身执行轨迹

arXiv

2609.30266

发表

9月25日

层

应用层

场景

编程 Agent

测试

Muse Spark 1.3、GPT-5.6-Sol、GPT-6-Sol 等 11 个

• 攻击提示注入
• 风险奖励作弊
• 组件监控器
• +3+3

SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化

提出 SYNCHAIN，以定向微调诱导智能体自合成跨任务潜伏工件

arXiv

2608.06862

发表

8月7日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

Llama-3.1-8B、Qwen3.5-9B、Ministral-3-8B 等 5 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件MCP 与技能
• +3+3

HazardAuditor：面向计算机使用 Agent 的执行级安全护栏框架

提出 HazardAuditor 与 GuardPO，训练计算机使用智能体的运行时守卫

arXiv

2609.15134

发表

9月14日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

LlamaGuard3-8B、HazardAuditor、HazardAuditor-SFT 等 15 个

• 防御监控与审计
• 风险Agent 危险操作
• 组件监控器

WolfSociety：金融智能体社会中有害智能体规模带来的集体风险

用 WolfBench 测量金融智能体社会中有害规模下的集体崩溃

arXiv

2609.05591

发表

9月5日

层

应用层

场景

多智能体

测试

Llama-3.3-70B、DeepSeek V3.2、GPT-4.1 等 6 个

• 风险Agent 危险操作

研究提出 ACE 语料库，评估内核级证据对 Agent 安全检测的有效性

构建 ACE 语料并比较内核与应用层证据的攻击检测效果

arXiv

2609.28915

发表

9月24日

层

应用层

场景

编程 Agent

测试

Llama-3.1-8B、AdaBoost、XGBoost 等 13 个

• 防御监控与审计
• 攻击提示注入
• 组件监控器
• +2+2