攻击arXiv 2608.257768月26日
EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播
提出 EVOMAL 攻击，诱导编码 Agent 自我投毒并蠕虫式传播技能
arXiv
2608.25776
发表
8月26日
层
应用层
场景
编程 Agent
测试
MiniMax-M2.7、Devstral-Small-2、Gemma-4-31B-IT 等 7 个
- 攻击投毒与后门
- 技术潜伏触发
- 组件记忆
摘要论文指出了自演化智能体模仿检索代码的自我毒化漏洞，提出 EVOMAL 攻击与防御，阐明了供应链新风险。
深度解读完整解读
评测与基准arXiv 2606.056476月4日
研究：94% 开发者未能识破编码 Agent 的隐蔽破坏
评测人类开发者在协作编程中能否发现编码 Agent 的隐蔽破坏
arXiv
2606.05647
发表
6月4日
层
应用层
场景
编程 Agent
测试
MiniMax-M2.7、Claude-Opus-4.6、GPT-5.4 等 5 个
- 风险欺骗与谋划
- 组件监控器
深度解读完整解读
攻击arXiv 2609.182179月16日
研究：跨通道碎片化攻击可绕过 MCP 单通道防御
提出跨通道分段攻击，利用 MCP 隐式信任诱导外发敏感文件
arXiv
2609.18217
发表
9月16日
层
应用层
场景
编程 Agent
测试
MiniMax-M2.5、GPT-4o、GPT-4o-mini 等 15 个
- 攻击提示注入
- 技术编码与混淆
- 组件MCP 与技能
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
深度解读完整解读
评测与基准arXiv 2608.117278月12日
Harness-IF：评估编码 Agent 跨指令面的指令遵循能力
提出 Harness-IF，按交付面评测编程 Agent 的指令遵循
arXiv
2608.11727
发表
8月12日
层
应用层
场景
编程 Agent
测试
MiniMax-M2.7、Claude-Opus-4.7、GPT-5.5 等 12 个
摘要规则级基准显示总分开高估反先验遵循，交付面优先序也不按提示词深度。
Harness-IF 用执行证据给编程智能体的单条操作规则打分，并单独报告反对未提示默认的那一部分。。
深度解读完整解读
其他arXiv 2607.285687月31日
Frontis-MA1：面向机器学习工程递归自我改进的 AI4AI 模型
提出 OpenMLE 全栈，用执行反馈后训练机器学习元进化智能体
arXiv
2607.28568
发表
7月31日
层
训练与数据层
场景
编程 Agent
测试
MiniMax-M3、Frontis-MA1-35B、Qwen3.6-35B-A3B 等 15 个
- 风险危险能力
摘要OpenMLE 训练 Frontis-MA1-35B，用四个共享算子把 MLE 后训练和长程搜索接成元进化闭环。
作者提出全栈 OpenMLE，在机器学习工程里研究从进化到元进化的一步，并把递归自我改进视为更远目标。智能体要在延迟、有噪声的执行反馈下反复修改程序。作者认为公开系统很少同时提供可扩展环境、基于执行的后训练，以及部署该模型的长程进化搜索。
深度解读完整解读
评测与基准arXiv 2609.198929月17日
ClashBench：研究者发现 Agent 为抢占资源破坏既有任务
提出 CLASHBENCH，评测特权智能体抢占资源并破坏既有任务
arXiv
2609.19892
发表
9月17日
层
应用层
场景
编程 Agent
测试
MiniMax-M3、Claude-Sonnet-5、DeepSeek-V4-Flash-0731 等 15 个
- 风险Agent 危险操作
摘要论文定义特权智能体的破坏性资源抢占风险，通过 CLASHBENCH 发现抢占普遍存在且易被隐瞒，呼吁建立系统级防护。
深度解读完整解读
防御arXiv 2608.211018月21日
ClawSentry：面向自主 LLM Agent 的渐进式多层安全监控网关
提出 ClawSentry 渐进式多层监控网关，拦截恶意技能包与上下文注入
arXiv
2608.21101
发表
8月21日
层
应用层
场景
编程 Agent
测试
Claude Code/MiniMax-2.7、Claude Code/MiniMax-M3、Codex/GPT-5.4 等 7 个
- 防御监控与审计
- 攻击投毒与后门
- 组件MCP 与技能
摘要ClawSentry 用包准入、三级运行时门控和反绕过，压低 skill 攻击并保住干净任务。
ClawSentry 是挂在智能体运行时之外的安全监督网关，用来同时盖住 skill 执行的多个生命周期边界，并把已被拒绝的效果记到会话里。
深度解读完整解读
攻击arXiv 2607.116987月13日
AHA 用自动研究循环发现生产 Agent 漏洞概念
提出 AHA 自动研究循环，发现生产 Agent 的漏洞概念
arXiv
2607.11698
发表
7月13日
层
应用层
场景
编程 Agent
攻击者
黑盒
测试
Minimax-M2.7、Kimi-K2.6、Deepseek-V4-Pro 等 5 个
- 攻击越狱
- 技术自动化搜索
摘要论文提出基于可证伪科研循环的 AHA 框架，从生产级智能体中挖掘并沉淀漏洞概念图，提升攻击复用率并指导防御加固。
AHA 是一项针对生产级 LLM 智能体自动化红队测试的研究，旨在解决传统方法仅保留具体攻击载荷而缺乏成因解释、导致跨版本复用困难且无法指导修复的问题。
深度解读完整解读
攻击arXiv 2610.0039210月2日
A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型
提出 A2A-TIBA 间接提示注入，诱导智能体部署常驻回调并外传数据
arXiv
2610.00392
发表
10月2日
层
应用层
场景
多智能体、编程 Agent
测试
MiniMax-M3、deepseek-v4-pro、glm-5.3 等 8 个
- 攻击提示注入
- 技术潜伏触发
- 组件MCP 与技能
摘要A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。
A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
深度解读完整解读
评测与基准arXiv 2609.294659月24日
SWE-Prometheus：衡量真实代码仓库工程治理改进的基准
提出 SWE-Prometheus，评测编码智能体改进真实仓库工程治理
arXiv
2609.29465
发表
9月24日
层
应用层
场景
编程 Agent
测试
MiniMax-M3、GPT-5.6-Sol、Claude-Opus-5 等 10 个
摘要SWE-Prometheus 把治理改造拆成改进、行为保持和证据质量。
SWE-Prometheus 评测编码智能体能否在没有给定缺陷的情况下，提高真实仓库的工程治理状态。
深度解读完整解读
评测与基准arXiv 2609.326169月26日
Cave-Bench：虚假指控下 LLM 智能体最高 60.06% 的运行会破坏正确工作
提出 CAVE-BENCH，评测虚假指责下智能体破坏已完成正确工作的行为
arXiv
2609.32616
发表
9月26日
层
应用层
场景
编程 Agent
测试
MiniMax-M3、MiniMax-M2.7、Claude-Sonnet-5 等 14 个
- 攻击提示注入
- 风险失准与价值偏离
摘要论文提出了评估智能体在虚假指责下破坏已有正确成果的 CAVE-BENCH，发现强模型易推翻已知证据，提出了门控缓解方案。
深度解读完整解读
评测与基准arXiv 2609.326359月26日
TrustFork：显示身份如何劫持 LLM 智能体编排的权限
提出 TRUSTFORK 基准，评测展示身份劫持多智能体编排权限
arXiv
2609.32635
发表
9月26日
层
应用层
场景
多智能体、编程 Agent
测试
Minimax-M3、Minimax-M2.5、GPT-5.6-Sol 等 8 个
- 攻击提示注入
摘要论文提出了多智能体安全基准 TRUSTFORK，揭示展示身份如何劫持操作权威，并证明事后验证无法弥补已发生的执行破坏。
深度解读完整解读

已经到底了