Agent 安全 · 论文

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

测试

GPT-4o、Gemini 3 Flash、Claude Sonnet 4 等 7 个

• 攻击提示注入
• 技术自动化搜索

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测电商引导下购物智能体是否偏离用户最优选择

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

GPT-5.6-Sol、GPT-5.6-Terra、GPT-5.6-Luna 等 14 个

CredLeak-Bench

提出 CredLeak-Bench，评测智能体在钓鱼场景下的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 5、Claude Opus 4.8、Gemini 3.6 Flash 等 7 个

论文提出 eTAMP 攻击：网页内容注入可跨会话污染 Web Agent 记忆

提出 eTAMP，通过网页注入跨会话污染 Web 智能体轨迹记忆

arXiv

2604.02623

发表

4月

层

应用层

场景

网页与电脑操作

测试

GPT-5-mini、GPT-5.2、GPT-OSS-120B 等 7 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作

arXiv

2610.09240

发表

10月7日

层

应用层

场景

网页与电脑操作

测试

LLaVA-v1.5-13B、LLaVA-v1.6-34B、MiniCPM-o-8B 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

UC Berkeley 提出 BenchJack，自动审计 10 个 Agent 基准并发现 219 处奖励作弊缺陷

提出 BENCHJACK，自动审计智能体基准的奖励作弊缺陷

arXiv

2605.12673

发表

5月12日

层

应用层

场景

编程 Agent、网页与电脑操作

测试

Claude Code、OpenAI Codex

• 风险奖励作弊
• 组件护栏与评审
• +1+1

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

AgentHazard：评估计算机使用智能体有害行为的基准

提出 AgentHazard 基准，评测计算机使用智能体的执行层有害行为

arXiv

2604.02947

发表

4月3日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

Qwen2.5-72B-Instruct、Qwen2.5-Coder-32B-Instruct、Qwen3-32B 等 12 个

• 攻击恶意使用

COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构

提出 COBRA 双 LLM 架构，防御计算机使用智能体的分支转向攻击

arXiv

2610.03089

发表

10月2日

层

应用层

场景

网页与电脑操作

测试

gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等 6 个

• 防御指令与数据隔离
• 组件权限与沙箱
• +2+2

Salesforce AI Research 重测自改进 Agent

重测记忆型自改进智能体，揭示任务顺序和多次运行带来的性能不稳

arXiv

2608.18066

发表

8月19日

层

应用层

场景

网页与电脑操作

测试

GPT-5-mini、Gemini-2.5-Pro、GPT-OSS-120B 等 4 个

• 组件记忆

SCOPE：训练有能力且安全的计算机使用智能体

提出 SCOPE 联合后训练计算机使用智能体的任务执行与安全决策

arXiv

2609.22178

发表

8月27日

层

应用层

场景

网页与电脑操作

测试

Qwen3.5-9B、SCOPE-mid-checkpoint、SCOPE-Capability-Safety 等 14 个

• 防御模型加固
• 攻击提示注入

UCM：为网页智能体遮蔽不可信内容以提供安全保证

提出 UCM，用 DOM 掩码与类型受限隔离模型隔开网页智能体与不可信内容

arXiv

2607.05277

发表

7月7日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 4.5、Claude Sonnet 4.6、GPT-5.4

• 防御指令与数据隔离
• 攻击提示注入

NavSafe-∞：在真实感环境中评测闭环驾驶安全

提出闭环基准 NAVSAFE-∞，评测端到端驾驶策略的安全关键事件表现

arXiv

2609.26618

发表

9月22日

层

应用层

场景

具身与机器人

测试

Human Driver Reference、PDM-Closed、LTF 等 15 个

• 风险Agent 危险操作

OSWorld-Science：面向科学软件学习与使用的计算机操作智能体基准

提出 OSWorld-Science 评测计算机使用智能体的科学软件操作能力

arXiv

2609.39903

发表

9月30日

层

应用层

场景

网页与电脑操作

测试

Claude Fable 5.1、Claude Opus 5、Claude Sonnet 5 等 12 个

Box² Bench：语言模型能否有选择地依赖外部指导

提出 Box2-Bench，评测模型能否选择性依赖外部工作流

arXiv

2609.39578

发表

9月30日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

Gemini 3.7 Flash、DeepSeek V4 Flash、GLM 5.2 等 9 个

AgentTell：浏览器 Agent 的行为侧信道泄漏基准

构建 AGENTTELL 基准，测量浏览器智能体跨站行为侧信道泄露

arXiv

2609.32915

发表

9月26日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 5、Gemini 3.7 Flash、GPT-5.6 Luna 等 6 个

• 风险Agent 危险操作

SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化

提出 SYNCHAIN，以定向微调诱导智能体自合成跨任务潜伏工件

arXiv

2608.06862

发表

8月7日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

Qwen3.5-9B、Llama-3.1-8B、Ministral-3-8B 等 5 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件MCP 与技能
• +3+3

HazardAuditor：面向计算机使用 Agent 的执行级安全护栏框架

提出 HazardAuditor 与 GuardPO，训练计算机使用智能体的运行时守卫

arXiv

2609.15134

发表

9月14日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

HazardAuditor、HazardAuditor-SFT、Qwen3Guard-Gen-8B 等 15 个

• 防御监控与审计
• 风险Agent 危险操作
• 组件监控器

SafeStage：按执行前中后三阶段评测视觉语言机器人操作安全

提出 SafeStage，分执行前中后评测视觉语言机器人操作安全

arXiv

2609.21223

发表

9月18日

层

应用层

场景

具身与机器人

测试

π0.5、GR00T N1.7、DreamZero 等 4 个

• 风险Agent 危险操作

DriveMCP：面向高级驾驶辅助系统的智能体 AI 框架

提出 DriveMCP 框架，将感知、交规检索与 RSS 仲裁接成可审计驾驶辅助

arXiv

2609.17247

发表

9月15日

层

应用层

场景

具身与机器人

测试

DriveLM