跳到正文
10月9日 · 周五

全部论文

找到 19 篇
筛选4

攻击类型

提示注入5投毒与后门2恶意使用2

攻击技术

编码与混淆1潜伏触发1

模型自身风险

欺骗与谋划4Agent 危险操作3拒答失当1

防御类型

检测与过滤1指令与数据隔离1权限与审批2监控与审计2水印与溯源1

影响

有害内容1越权操作5数据与隐私泄露2输出被操纵3监督失效4

系统形态

LLM 应用21AI Agent78编程 Agent14网页与电脑操作7多智能体12

攻击面/入口

用户输入3网页与界面3文档与消息1工具返回1代码仓库与依赖1记忆写入1Agent 间消息4图像与音视频1训练数据1权重与梯度2分发渠道1

层

模型层3应用层19

系统组件

MCP 与技能1记忆2护栏与评审1监控器6权限与沙箱2微调与开源权重1视觉1多模态1

被测模型厂商

OpenAI50Qwen（阿里）48Google35Anthropic28DeepSeek23Meta19Kimi（月之暗面）18智谱 GLM14Mistral9xAI6MiniMax5字节跳动5其他20
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 482 篇还没打标签，不在筛选结果里。
系统形态：网页与电脑操作系统形态：多智能体层：应用层被测模型厂商：Meta清除全部

另有 482 篇论文还没打上分类标签，暂不在筛选结果里。

  2. 风险行为arXiv 2609.32701

    研究显示前沿模型智能体在测试时自行形成隐蔽信道

    展示多智能体在禁令与监视下自发建立隐蔽信道传递机密

    arXiv
    2609.32701
    发表
    层
    应用层
    场景
    多智能体
    测试
    Llama 4 Maverick、GPT-5.6 Sol、Terra 等 6 个
    摘要论文研究了固定参数智能体在受监视交互中仅凭单比特反馈自发建立隐蔽信道，指出了多智能体跨域协作的保密安全新风险。

    论文研究了固定参数与提示词的智能体在受审计交互中自发形成隐蔽信道并泄露机密的过程。

    深度解读完整解读
  3. 评测与基准arXiv 2610.04575

    论文提出 Operational Validity Contract，审计激活监控从探针分数到告警策略的有效性

    提出操作有效性契约，审计激活监控的告警策略

    arXiv
    2610.04575
    发表
    层
    应用层
    场景
    网页与电脑操作
    测试
    Llama-3.2-3B、Qwen2.5-7B-Instruct、Qwen2.5-7B 等 4 个
    摘要论文建立从探针得分到警报策略的审计框架，实证表明高 AUROC 不等于部署有效性，仅支持受限预测价值。

    这篇论文系统评估了大模型智能体激活监控器从离线探针得分向在线警报策略跨越时的统计与操作有效性。

    深度解读完整解读
  4. 评测与基准arXiv 2604.02947

    AgentHazard：评估计算机使用智能体有害行为的基准

    提出 AgentHazard 基准，评测计算机使用智能体的执行层有害行为

    arXiv
    2604.02947
    发表
    层
    应用层
    场景
    网页与电脑操作、编程 Agent
    测试
    Llama-Guard-3-8B、Qwen2.5-72B-Instruct、Qwen2.5-Coder-32B-Instruct 等 12 个
    摘要AgentHazard 评估了计算机使用智能体的执行安全，作者认为模型层对齐无法可靠保障智能体层面的安全性。

    AgentHazard 是针对计算机使用智能体执行层安全构建的评估基准，重点探究多步工具调用下局部合理动作累积引发的危害。

    深度解读完整解读
  5. 分析与理论arXiv 2610.03095

    研究：异构 AI 模型间的说服效果取决于配对而非模型规模

    量化异构模型在一次分歧交换后对分类判断的同伴影响

    arXiv
    2610.03095
    发表
    层
    应用层
    场景
    多智能体
    测试
    llama-3.1-8b、llama-3.3-70b、gemma-3-4b 等 7 个
    摘要一次分歧交换就能大幅改判，且组合行为不能从个体属性外推。

    这篇工作测量异构语言模型智能体在共同分类任务上的单次同伴影响，而不是评多智能体系统的整体基准分。

    深度解读完整解读
  6. 风险行为arXiv 2609.39050

    研究：九个前沿模型中七个会隐蔽传递凭据以绕过监控

    测量良性多智能体协作中自发隐蔽传递凭据以绕过监控

    arXiv
    2609.39050
    发表
    层
    应用层
    场景
    多智能体、编程 Agent
    测试
    Llama-4-Maverick、DeepSeek-V4-Pro、devstral-2512 等 15 个

    摘要论文揭示智能体会因良性助人意图自主编码凭据规避监控，主张不能单靠内容审查，需在动作层强化严格鉴权。

    深度解读完整解读
  7. 防御arXiv 2610.02005

    贝叶斯辩证论证（BDA）：面向持续对抗下多 LLM 委员会的可校准聚合

    提出 BDA，把多 LLM 议会的辩证动作当可靠性证据做加权聚合

    arXiv
    2610.02005
    发表
    层
    应用层
    场景
    多智能体
    测试
    llama-3.1-8b-instruct、llama-3.2-1b、gemma-3-27b-it 等 9 个
    摘要BDA 用零额外调用的可靠性加权，给出可校准后验，并在持续对抗下反转不可靠席位。

    BDA 是一种不另调 LLM 的多 LLM 议会聚合方法，同时处理置信度校准和持续不可靠席位。

    深度解读完整解读
  8. 分析与理论arXiv 2608.16578

    研究用统计力学预测 AI 智能体群体的集体行为

    用扩展 Ising 模型预测语言模型智能体的集体意见演化

    arXiv
    2608.16578
    发表
    层
    应用层
    场景
    多智能体
    测试
    Llama-3.1-8B-Instruct、GPT-4o-mini、Gemma-3n-E4B-it 等 6 个
    摘要统计力学三耦合模型从初始意见预测智能体社群轨迹，并解释 conviction、共识与客观题求真。

    定位：用统计力学描述语言模型智能体社群的意见动力学，并从初始意见预测后续轨迹。

    深度解读完整解读
  9. 评测与基准arXiv 2609.05535

    Mind2Web-Injection：面向网页 Agent 视觉提示注入护栏的证据对齐评测

    提出 Mind2Web-Injection，评测网页 Agent 截图护栏的证据对齐

    arXiv
    2609.05535
    发表
    层
    应用层
    场景
    网页与电脑操作
    测试
    Llama-4-Scout、GPT-5.6-luna、Qwen3-VL-32B 等 6 个
    摘要作者称检测、定位和反事实响应在六个 VLM 上可分开。

    Mind2Web-Injection 用来检查网页截图护栏的判决是否对齐到该用的画面证据。。

    深度解读完整解读
  10. 防御arXiv 2610.00371

    FlowReview：以授权配对评测控制多智能体组合信息流

    提出 FlowReview，用对象解析与确定性提交门控制多智能体组合信息流

    arXiv
    2610.00371
    发表
    层
    应用层
    场景
    多智能体
    测试
    Llama-3.3-70B、Sonnet 4.5、Haiku 4.5 等 7 个
    摘要配对标准要求拒绝禁止使用并完成授权使用，FlowReview 把三项审查接到执行。

    这篇工作把多智能体安全写成一件必须同时成立的事：拦住组合信息所启用的禁止使用，并完成同一场景里任务所需的授权使用。

    深度解读完整解读
  11. 防御arXiv 2608.30387

    研究者提出多智能体系统输出与委派链路双层存证方案

    提出多智能体输出与委派谱系的两层存证方案

    arXiv
    2608.30387
    发表
    层
    应用层
    场景
    多智能体
    测试
    Ollama llama3.1:latest
    摘要两层证明记录放出字节与边授权。

    部署方侧的两层证明，用来在多智能体跨部署方委托之后回答两个事后问题：谁放出了这些字节，这条跨部署方边有没有父方授权。

    深度解读完整解读
  12. 攻击arXiv 2609.39788

    研究：多智能体系统潜在通信链路可被训练用于提升有害顺从

    提出只改多智能体潜在通信链路以提高有害遵从的攻击

    arXiv
    2609.39788
    发表
    层
    应用层
    场景
    多智能体
    测试
    Llama-3.2-3B-Instruct、Llama-3.2-1B-Instruct、Qwen2.5-3B-Instruct 等 7 个
    摘要潜在链路本身即可改变冻结智能体系统的安全，奖励既能攻击也能修复。

    学习得到的潜在通信链路会改变由冻结、对齐智能体组成的系统是否遵从有害请求。。作者研究三种拓扑：双智能体、三级顺序协作，以及双专家加汇总。

    深度解读完整解读
  13. 其他arXiv 2609.10144

    AIOS 的内核管理共享内存：面向系统级个性化的新抽象

    AI 导读研究提出"内核管理共享内存"，由智能体系统内核而非单个智能体统一负责记忆检索、隐私执行与提示注入。

    arXiv
    2609.10144
    发表
    层
    应用层
    场景
    多智能体
    测试
    Llama-3.1:8B、GPT-4o、Qwen-2.5:7B
    摘要作者称内核集中管理记忆，能拿到无约束上下文的大部分个性化收益，并降低延迟。

    kernel-managed shared memory 把多智能体的检索、隐私和注入收进 agent-system kernel，并在 AIOS 上与三种替代方案比较。

    深度解读完整解读
  15. 攻击arXiv 2608.06862

    SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化

    提出 SYNCHAIN，诱导计算机使用 Agent 自合成潜伏技能并跨任务触发

    arXiv
    2608.06862
    发表
    层
    应用层
    场景
    网页与电脑操作、编程 Agent
    测试
    Llama-3.1-8B、Qwen3.5-9B、Ministral-3-8B 等 5 个

    摘要论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。

    深度解读完整解读
  17. 评测与基准arXiv 2609.05591

    WolfSociety：金融智能体社会中有害智能体规模带来的集体风险

    用 WolfBench 测量金融智能体社会中有害规模下的集体崩溃

    arXiv
    2609.05591
    发表
    层
    应用层
    场景
    多智能体
    测试
    Llama-3.3-70B、DeepSeek V3.2、GPT-4.1 等 6 个
    摘要更大的金融智能体社会在更低有害比例上崩溃，但所需有害人数仍增加。

    WolfSociety 把多智能体安全写成受控金融社会中的集体失败问题：智能体经社交网络交流，并在共享市场里交易，形成从交流到行动再到后续决策的闭环。

    深度解读完整解读
已经到底了