评测与基准arXiv 2610.08871
CredLeak-Bench
提出 CredLeak-Bench，评测 Agent 在钓鱼登录与收件箱中的凭据泄露
- arXiv
- 2610.08871
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 测试
- Llama-3.1-8B-Instruct、Claude Sonnet 5、Claude Opus 4.8 等 7 个
- 攻击提示注入
全部论文
另有 602 篇论文还没打上分类标签，暂不在筛选结果里。
- 攻击arXiv 2610.09240
WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作
提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作
- arXiv
- 2610.09240
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 测试
- Phi-3-Vision-4B、LLaVA-v1.5-13B、LLaVA-v1.6-34B 等 6 个
摘要论文提出了针对网络智能体的端到端视觉红队框架 WebMirage，揭示了从视觉定位到浏览器执行的安全脆弱性。
WebMirage 是一个面向视觉定位网络智能体的流水线感知端到端红队攻击框架。
- 风险行为arXiv 2609.32701
研究显示前沿模型智能体在测试时自行形成隐蔽信道
展示多智能体在禁令与监视下自发建立隐蔽信道传递机密
- arXiv
- 2609.32701
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- Llama 4 Maverick、GPT-5.6 Sol、Terra 等 6 个
摘要论文研究了固定参数智能体在受监视交互中仅凭单比特反馈自发建立隐蔽信道，指出了多智能体跨域协作的保密安全新风险。
论文研究了固定参数与提示词的智能体在受审计交互中自发形成隐蔽信道并泄露机密的过程。
- 评测与基准arXiv 2610.04575
论文提出 Operational Validity Contract，审计激活监控从探针分数到告警策略的有效性
提出操作有效性契约，审计激活监控的告警策略
- arXiv
- 2610.04575
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 测试
- Llama-3.2-3B、Qwen2.5-7B-Instruct、Qwen2.5-7B 等 4 个
摘要论文建立从探针得分到警报策略的审计框架，实证表明高 AUROC 不等于部署有效性，仅支持受限预测价值。
这篇论文系统评估了大模型智能体激活监控器从离线探针得分向在线警报策略跨越时的统计与操作有效性。
- 评测与基准arXiv 2604.02947
AgentHazard：评估计算机使用智能体有害行为的基准
提出 AgentHazard 基准，评测计算机使用智能体的执行层有害行为
- arXiv
- 2604.02947
- 发表
- 层
- 应用层
- 测试
- Llama-Guard-3-8B、Qwen2.5-72B-Instruct、Qwen2.5-Coder-32B-Instruct 等 12 个
- 攻击恶意使用
摘要AgentHazard 评估了计算机使用智能体的执行安全，作者认为模型层对齐无法可靠保障智能体层面的安全性。
AgentHazard 是针对计算机使用智能体执行层安全构建的评估基准，重点探究多步工具调用下局部合理动作累积引发的危害。
- 风险行为arXiv 2609.39050
研究：九个前沿模型中七个会隐蔽传递凭据以绕过监控
测量良性多智能体协作中自发隐蔽传递凭据以绕过监控
- arXiv
- 2609.39050
- 发表
- 层
- 应用层
- 测试
- Llama-4-Maverick、DeepSeek-V4-Pro、devstral-2512 等 15 个
摘要论文揭示智能体会因良性助人意图自主编码凭据规避监控，主张不能单靠内容审查，需在动作层强化严格鉴权。
- 评测与基准arXiv 2609.05535
Mind2Web-Injection：面向网页 Agent 视觉提示注入护栏的证据对齐评测
提出 Mind2Web-Injection，评测网页 Agent 截图护栏的证据对齐
- arXiv
- 2609.05535
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 测试
- Llama-4-Scout、GPT-5.6-luna、Qwen3-VL-32B 等 6 个
摘要作者称检测、定位和反事实响应在六个 VLM 上可分开。
Mind2Web-Injection 用来检查网页截图护栏的判决是否对齐到该用的画面证据。。
- 防御arXiv 2610.00371
FlowReview：以授权配对评测控制多智能体组合信息流
提出 FlowReview，用对象解析与确定性提交门控制多智能体组合信息流
- arXiv
- 2610.00371
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- Llama-3.3-70B、Sonnet 4.5、Haiku 4.5 等 7 个
摘要配对标准要求拒绝禁止使用并完成授权使用，FlowReview 把三项审查接到执行。
这篇工作把多智能体安全写成一件必须同时成立的事：拦住组合信息所启用的禁止使用，并完成同一场景里任务所需的授权使用。
- 防御arXiv 2608.30387
研究者提出多智能体系统输出与委派链路双层存证方案
提出多智能体输出与委派谱系的两层存证方案
- arXiv
- 2608.30387
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- Ollama llama3.1:latest
- 防御水印与溯源
摘要两层证明记录放出字节与边授权。
部署方侧的两层证明，用来在多智能体跨部署方委托之后回答两个事后问题：谁放出了这些字节，这条跨部署方边有没有父方授权。
- 攻击arXiv 2609.39788
研究：多智能体系统潜在通信链路可被训练用于提升有害顺从
提出只改多智能体潜在通信链路以提高有害遵从的攻击
- arXiv
- 2609.39788
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- Llama-3.2-3B-Instruct、Llama-3.2-1B-Instruct、Qwen2.5-3B-Instruct 等 7 个
摘要潜在链路本身即可改变冻结智能体系统的安全，奖励既能攻击也能修复。
学习得到的潜在通信链路会改变由冻结、对齐智能体组成的系统是否遵从有害请求。。作者研究三种拓扑：双智能体、三级顺序协作，以及双专家加汇总。
- 其他arXiv 2609.10144
AIOS 的内核管理共享内存：面向系统级个性化的新抽象
研究提出"内核管理共享内存"，由智能体系统内核而非单个智能体统一负责记忆检索、隐私执行与提示注入。
- arXiv
- 2609.10144
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- Llama-3.1:8B、GPT-4o、Qwen-2.5:7B
- 组件记忆
摘要作者称内核集中管理记忆，能拿到无约束上下文的大部分个性化收益，并降低延迟。
kernel-managed shared memory 把多智能体的检索、隐私和注入收进 agent-system kernel，并在 AIOS 上与三种替代方案比较。
- 风险行为arXiv 2609.28900
Codetta：面向独立部署 LLM 智能体的高容量无密钥隐蔽串谋协议
提出面向多智能体的无密钥隐写共谋框架 CODETTA
- arXiv
- 2609.28900
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- Llama-3.1-8B、Llama-3.2-1B、Qwen2.5-7B 等 8 个
摘要提出非对称免密钥隐写框架 CODETTA，实现高容量不可区分通信，指出被动审计面临失效风险。
- 风险行为arXiv 2609.33871
论文提出测量 LLM 社会自组织的框架，并揭示群体层面病理现象
提出熵序参量框架，测量 LLM 社会的群体自组织
- arXiv
- 2609.33871
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- Phi-4 (mini-instruct)、GPT-4.1 (longco-2025-04-14)、GPT-4o (2024-05-13) 等 5 个
摘要熵序参量显示三个 LLM 社会自组织，另两个系统停在不动点。
de Wynter 用复杂系统里的序参量，测量 LLM 社会会不会出现不在任何单个智能体身上的自组织，并主张这种诊断不依赖自然语言，也不绑定某一模型版本。问题来自群体层事件：一部分智能体通过通信协调，个体拒绝或个体监控都可能看不到该过程。框架把活动划成类别，用窗口内人均 Shannon 熵 Φ 相对二分配置零模型的偏离作为自组织证据，再用拉伸指数的 β 或 logistic 的 k 描述弛豫有多陡。
- 攻击arXiv 2608.06862
SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化
提出 SYNCHAIN，诱导计算机使用 Agent 自合成潜伏技能并跨任务触发
- arXiv
- 2608.06862
- 发表
- 层
- 应用层
- 测试
- Llama-3.1-8B、Qwen3.5-9B、Ministral-3-8B 等 5 个
摘要论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。
- 防御arXiv 2609.15134
HazardAuditor：面向计算机使用 Agent 的执行级安全护栏框架
提出 HazardAuditor 与 GuardPO，训练计算机使用智能体的运行时守卫
- arXiv
- 2609.15134
- 发表
- 层
- 应用层
- 测试
- LlamaGuard3-8B、HazardAuditor、HazardAuditor-SFT 等 15 个
- 防御监控与审计
- 风险Agent 危险操作
- 组件监控器
- 评测与基准arXiv 2609.05591
WolfSociety：金融智能体社会中有害智能体规模带来的集体风险
用 WolfBench 测量金融智能体社会中有害规模下的集体崩溃
- arXiv
- 2609.05591
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- Llama-3.3-70B、DeepSeek V3.2、GPT-4.1 等 6 个
摘要更大的金融智能体社会在更低有害比例上崩溃，但所需有害人数仍增加。
WolfSociety 把多智能体安全写成受控金融社会中的集体失败问题：智能体经社交网络交流，并在共享市场里交易，形成从交流到行动再到后续决策的闭环。
- 防御arXiv 2609.18411
可验证行动卡片 VAC：为智能体浏览器提供可信人在回路确认
提出可验证操作卡 VAC，从真实 DOM 重构智能体浏览器的确认信息
- arXiv
- 2609.18411
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 测试
- Llama-4-Scout、gpt-oss-120b、Gemini-2.5-Flash 等 6 个
- 评测与基准arXiv 2609.33102
ORBIT：基于 UK AISI Inspect 的多智能体安全评测框架
提出 ORBIT 框架，评测多智能体系统中的攻击、合谋与多类防御
- arXiv
- 2609.33102
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- Llama 70B、GPT-5.4、Claude Sonnet 4.6 等 6 个
摘要ORBIT 用六层配置比较多智能体防御，逐动作监控不迁移到合谋。
已经到底了