全部论文

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

测试

Browser-Use、LiteWebAgent、Skyvern 等 7 个

• 攻击提示注入
• 技术自动化搜索

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

Fara1.5-27B、CAVEAT-27B、GPT-5.6-Sol 等 14 个

WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作

arXiv

2610.09240

发表

10月7日

层

应用层

场景

网页与电脑操作

测试

LLaVA-v1.5-13B、LLaVA-v1.6-34B、MiniCPM-o-8B 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

GUI-Owl(32B)、Mai-UI(8B)、Qwen2.5-VL(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构

提出 COBRA，用分支能力约束与代理拦截防御计算机使用 Agent 的分支引导攻击

arXiv

2610.03089

发表

10月2日

层

应用层

场景

网页与电脑操作

测试

OpenCUA-7B、OpenCUA-32B、gpt-5 等 6 个

• 防御指令与数据隔离
• 攻击提示注入
• 组件MCP 与技能
• +1+1

SCOPE：训练有能力且安全的计算机使用智能体

提出 SCOPE 联合后训练计算机使用智能体的任务执行与安全决策

arXiv

2609.22178

发表

8月27日

层

应用层

场景

网页与电脑操作

测试

SCOPE-mid-checkpoint、SCOPE-Capability-Safety、SCOPE-RL 等 14 个

• 防御模型加固
• 攻击提示注入

HazardAuditor：面向计算机使用 Agent 的执行级安全护栏框架

提出 HazardAuditor 与 GuardPO，训练计算机使用智能体的运行时守卫

arXiv

2609.15134

发表

9月14日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

HazardAuditor、HazardAuditor-SFT、NemoGuard 等 15 个

• 防御监控与审计
• 风险Agent 危险操作
• 组件监控器

CONFLICTGUI 基准与 CONFLICTGUARD 框架：让多模态 GUI Agent 学会在冲突指令下终止执行

AI 导读作者提出 CONFLICTGUI 基准，覆盖指令内部冲突与指令和 GUI 上下文冲突两类场景，用于研究 GUI Agent 的冲突感知终止能力。

arXiv

2609.03438

发表

9月3日

层

应用层

场景

网页与电脑操作

测试

UI-Venus-1.5-8B、OS-Atlas-Base-7B、AgentCPM-GUI 等 10 个

• 防御推理时干预
• 风险Agent 危险操作
• 组件视觉

MATE：面向移动 Agent 的策略感知安全审计方法

提出策略条件轨迹审计器 MATE，判断移动 Agent 是否违反可编辑安全策略

arXiv

2609.22724

发表

9月19日

层

应用层

场景

网页与电脑操作

攻击者

黑盒

测试

MATE-0.5B、MATE-1.5B、MATE-3B 等 8 个

• 防御监控与审计
• 攻击恶意使用
• 风险Agent 危险操作
• 组件监控器