跳到正文
10月9日 · 周五

供应链安全 · 论文

找到 13 篇
筛选4

攻击类型

提示注入6投毒与后门9

攻击技术

梯度与表征优化1自动化搜索2编码与混淆1针对防御1潜伏触发4诱导选用2

模型自身风险

Agent 危险操作1危险能力1幻觉与编造1

防御类型

检测与过滤1权限与审批1

影响

越权操作4数据与隐私泄露2输出被操纵3滥用能力提升1

系统形态

LLM 应用3AI Agent37编程 Agent10网页与电脑操作1多智能体4

攻击面/入口

工具返回1工具与技能描述5代码仓库与依赖3检索语料2记忆写入2权重与梯度2分发渠道5

层

提示层1应用层13基础设施层1

系统组件

MCP 与技能7记忆3RAG1护栏与评审2监控器1权限与沙箱1微调与开源权重2

被测模型厂商

Qwen（阿里）8OpenAI7DeepSeek5Anthropic5其他10
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 29 篇还没打标签，不在筛选结果里。
系统形态：LLM 应用系统形态：编程 Agent系统形态：网页与电脑操作层：应用层话题：供应链安全清除全部

另有 29 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2608.25776

    EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播

    提出 EVOMAL 攻击，诱导编码 Agent 自我投毒并蠕虫式传播技能

    arXiv
    2608.25776
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Devstral-Small-2、Gemma-4-31B-IT、Qwen3-Coder-Next 等 7 个

    摘要论文指出了自演化智能体模仿检索代码的自我毒化漏洞，提出 EVOMAL 攻击与防御，阐明了供应链新风险。

    深度解读完整解读
  2. 攻击arXiv 2610.07510

    PersistBD：攻击者可在发布前强化后门，使其在开发者 SFT 与 RL 后仍保持高攻击成功率

    提出 PERSISTBD，发布前强化后门以穿透良性 SFT 与 RL

    arXiv
    2610.07510
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Qwen2.5-Coder-3B-Instruct、Qwen2.5-Coder-7B-Instruct、Qwen3-Coder-30B-A3B-Instruct
    摘要总结了论文关于后门在 SFT/RL 中存活的发现、两因子机制、PERSISTBD 方法与核心数字。

    本文研究第三方 LLM 智能体在开发者进行良性监督微调（SFT）和强化学习（RL）后训练时的后门持久性风险。

    深度解读完整解读
  4. 攻击arXiv 2609.39352

    研究者提出解耦铺垫与执行的 LLM Agent 技能投毒攻击

    提出 CoordPoison，将技能投毒的借口与完整动作拆到上下游 Skill

    arXiv
    2609.39352
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    DeepSeek-V4-Flash、GLM-5.3-Flash、Claude-Sonnet-4.6 等 5 个
    摘要CoordPoison 外置借口。

    CoordPoison 是一种 Skill 供应链投毒方法，把“为何执行”和“执行什么”拆到两个 Skill。。

    深度解读完整解读
  5. 攻击arXiv 2607.12340

    研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击

    提出技能名称抢注攻击，利用智能体虚构技能名实施供应链劫持

    arXiv
    2607.12340
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    GLM-4.5-Air、GPT-5.4-mini、Claude Sonnet 4.6 等 10 个
    摘要研究证实智能体虚构技能名具有高发生率与可预测性，现有防御难以兼顾安全与效用，亟需注册表结构性防护。

    本研究系统揭示了大模型智能体技能推荐场景下的虚构技能名称安全风险，将其形式化为一种新型供应链抢注攻击。

    深度解读完整解读
  6. 其他arXiv 2609.35266

    面向软件交付决策门禁的智能体安全审计器持续保障机制

    提出 TAIP，把策略与证据分离，在配置或策略变化后重算仓库审计门禁裁决

    arXiv
    2609.35266
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    gpt-4o-mini、gpt-4.1
    摘要TAIP 把策略、证据和执行分开，在保留的 RepoAudit 证据上于 5s 预算内重算合并门姿态。

    TAIP 是放在未修改 RepoAudit 之外的保证层，用来在软件交付门上重算智能体安全控制的当前姿态。

    深度解读完整解读
  8. 攻击arXiv 2609.02774

    CodePoisonRAG：针对检索增强代码生成的知识投毒攻击

    提出 CodePoisonRAG，对检索增强代码生成的知识库投毒以植入漏洞

    arXiv
    2609.02774
    发表
    层
    应用层
    场景
    LLM 应用
    测试
    Qwen 3.5 9B、Code Llama 13B、DeepSeek-Coder-V2 16B 等 4 个

    摘要CodePoisonRAG 展示了 RACG 外部知识库的新攻击面，在较低投毒率下可定向诱发指定漏洞并部分抵御防御。

    深度解读完整解读
  10. 其他arXiv 2609.38807

    PatchHolmes：基于列表式选择的智能体补丁检索系统

    提出列表式智能体补丁检索系统，在仓库中定位 CVE 修复提交

    arXiv
    2609.38807
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Qwen3-235B、Qwen3-Coder-30B、gpt-oss-120B 等 6 个
    摘要PatchHolmes 用混合检索和列表式四工具智能体做补丁检索，增益主要来自联合阅读候选而非更换骨干。

    PatchHolmes 是面向补丁检索的两阶段系统：在本地 Git 仓库上用冻结开源权重模型，为一个已知 CVE 找出修复提交，不做按仓库微调，也不使用付费外部搜索 API。

    深度解读完整解读
  11. 攻击arXiv 2608.06862

    SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化

    提出 SYNCHAIN，诱导计算机使用 Agent 自合成潜伏技能并跨任务触发

    arXiv
    2608.06862
    发表
    层
    应用层
    场景
    网页与电脑操作、编程 Agent
    测试
    Qwen3.5-9B、Llama-3.1-8B、Ministral-3-8B 等 5 个

    摘要论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。

    深度解读完整解读
  12. 其他arXiv 2609.18120

    PentestChain：面向免费层 LLM 的成本感知 MCP 编排自动化渗透测试框架

    提出成本感知的 MCP 编排框架，用确定性利用图与免费层模型做自动化渗透测试

    arXiv
    2609.18120
    发表
    层
    应用层
    场景
    LLM 应用
    测试
    qwen2.5:7b (Ollama, local)、OpenRouter (free-tier)、Cerebras (free-tier)
    摘要确定性利用图加免费层级联在十次自建运行上测得付费成本为零。

    PentestChain 是一个十阶段、经 MCP 暴露的自动渗透框架，用确定性利用图把 7B 本地模型挡在利用关键路径之外，并把每次交战的美元成本当作实测指标。。

    深度解读完整解读
已经到底了