攻击arXiv 2610.09981
研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题
提出利用路由元数据推断敏感话题的侧信道攻击
- arXiv
- 2610.09981
- 发表
- 场景
- LLM 应用
- 被测模型
- RouteLLM (BERT router)、notdiamond-0001、Vela (vLLM Semantic Router)
摘要论文揭示并测量了 LLM 路由决策在无文本日志中的敏感话题泄露，验证了按类别公平性防御的有效性与边界。
- 攻击arXiv 2610.09708
研究者提出利用祖先 VLM 的黑盒对抗补丁攻击，可降低 VLA 任务成功率
提出利用祖先 VLM 优化对抗补丁，使已部署 VLA 任务失败
- arXiv
- 2610.09708
- 发表
- 层
- 提示层
- 场景
- 具身与机器人
- 被测模型
- OpenVLA、UniVLA、π0.5
- 攻击arXiv 2610.06814
TAPDreamer：可跨任务迁移的世界动作模型对抗补丁
TAPDreamer 用公开编码器做固定补丁。
- arXiv
- 2610.06814
- 发表
- 层
- 提示层
- 场景
- 具身与机器人
- 被测模型
- FastWAM、DreamWAM-uncond、DreamWAM-joint 等 4 个
- 攻击arXiv 2610.06083
研究者提出面向深度强化学习的轨迹级可迁移黑盒对抗攻击
提出轨迹级可迁移对抗攻击，降低深度强化学习策略的期望回报
- arXiv
- 2610.06083
- 发表
- 层
- 模型层
- 场景
- 具身与机器人
- 被测模型
- DQN、Double DQN (DDQN)
- 技术梯度与表征优化
摘要轨迹级后退视界攻击在 CartPole 上比逐步 FGSM 类和 Sign 噪声更压低回报。
这项工作研究 DRL 上的迁移式黑盒观测攻击：受害参数不可访问时，在白盒代理上造扰动再迁移。
- 攻击arXiv 2610.01871
研究者提出 IMMRAG 攻击，可从多模态 RAG 数据存储中提取医学与文档图像
提出 imMRAG 攻击，从多模态 RAG 私有图像库提取内容
- arXiv
- 2610.01871
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 攻击者
- 黑盒
- 被测模型
- Lumina-mGPT、Gemini 2.5 Flash Image Preview、CLIP ViT-B/16 等 5 个
- 评测与基准arXiv 2609.35912
MMSkillRisk：多模态技能图像中的隐藏指令可诱导 Agent 执行未授权操作
提出 MMSkillRisk 基准，评测多模态技能图像中的隐藏指令诱导 Agent 越权操作
- arXiv
- 2609.35912
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.6-sol、Kimi-K2.6、Kimi-K3 等 6 个
摘要论文提出 MMSkillRisk 基准与 NCVA 攻击，揭示多模态技能中教学图像潜藏指令可引发未授权操作并与良性任务共存。
- 攻击arXiv 2608.10393
DURA：用扩散模型生成自然对抗补丁攻击 VLA 机器人模型
提出 DURA，用扩散模型生成自然对抗补丁操控 VLA 机器人动作
- arXiv
- 2608.10393
- 发表
- 层
- 提示层
- 场景
- 具身与机器人
- 被测模型
- OpenVLA-7B、π0-FAST、openvla-7B
摘要DURA 用扩散潜空间轨迹生成自然补丁，白盒与黑盒都能把 VLA 导向指定动作。
DURA 是针对 VLA 的扩散式、补丁内容不受限的机器人攻击，同时支持白盒梯度和只看动作输出的黑盒。
- 攻击arXiv 2606.12716
PaperGuard：针对多模态 AI 同行评审的攻击与防御基准
提出 PaperGuard，用图文注入与梯度扰动抬高自动审稿分数并检测恶意指令
- arXiv
- 2606.12716
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Claude-sonnet-4.5、GPT-4o、GPT-4.1 等 11 个
摘要PaperGuard 测到提示注入与白盒视觉抬分，并比较分块检索防御。
PaperGuard同时评测并检测多模态 AI 审稿中的评分操纵。
- 攻击arXiv 2606.11265
论文提出 CRCP 投毒框架，揭示 RAG 分块与重排序下的投毒失效问题
提出 CRCP 框架，优化分块与重排下的 RAG 语料投毒
- arXiv
- 2606.11265
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- GPT-4o、DeepSeek-R1、Qwen3-Max 等 11 个
摘要CRCP 把投毒做成多阶段一致性问题。
CRCP 研究的是带分块和重排的 RAG 语料投毒，而不是只提高文档级检索分数。
- 攻击arXiv 2606.09499
研究者提出针对世界模型的机器人学习管线投毒攻击
提出 VPH 与 VTH，只改视频帧劫持世界模型并投毒下游策略
- arXiv
- 2606.09499
- 发表
- 场景
- 具身与机器人
- 被测模型
- Cosmos-Predict 2.5、Cosmos-Predict 2.5 AC、Dino WM 等 4 个
摘要只改视频帧经世界模型投毒。
只改看似安全的视频帧，经世界模型之后才改变下游机器人策略。 问题在于世界模型进入数据生成后，数据集检查看到的仍是安全演示，合成轨迹却可以变危险。
- 攻击arXiv 2603.13847
SWhisper 用近超声隐蔽声学通道对语音驱动 LLM 实现黑盒越狱
提出 SWhisper，用近超声波向语音驱动 LLM 隐蔽注入越狱提示
- arXiv
- 2603.13847
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 攻击者
- 黑盒
- 被测模型
- Meta-Llama-3.1-8B-Instruct、Gemma-3-4B、Qwen2.5-7B-Instruct 等 9 个
- 攻击arXiv 2505.23266
AdvOF：用对抗物体融合攻击 VLM 驱动的视觉语言导航智能体
提出 AdvOF，生成对抗物体误导视觉语言导航智能体的场景感知
- arXiv
- 2505.23266
- 发表
- 层
- 应用层
- 场景
- 具身与机器人
- 攻击者
- 白盒
- 被测模型
- Lseg、Clip、ViT-L/16 等 5 个
摘要AdvOF 以多视角融合生成对抗物体。
AdvOF 是针对 VLM 驱动 VLN 服务导航的对抗物体攻击。
已经到底了