全部论文

研究揭示 CaMeL 防护在多智能体系统中失效并提出 multi-CaMeL

提出 multi-CaMeL，在多智能体调用边界隔离可信指令与不可信数据

arXiv

2610.05640

发表

10月5日

层

应用层

场景

多智能体

测试

Claude Fable 5、GPT-5.5、GPT-4.1 等 6 个

• 防御指令与数据隔离
• 攻击提示注入

MBZUAI 提出可校准的真实图像认证方法

提出校准重合成方法，以生成器反演保真度认证真实图像并防御对抗扰动

arXiv

2610.05870

发表

10月5日

层

应用层

场景

LLM 应用

攻击者

白盒

测试

SD2.1、SD3、SD3.5 等 10 个

• 防御检测与过滤
• 攻击检测规避
• 组件图像生成
• +1+1

COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构

提出 COBRA，用分支能力约束与代理拦截防御计算机使用 Agent 的分支引导攻击

arXiv

2610.03089

发表

10月2日

层

应用层

场景

网页与电脑操作

测试

gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等 6 个

• 防御指令与数据隔离
• 攻击提示注入
• 组件MCP 与技能
• +1+1

CMU 研究：分片判断可避免 LLM 监督失效并抵御对抗利用

提出分片监督，将评判标准分配给独立调用以抵御展示攻击

arXiv

2608.06422

发表

8月6日

层

应用层

场景

LLM 应用

攻击者

黑盒

测试

Claude Opus 4.8、Claude Sonnet 4.6、Claude Opus 4.6 等 5 个

• 防御检测与过滤
• 攻击检测规避
• 组件护栏与评审

Counter-GEO-Bench：现有护栏难挡 GEO 虚假信息

构建 COUNTER-GEO-BENCH，评测生成式搜索中的 GEO 虚假信息防御

arXiv

2609.02316

发表

9月2日

层

应用层

场景

LLM 应用

测试

Gemma-4-31B-IT、Qwen-3.5-35B-A3B、Llama-4-Scout-17B-16E 等 11 个

• 防御检测与过滤
• 攻击提示注入
• 组件RAG
• +1+1

ReCast：在固定媒体接口下保护多模态推理的隐私框架

提出 RECAST，本地改写图表与语音并做可逆数值映射以保护远程推理隐私

arXiv

2610.01184

发表

10月1日

层

应用层

场景

LLM 应用

测试

Qwen3.5-Omni-Plus、Qwen3-VL-8B-Instruct、Qwen3-ASR-1.7B 等 11 个

• 组件视觉
• +1+1

SCOPE：训练有能力且安全的计算机使用智能体

提出 SCOPE 联合后训练计算机使用智能体的任务执行与安全决策

arXiv

2609.22178

发表

8月27日

层

应用层

场景

网页与电脑操作

测试

Qwen3.5-9B、SCOPE-mid-checkpoint、SCOPE-Capability-Safety 等 14 个

• 防御模型加固
• 攻击提示注入

UCM：为网页智能体遮蔽不可信内容以提供安全保证

提出 UCM，用 DOM 掩码与类型受限隔离模型隔开网页智能体与不可信内容

arXiv

2607.05277

发表

7月7日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 4.5、Claude Sonnet 4.6、GPT-5.4

• 防御指令与数据隔离
• 攻击提示注入

ContractRL：面向可审计工具调用修复的屏蔽组相对策略优化

提出契约约束的工具调用修复协议，在执行前拦截非法补丁

arXiv

2610.00328

发表

10月2日

层

应用层

场景

LLM 应用

测试

2B rank-8 LoRA、0.8B rank-4 LoRA

• 防御权限与审批
• 风险Agent 危险操作
• 组件权限与沙箱
• +1+1

Skill-as-API：面向智能体软件工程的机密多智能体协作协议

提出 Skill-as-API，防止协作通道泄露 skill 代码与系统提示词

arXiv

2609.01677

发表

9月1日

层

应用层

场景

多智能体、编程 Agent

• 防御指令与数据隔离
• 攻击提取与窃取
• 组件MCP 与技能
• +3+3

Mind the Gap：检测 DAO 治理中的描述-执行不匹配攻击

提出 DEMI 检测框架，在执行前识别 DAO 提案描述与执行载荷的不匹配

arXiv

2609.13601

发表

9月12日

层

应用层

场景

LLM 应用

测试

GPT-4o、Claude 4.5 Sonnet、Gemini 2.5 Pro 等 8 个

• 防御检测与过滤
• 组件护栏与评审

基于搜索增强 LLM 的中文新词毒性共识检测框架 SeTox

提出 SeTox 检索增强框架，检测中文新词的隐性毒性

arXiv

2608.12361

发表

7月5日

层

应用层

场景

LLM 应用

测试

Perspective-API、Baidu-API、Tencent-API 等 14 个

• 防御检测与过滤
• 攻击检测规避
• 组件护栏与评审
• +1+1

面向 AI-SOC 的神经符号防御框架：用 SIEM 解码器与 NeMo Guardrails 阻断日志投毒提示注入

提出神经符号纵深架构，阻断 AI-SOC 的日志投毒与间接提示注入

arXiv

2609.10707

发表

9月10日

层

应用层

场景

LLM 应用

测试

Gemma 3 (12B)

• 防御检测与过滤
• 攻击提示注入
• 组件护栏与评审
• +1+1

超越求解器判定：面向自动形式化的生成式奖励模型

提出 GenV，检测求解器判定无法区分的不忠实形式化

arXiv

2609.11085

发表

9月10日

层

应用层

场景

LLM 应用

测试

GenV+HN、GenV、27B LM (LoRA) 等 15 个

• 防御检测与过滤
• 组件护栏与评审

PILLAR：面向增强检索的私有倒排索引词法查找

提出 PILLAR，用私有词法预筛与客户端重排保护 RAG 查询

arXiv

2609.36326

发表

9月29日

层

应用层

场景

LLM 应用

测试

Qwen2.5-7B-Instruct、Llama-3-70B、e5-base-v2 等 4 个

• 组件RAG

MiniRep：面向多智能体辩论的鲁棒声誉聚合方法

提出 MiniRep，按当前质量、风险与历史声誉聚合多智能体辩论

arXiv

2609.39297

发表

9月30日

层

应用层

场景

多智能体

测试

七个 API 可访问 LLM 组成的十智能体池（论文按数据集单独排名为 strong/weak，正文未列出模型名）、1.5B semantic verifier

MasDrift：跨多智能体架构的授权保持基准

用 MasDrift 评测多智能体架构的授权保持

arXiv

2608.07556

发表

8月2日

层

应用层

场景

多智能体

测试

DeepSeek V4 Flash、Qwen3.7 Plus、GPT-5.4 Nano 等 6 个

• 防御权限与审批
• 风险Agent 危险操作
• 组件权限与沙箱

LeakGauge：用行为探针在解码前检测上下文泄露攻击信号

提出 LeakGauge，用行为后缀的 prefill 对数概率检测上下文泄露

arXiv

2608.17829

发表

8月18日

层

应用层

场景

LLM 应用

攻击者

黑盒

测试

Gemma-4-E4B-it、Gemma-4-31B-it、Qwen2.5-14B-Instruct 等 11 个

• 防御检测与过滤
• 攻击提取与窃取
• 组件RAG

HazardAuditor：面向计算机使用 Agent 的执行级安全护栏框架

提出 HazardAuditor 与 GuardPO，训练计算机使用智能体的运行时守卫

arXiv

2609.15134

发表

9月14日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

HazardAuditor、HazardAuditor-SFT、Qwen3Guard-Gen-8B 等 15 个

• 防御监控与审计
• 风险Agent 危险操作
• 组件监控器

多智能体 LLM 流水线中的信任传播与结构隔离

提出任务绑定令牌与策略预言机，在多智能体流水线中拦截未授权执行

arXiv

2609.17648

发表

9月15日

层

应用层

场景

多智能体

测试

gemma4:31b-cloud

• 防御权限与审批
• 攻击投毒与后门
• 组件权限与沙箱
• +2+2