全部论文

论文提出选项通道攻击：改一个选项标签即可让 Agent 护栏放行违规操作

提出选项通道攻击，重命名选项标签使 Agent 护栏放行违规操作

arXiv

2610.12292

发表

10月9日

层

应用层

场景

LLM 应用

攻击者

黑盒

被测模型

LAYA-TD、LAYA-EN、LAYA-ML 等 5 个

• 攻击检测规避
• 组件护栏与评审

复旦团队测量 AI 搜索引用脆弱性：普通发帖可进入引用与答案文本

测量 AI 搜索引用脆弱性，证明普通公开发帖可进入引用与回答

arXiv

2610.11932

发表

10月8日

层

应用层

场景

LLM 应用

被测模型

Grok、Doubao、ChatGPT 等 10 个

• 攻击投毒与后门
• 组件RAG

BRANCH 方法绕过 6 套多扫描器护栏系统

提出 BRANCH 方法，用分支搜索绕过多扫描器护栏

arXiv

2610.10742

发表

10月8日

层

应用层

场景

LLM 应用

攻击者

黑盒

被测模型

Meta Llama Guard 3 8B、Meta Llama Guard 7B、Meta Llama Guard 3 1B 等 18 个

• 攻击检测规避
• 技术自动化搜索
• 组件护栏与评审
• +1+1

研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题

提出利用路由元数据推断敏感话题的侧信道攻击

arXiv

2610.09981

发表

10月7日

层

基础设施层

场景

LLM 应用

被测模型

RouteLLM (BERT router)、notdiamond-0001、Vela (vLLM Semantic Router)

• 攻击提取与窃取
• 技术侧信道

研究：多向量视觉文档索引可被反演还原页面内容

提出流匹配逆向框架，从多向量视觉文档索引重构页面

arXiv

2610.09920

发表

10月7日

层

应用层

场景

LLM 应用

被测模型

Tomoro-ColQwen3-8B、ColQwen3.5-4.5B、Tomoro-colqwen3-embed-4b 等 13 个

• 攻击提取与窃取
• 组件嵌入
• +2+2

MBZUAI 提出可校准的真实图像认证方法

提出校准重合成方法，以生成器反演保真度认证真实图像并防御对抗扰动

arXiv

2610.05870

发表

10月5日

层

应用层

场景

LLM 应用

攻击者

白盒

• 防御检测与过滤
• 攻击检测规避
• 组件图像生成
• +1+1

研究者提出临时可见性协议，限制持续摄入 RAG 向量库的投毒暴露

提出临时可见性协议，限制持续摄入 RAG 向量库的投毒暴露

arXiv

2610.05826

发表

10月5日

层

应用层

场景

LLM 应用

• 防御指令与数据隔离
• 攻击投毒与后门
• 组件RAG

研究者披露 LiteLLM 网关跨租户干扰攻击 Cooldown Landmines

提出利用共享冷却的跨租户干扰攻击，并设计租户隔离机制

arXiv

2610.05089

发表

10月4日

层

基础设施层

场景

LLM 应用

• 防御指令与数据隔离
• 攻击拒绝服务
• +1+1

研究揭示文本水印会诱发模型幻觉，并提出两种缓解干预

分析文本水印在 RAG 中诱发事实幻觉的机制并提出干预

arXiv

2610.04860

发表

10月4日

层

模型层

场景

LLM 应用

被测模型

LLaMA 3.1 8B Instruct、Mistral-7B-Instruct-v0.3、Qwen2.5-14B-Instruct

• 防御推理时干预
• 风险幻觉与编造
• 组件RAG

研究：异构 AI 模型间的说服效果取决于配对而非模型规模

量化异构模型在分歧分类上的同伴影响与回弹

arXiv

2610.03095

发表

10月2日

层

应用层

场景

LLM 应用

被测模型

gemma-3-4b、gemma-3-27b、llama-3.1-8b 等 7 个

论文提出 LLM 输入扰动鲁棒性度量，并发布 ASA 攻击与 AttestMCP 防护

提出 ASA 与 AttestMCP，度量并降低 LLM 对输入序列扰动的敏感

arXiv

2610.02432

发表

10月2日

层

应用层

场景

LLM 应用、AI Agent

攻击者

黑盒

被测模型

Gemma-3-27B-Instruct、Gemma-3-4B-Instruct、Llama-3.2-3B-Instruct 等 12 个

• 防御检测与过滤
• 攻击检测规避
• 组件护栏与评审
• +3+3

HDI 攻击：篡改 GraphRAG 辅助结构可致 88–94% 攻击成功率

提出 HDI 攻击以篡改 GraphRAG 辅助结构破坏检索

arXiv

2610.02373

发表

10月2日

层

应用层

场景

LLM 应用

被测模型

Microsoft GraphRAG、HippoRAG2

• 攻击投毒与后门
• 组件RAG

COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构

提出 COBRA 双 LLM 架构，防御计算机使用 Agent 的分支转向攻击

arXiv

2610.03089

发表

10月2日

层

应用层

场景

网页与电脑操作

被测模型

gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等 6 个

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱
• +2+2

研究者提出 IMMRAG 攻击，可从多模态 RAG 数据存储中提取医学与文档图像

提出 imMRAG 攻击，从多模态 RAG 私有图像库提取内容

arXiv

2610.01871

发表

10月1日

层

应用层

场景

LLM 应用

攻击者

黑盒

被测模型

Lumina-mGPT、Gemini 2.5 Flash Image Preview、CLIP ViT-B/16 等 5 个

• 攻击提取与窃取
• 技术跨模态载荷
• 组件RAG
• +1+1

论文：安全路由评测在分布偏移下失效，基线选取偏差被低估

揭示安全路由评测在分布偏移下的虚假下限与选择偏差

arXiv

2610.01535

发表

10月1日

层

应用层

场景

LLM 应用、AI Agent

被测模型

claude-3-5-sonnet、claude-3-opus、claude-sonnet-4-6 等 9 个

• 组件护栏与评审

OpenMTB-Audit：LLM 分子肿瘤委员会安全评测暴露过度拒答

构建分子肿瘤委员会审计基准，测量临床过度拒答

arXiv

2610.01497

发表

10月1日

层

模型层

场景

模型与 API、LLM 应用

被测模型

GPT-4o (gpt-4o-2024-08-06)、GPT-4o-mini (gpt-4o-mini-2024-07-18)

ReCast：在固定媒体接口下保护多模态推理的隐私框架

提出 RECAST，本地改写图表与语音并做可逆数值映射以保护远程推理隐私

arXiv

2610.01184

发表

10月1日

层

应用层

场景

LLM 应用

• 组件视觉
• +1+1

ZoneClaw 用记忆分区防御 OpenClaw 式计算机使用 Agent 的持久记忆攻击

提出 ZoneClaw，用记忆分区防御计算机使用 Agent 的持久记忆攻击

arXiv

2610.00450

发表

10月1日

层

应用层

场景

网页与电脑操作

被测模型

Claude Sonnet 4.6、GPT-5.5、GLM-5.2 等 4 个

• 防御指令与数据隔离
• 攻击投毒与后门
• 组件记忆
• +1+1

OSWorld-Science：面向科学软件学习与使用的计算机操作智能体基准

提出 OSWorld-Science 评测计算机使用智能体的科学软件操作能力

arXiv

2609.39903

发表

9月30日

层

应用层

场景

网页与电脑操作

被测模型

Claude Fable 5.1、Claude Opus 5、Claude Sonnet 5 等 12 个

Box² Bench：语言模型能否有选择地依赖外部指导

提出 Box2-Bench，评测模型能否选择性依赖外部工作流

arXiv

2609.39578

发表

9月30日

层

应用层

场景

网页与电脑操作、coding agent

被测模型

Gemini 3.7 Flash、DeepSeek V4 Flash、GLM 5.2 等 9 个