Agent 安全 · 论文

LogInject 框架披露 LLM 日志分析中的被动提示注入

提出 LogInject 框架，评测日志分析中的被动提示注入及缓解

arXiv

2607.14493

发表

7月16日

层

应用层

场景

LLM 应用

测试

GPT-4o、Claude 3.5 Sonnet、Llama-3-70B-Instruct

• 攻击提示注入
• 技术编码与混淆
• 组件护栏与评审
• +1+1

HDI 攻击：篡改 GraphRAG 辅助结构可致 88–94% 攻击成功率

提出 HDI 攻击以篡改 GraphRAG 辅助结构破坏检索

arXiv

2610.02373

发表

10月1日

层

应用层

场景

LLM 应用

测试

Microsoft GraphRAG、HippoRAG2、text-embedding-3-small 等 4 个

• 攻击投毒与后门
• 组件RAG

论文：安全路由评测在分布偏移下失效，基线选取偏差被低估

提出诚实留出协议，量化安全路由评测的基线选择偏差

arXiv

2610.01535

发表

10月1日

层

应用层

场景

LLM 应用、AI Agent

测试

claude-3-5-sonnet、claude-3-opus、claude-sonnet-4-6 等 12 个

• 攻击越狱

研究揭示过期文档投毒：RAG 检索可让模型放弃原本正确的答案

评测 RAG 中过期文档推翻模型原本正确回答的现象

arXiv

2609.31342

发表

9月25日

层

应用层

场景

LLM 应用

测试

GPT-4o、GPT-4.1、Claude-Opus-4.5 等 13 个

• 组件RAG

FairMedAgent：临床 LLM 智能体公平性审计中的随机噪声下限

用 FairMedAgent 测量临床智能体在输入不变时的动作不稳定性下限

arXiv

2609.03221

发表

9月3日

层

应用层

场景

LLM 应用

测试

claude-haiku-4-5、claude-sonnet-5、llama3.1:8b-instruct 等 7 个

CodePoisonRAG：针对检索增强代码生成的知识投毒攻击

提出 CodePoisonRAG，对检索增强代码生成的知识库投毒以植入漏洞

arXiv

2609.02774

发表

9月3日

层

应用层

场景

LLM 应用

测试

Qwen 3.5 9B、Code Llama 13B、DeepSeek-Coder-V2 16B 等 4 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件RAG

ContractRL：面向可审计工具调用修复的屏蔽组相对策略优化

提出契约约束的工具调用修复协议，在执行前拦截非法补丁

arXiv

2610.00328

发表

10月2日

层

应用层

场景

LLM 应用

测试

2B rank-8 LoRA、0.8B rank-4 LoRA

• 防御权限与审批
• 风险Agent 危险操作
• 组件权限与沙箱
• +1+1

Mind the Gap：检测 DAO 治理中的描述-执行不匹配攻击

提出 DEMI 检测框架，在执行前识别 DAO 提案描述与执行载荷的不匹配

arXiv

2609.13601

发表

9月12日

层

应用层

场景

LLM 应用

测试

GPT-4o、Claude 4.5 Sonnet、Gemini 2.5 Pro 等 8 个

• 防御检测与过滤
• 组件护栏与评审

NavSafe-∞：在真实感环境中评测闭环驾驶安全

提出闭环基准 NAVSAFE-∞，评测端到端驾驶策略的安全关键事件表现

arXiv

2609.26618

发表

9月22日

层

应用层

场景

具身与机器人

测试

Human Driver Reference、PDM-Closed、LTF 等 15 个

• 风险Agent 危险操作

面向 AI-SOC 的神经符号防御框架：用 SIEM 解码器与 NeMo Guardrails 阻断日志投毒提示注入

提出神经符号纵深架构，阻断 AI-SOC 的日志投毒与间接提示注入

arXiv

2609.10707

发表

9月10日

层

应用层

场景

LLM 应用

测试

Gemma 3 (12B)

• 防御检测与过滤
• 攻击提示注入
• 组件护栏与评审
• +1+1

LongPIBench：面向长上下文提示注入的评测基准

提出 LongPIBench，评测长文档场景下的提示注入攻击与防御

arXiv

2608.28411

发表

8月28日

层

应用层

场景

LLM 应用

测试

Llama-3.1-8B-Instruct、Llama-3.2-3B-Instruct、Apertus-8B-Instruct 等 11 个

• 攻击提示注入

TrojanWorld：通过想象引导对世界模型智能体植入后门

提出 TrojanWorld，通过想象引导给世界模型智能体植入供应链后门

arXiv

2609.07051

发表

9月7日

层

训练与数据层

场景

具身与机器人

测试

TD-MPC2、DreamerV3、R2-Dreamer

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重

UBA-ORL：针对离线强化学习的遗忘激活后门攻击

提出 UBA-ORL，借助 BD 与 CM 样本让离线强化学习后门在轨迹删除后激活

arXiv

2609.22711

发表

9月19日

层

训练与数据层

场景

具身与机器人

测试

TD3+BC、BCQ、IQL

• 攻击投毒与后门
• 技术潜伏触发

SafeStage：按执行前中后三阶段评测视觉语言机器人操作安全

提出 SafeStage，分执行前中后评测视觉语言机器人操作安全

arXiv

2609.21223

发表

9月18日

层

应用层

场景

具身与机器人

测试

π0.5、GR00T N1.7、DreamZero 等 4 个

• 风险Agent 危险操作

DriveMCP：面向高级驾驶辅助系统的智能体 AI 框架

提出 DriveMCP 框架，将感知、交规检索与 RSS 仲裁接成可审计驾驶辅助

arXiv

2609.17247

发表

9月15日

层

应用层

场景

具身与机器人

测试

DriveLM

PentestChain：面向免费层 LLM 的成本感知 MCP 编排自动化渗透测试框架

提出成本感知的 MCP 编排框架，用确定性利用图与免费层模型做自动化渗透测试

arXiv

2609.18120

发表

9月16日

层

应用层

场景

LLM 应用

测试

qwen2.5:7b (Ollama, local)、OpenRouter (free-tier)、Cerebras (free-tier)

• 风险危险能力
• 组件MCP 与技能

Provenance-Aware Transformers：用来源感知架构分离可信边界以防御间接提示注入

提出 Provenance-Aware Transformers，隔离不可信来源防御间接提示注入

arXiv

2609.21088

发表

9月18日

层

应用层

场景

LLM 应用

测试

SmolLM2-360M-Instruct、LLaMA-3-8B-Instruct、Qwen2.5-7B-Instruct 等 4 个

• 防御指令与数据隔离
• 攻击提示注入
• +1+1

论文评估 System One 模型在 Agent 安全决策中的可靠性、校准与选择性自动化

评测 System One 模型对 Agent 安全输入的分类可靠性与校准

arXiv

2609.33401

发表

9月27日

层

提示层

场景

LLM 应用

测试

Jev 1.13、Decider, approximately 2B、Bespoke Nimble, approximately 9B 等 14 个

• 攻击提示注入
• 组件护栏与评审