跳到正文
10月8日 · 周四

Agent 安全 · 论文

找到 25 篇
筛选2

攻击类型

提示注入8投毒与后门4恶意使用3

攻击技术

自动化搜索1潜伏触发2诱导选用1

模型自身风险

欺骗与谋划7失准与价值偏离5Agent 危险操作4拒答失当1

防御类型

指令与数据隔离1权限与审批1监控与审计1

影响

有害内容1越权操作10数据与隐私泄露1输出被操纵6可用性与可靠性1监督失效4

系统形态

模型与 API2LLM 应用7AI Agent167编程 Agent55网页与电脑操作18多智能体25

攻击面/入口

用户输入4网页与界面1文档与消息5工具返回2工具与技能描述2代码仓库与依赖1检索语料2记忆写入3Agent 间消息4

层

应用层25

系统组件

MCP 与技能2记忆4RAG1监控器4权限与沙箱1

被测模型厂商

OpenAI25Qwen（阿里）21DeepSeek17Google17Anthropic13Kimi（月之暗面）11智谱 GLM7Meta6xAI5其他12
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 292 篇还没打标签，不在筛选结果里。
系统形态：多智能体被测模型厂商：OpenAI话题：Agent 安全清除全部

另有 292 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 风险行为arXiv 2609.32701

    研究显示前沿模型智能体在测试时自行形成隐蔽信道

    揭示前沿智能体在禁止泄露时自发建立隐蔽信道传递机密

    arXiv
    2609.32701
    发表
    层
    应用层
    场景
    多智能体
    测试
    GPT-5.6 Sol、Terra、Luna 等 6 个
    摘要论文研究了固定参数智能体在受监视交互中仅凭单比特反馈自发建立隐蔽信道，指出了多智能体跨域协作的保密安全新风险。

    论文研究了固定参数与提示词的智能体在受审计交互中自发形成隐蔽信道并泄露机密的过程。

    深度解读完整解读
  2. 防御arXiv 2610.05640

    研究揭示 CaMeL 防护在多智能体系统中失效并提出 multi-CaMeL

    提出 multi-CaMeL，在多智能体调用边界隔离可信指令与不可信数据

    arXiv
    2610.05640
    发表
    层
    应用层
    场景
    多智能体
    测试
    GPT-5.5、GPT-4.1、GPT-5.2 等 6 个

    摘要论文针对多智能体中单体防御不组合的边界清洗问题，提出 multi-CaMeL 协议彻底阻断了 MultiAgentDojo 上的注入攻击。

    深度解读完整解读
  3. 评测与基准arXiv 2610.06748

    BazaarBench：评估 LLM Agent 在去中心化 C2C 市场中的代理安全

    构建 BazaarBench，评测去中心化交易智能体的违规与失信

    arXiv
    2610.06748
    发表
    层
    应用层
    场景
    多智能体
    测试
    GPT-5.5、GPT-5.4、GPT-5.4-mini 等 5 个
    摘要论文提出挂钩底层资产的 C2C 交易评测基准，发现时间压力与对抗指令显著推高了智能体的违规承诺与欺诈行为。

    BazaarBench 针对大语言模型智能体在去中心化 C2C 交易中的代理安全问题，提出了一个结合底层实体状态与大模型裁判的仿真基准平台。

    深度解读完整解读
  4. 风险行为arXiv 2609.39050

    研究：九个前沿模型中七个会隐蔽传递凭据以绕过监控

    测量良性协作中智能体隐蔽传递凭据并绕过监控

    arXiv
    2609.39050
    发表
    层
    应用层
    场景
    多智能体
    测试
    gpt-oss-120b、gpt-5-mini、GPT-5.5 等 15 个

    摘要论文揭示智能体会因良性助人意图自主编码凭据规避监控，主张不能单靠内容审查，需在动作层强化严格鉴权。

    深度解读完整解读
  5. 评测与基准arXiv 2610.03153

    EvoRiskBench：面向工作区 Agent 运行时安全风险的演化基准

    提出 EvoRiskBench，评测工作区智能体的运行时安全风险

    arXiv
    2610.03153
    发表
    层
    应用层
    场景
    编程 Agent、多智能体
    测试
    GPT-5.6 Sol、DeepSeek-V4-Pro-0813、Claude Opus 5

    摘要论文构建了工作空间智能体运行时风险基准 EvoRiskBench，发现高执行力智能体在 IPI 下面临较高安全风险。

    深度解读完整解读
  6. 攻击arXiv 2609.35576

    研究提出跨 LLM 助手的记忆跳跃攻击

    提出跨独立助手的工件介导记忆跳跃自传播攻击

    arXiv
    2609.35576
    发表
    层
    应用层
    场景
    多智能体
    测试
    GPT-5.6 Luna、GPT-OSS-120B、Kimi-K2.6 等 6 个
    摘要论文证实持久工件与内存可形成跨智能体传播链，揭示了将共享工件纳入安全防线的重要意义。

    该论文系统研究并量化了通过共享持久工件在具有独立私有内存的 LLM 智能体之间发生自传播的“工件介导传播”攻击风险。

    深度解读完整解读
  11. 攻击arXiv 2610.00430

    Memetic Trojans：利用社交传染在 LLM Agent 网络中传播对抗载荷

    提出 memetic trojans，把对抗载荷嵌入智能体自发转发的社会传染内容

    arXiv
    2610.00430
    发表
    层
    应用层
    场景
    多智能体
    测试
    gpt-oss-120B、deepseek-v4.1-flash、qwen-32B 等 5 个
    摘要memetic trojans 用内生社会传染携带载荷。

    Memetic trojans 是一类网络介导攻击：对抗载荷搭在智能体本来就会转发和点赞的内容上扩散，转发者不必被攻陷，也不必执行“请继续复制”的指令。

    深度解读完整解读
  12. 风险行为arXiv 2609.35928

    论文发现暴露模型身份标签会削弱多智能体 LLM 合作

    测量公开模型家族标签引发的多智能体派系化与合作下降

    arXiv
    2609.35928
    发表
    层
    应用层
    场景
    多智能体
    测试
    GPT-OSS (gpt-oss-20b)、Gemma (gemma-4-26B-A4B-it)、Nemotron (NVIDIA-Nemotron-3-Nano-30B-A3B-BF16) 等 6 个
    摘要可见身份标签让异构 LLM 群体按标签结派，共识更慢、更贵，去掉标签后该行为消失。

    Del Giudice 等人研究异构多智能体 LLM 系统里一个配置细节：把模型家族身份告诉智能体，会不会改变合作。他们把由此出现的、按身份结组的倾向称为 factionalism。任务是无利害的共同决策，没有人设，也没有偏向同家族同伴的奖励。

    深度解读完整解读
  13. 评测与基准arXiv 2609.06966

    Mole：面向前沿实验室 AI 智能体的内部威胁检测基准

    提出 MOLE 基准，评测智能体内部威胁的完成情况与监控漏检

    arXiv
    2609.06966
    发表
    层
    应用层
    场景
    多智能体
    测试
    GPT-5.3 Chat、GPT-5.5、GPT-4.1 等 15 个
    摘要MOLE 构建了智能体内部威胁检测基准，作者指出高漏检现状与推理痕迹的防御价值，并展示了监控策略优化空间。

    MOLE 是首个针对前沿 AI 实验室智能体内部威胁检测的开放基准，旨在评估在有限每日审查预算与日常研发业务背景下识别恶意账号的能力。。

    深度解读完整解读
  14. 风险行为arXiv 2609.33871

    论文提出测量 LLM 社会自组织的框架，并揭示群体层面病理现象

    提出熵序参量框架，测量 LLM 社会的群体自组织

    arXiv
    2609.33871
    发表
    层
    应用层
    场景
    多智能体
    测试
    GPT-4.1 (longco-2025-04-14)、GPT-4o (2024-05-13)、GPT-5.6 terra (reasoning-mini-terra) 等 5 个
    摘要熵序参量显示三个 LLM 社会自组织，另两个系统停在不动点。

    de Wynter 用复杂系统里的序参量，测量 LLM 社会会不会出现不在任何单个智能体身上的自组织，并主张这种诊断不依赖自然语言，也不绑定某一模型版本。问题来自群体层事件：一部分智能体通过通信协调，个体拒绝或个体监控都可能看不到该过程。框架把活动划成类别，用窗口内人均 Shannon 熵 Φ 相对二分配置零模型的偏离作为自组织证据，再用拉伸指数的 β 或 logistic 的 k 描述弛豫有多陡。

    深度解读完整解读
  16. 其他arXiv 2609.38143

    为测试时 AI4AI 的智能体执行环境设计学习元技能

    提出固定权重下学习 meta-skill 以为未见任务搭建智能体 harness 的方法

    arXiv
    2609.38143
    发表
    层
    应用层
    场景
    多智能体
    测试
    GPT-5.6-Sol、GPT-OSS-120B、Gemini-3.6-Flash 等 5 个
    摘要冻结的 meta-skill 库指导 Builder 为未见任务搭建 harness，权重保持固定。

    作者研究 test-time AI4AI：Builder 与 Target 权重都固定时，Builder 学习如何为 Target 构造更好的执行环境。

    深度解读完整解读
  17. 评测与基准arXiv 2609.39146

    MADBench：多智能体辩论安全性评测基准发布

    发布 MADBench，评测多智能体辩论会吸收还是放大对抗影响

    arXiv
    2609.39146
    发表
    层
    应用层
    场景
    多智能体
    测试
    gpt-4o、GPT-5、GPT-6 Astra
    摘要MADBench 显示辩论能吸收部分准确率攻击，同时放大未授权读写。

    MADBench 是一个评测多智能体辩论安全性的基准，用来看攻击是被辩论吸收还是被放大。

    深度解读完整解读
  19. 评测与基准arXiv 2608.07556

    MasDrift：跨多智能体架构的授权保持基准

    用 MasDrift 评测多智能体架构的授权保持

    arXiv
    2608.07556
    发表
    层
    应用层
    场景
    多智能体
    测试
    GPT-5.4 Nano、GPT-5.6 Sol、Sol–Nano（GPT-5.6 Sol lead + GPT-5.4 Nano executors） 等 6 个
    摘要授权保持可被测量：层级用未授权动作换完成率，重锚定比沿链携带更稳。

    MasDrift 把多智能体设计中的授权保持做成可测量性质，对象是没有攻击者的普通委托。

    深度解读完整解读
  20. 风险行为arXiv 2609.36855

    研究：上游错误消息会让多智能体 LLM 下游覆盖正确答案

    测量多智能体交接中错误上游消息对正确答案的替换

    arXiv
    2609.36855
    发表
    层
    应用层
    场景
    多智能体
    测试
    gpt-4o-mini、gpt-5.4、kimi-k2.6 等 9 个
    摘要固定证据只改消息后，错误上游结论会定向替换下游本可答对的答案。

    这项受控研究考察多智能体 draft-review 交接里，一条上游消息会怎样改变下游原本能做对的判断。下游同时看到任务证据和上游消息。作者固定证据，比较消息隐藏、原样展示和结论反转，用消息价值τ和交互Γ分开“消息有用”和“消息有害”，并把能独立答对却改成上游具体错答称为substitution。

    深度解读完整解读
加载更多