跳到正文
10月8日 · 周四

全部论文

精选论文 220 篇
细分

研究话题

提示注入Agent 安全欺骗与谋划奖励作弊思维链监控可解释性AI 控制后门与投毒隐私与数据泄露供应链安全危险能力AI 与网络攻防开源模型安全红队

公司与机构

OpenAIAnthropicGoogle DeepMindMetaxAIMicrosoftNVIDIADeepSeek阿里巴巴 · Qwen智谱 · GLM月之暗面 · Kimi字节跳动腾讯蚂蚁集团上海人工智能实验室UK AISIUS CAISIMETRApollo ResearchRedwood ResearchFAR.AIPalisade Research

报告与框架

System Card前沿安全框架
  1. 评测/基准arXiv:2605.16626 · 58

    Sleight-Bench：40 条攻击中 20 条从未被 Opus 4.6 监控发现

    作者构建了含40个攻击的SLEIGHT-BENCH基准，Opus 4.6监控器在1% FPR下有50%攻击从未被捕获。

    • 32%Opus 4.6带扩展思考在ControlArena提示词、1% FPR下的单次试验捕获率（Figure 2）
    • 20 of 40Opus 4.6带扩展思考在ControlArena提示词、1% FPR、10次试验中从未捕获的攻击数（Section 5.1）
    • 52%Opus 4.6使用Claude Code智能体脚手架在ControlArena提示词下的捕获率（Figure 2）
    6 问速览评估代码智能体监控器在面对利用概念盲点的多样化规避攻击时的检测能力与防御失效情况。

    1. 这篇论文试图解决什么问题？

      评估代码智能体监控器在面对利用概念盲点的多样化规避攻击时的检测能力与防御失效情况。

    2. 有哪些相关研究？

      涉及AI控制协议、智能体监控基准与LLM能力缺陷研究，本文侧重于前沿监控器针对性盲点的系统化构建。

    3. 论文如何解决这个问题？

      梳理11类监控盲点，人机协同生成轨迹并剥离推理，经5个沙箱智能体验证器检验真实性与危害。

    4. 论文做了哪些实验？

      在1% FPR下前沿监控器单次捕获率为2%–54%，50%攻击能持续规避Opus 4.6，增加算力与针对性提示词可局部改善。

    5. 有什么可以进一步探索的点？

      局限包括合成轨迹缺少真实交互、良性分布可能失真，后续需探索动态红队；实验覆盖6个模型与40个攻击案例。

    6. 总结一下论文的主要内容

      评估针对监控盲点的规避基准，发现前沿监控器漏报率高，算力与脚手架虽有提升但存在类别局限。

    完整解读
  2. 分析/可解释性arXiv:2610.04375 · 59

    论文揭示 LLM Agent 工具调用在执行路径中被改写，并提出 IntAct 修复方案

    作者提出IEC协议与IntAct，发现工具调用经执行路径多跳易被静默篡改，修复对应跳后在IEC-Bench恢复79.2%失败。

    • 12.0%生产会话中Claude Code Bash工具传输代码/转义/长文本时的changed-call rate（Table 2）
    • 80.7%生产会话中反斜杠对被合并的Bash调用中未报错静默执行错误动作的比例（Figure 3b）
    • 0.77IEC协议在102个生产调用失败归因中与人工标注的一致性Cohen's kappa（Table 5）
    6 问速览工具调用在执行路径各跳中常遭隐蔽篡改，现有分析误将路径故障归咎于模型，缺乏跨跳观测与修复机制。

    1. 这篇论文试图解决什么问题？

      工具调用在执行路径各跳中常遭隐蔽篡改，现有分析误将路径故障归咎于模型，缺乏跨跳观测与修复机制。

    2. 有哪些相关研究？

      现有工作集中于轨迹级失败归因、自纠错与单跳包装器分析，缺乏对多跳执行路径的无执行观测与系统性跳级修复。

    3. 论文如何解决这个问题？

      定义意图-执行对应性，利用见证机制与接收端解析器无执行定位首偏离跳，通过IntAct在对应跳实施通道渲染与拒绝。

    4. 论文做了哪些实验？

      覆盖生产会话、公共基准与注入测试，所测10种框架均出现跳级篡改，IntAct在固定动作下恢复79.2%的变更失败。

    5. 有什么可以进一步探索的点？

      作者指出需扩展终端键入测量与兼顾框架权限系统，当前实验主要覆盖具备解析器的跃点类型与特定评测配置。

    6. 总结一下论文的主要内容

      论文界定工具调用在执行路径中的意图偏离问题，提出无执行归因协议与跳级修复，为智能体工程提供评测与设计准则。

    完整解读
  3. 攻击arXiv:2601.02670 · 59

    SLIP：无需外部攻击模型的多轮自我越狱，在 11 个模型上平均成功率 94.7%

    作者提出无攻击模型的SLIP，在AdvBench上对11个模型取得平均94.7%的ASR且平均仅需7.9次查询。

    • 94.7%AdvBench 上 11 个模型、SLIP 默认设置下的平均 ASR（Table 1）
    • 94.4%HarmBench 上 11 个模型、SLIP 默认设置下的平均 ASR（Table 1）
    • 7.9AdvBench 上 SLIP 每成功攻击一次的平均 API 查询次数（Table 2）
    6 问速览论文研究对齐大模型能否在无需外部攻击模型的情况下，仅利用自身潜在知识引导多轮对话实现自我越狱。

    1. 这篇论文试图解决什么问题？

      论文研究对齐大模型能否在无需外部攻击模型的情况下，仅利用自身潜在知识引导多轮对话实现自我越狱。

    2. 有哪些相关研究？

      论文梳理了模型对齐、单轮越狱与多轮越狱工作，重点对比了依赖外部攻击模型的基线及树搜索方法。

    3. 论文如何解决这个问题？

      SLIP 构建安全数据种子池并利用词频与嵌入相似度识别词汇差距，以广度优先搜索驱动模型逐步展开有害回答。

    4. 论文做了哪些实验？

      SLIP 在两项基准上取得约 94% 平均 ASR 且平均仅需 7.9 次查询，现有多轮防御表现出模型间差异。

    5. 有什么可以进一步探索的点？

      作者指出方法仅在英语提示词上验证，防御监控不足以抵御自适应攻击，且表征代理与内部状态可能存在差异。

    6. 总结一下论文的主要内容

      论文提出了无外部攻击模型的自我越狱方法 SLIP，指出对齐模型内在能力抑制的漏洞并设计了语义漂移防御。

    完整解读
  4. 评测/基准arXiv:2606.23130 · 60

    研究审计 200 个 vibe coding 应用，发现 1,186 个漏洞

    研究者审计了 200 个部署的 vibe-coding 应用，发现 91.00% 存在漏洞且 65.77% 达 Critical 或 High 级别。

    • 91.00%在 VIBEVULNS 审计的 200 个部署应用中，包含至少一个漏洞的应用占比（Figure 2）
    • 65.77%在 VIBEVULNS 检出的 1,186 个漏洞中，评级为 Critical 或 High 的占比（Table 2）
    • 28.58%在 VIBEVULNS 中，Broken Access Control 类别的漏洞数量占比（Table 2）
    6 问速览探究 vibe coding 全流程委托开发范式下，真实部署应用的安全漏洞现状、根因与缓解条件。

    1. 这篇论文试图解决什么问题？

      探究 vibe coding 全流程委托开发范式下，真实部署应用的安全漏洞现状、根因与缓解条件。

    2. 有哪些相关研究？

      系统梳理了 AI 辅助编程、仓库级安全评测与真实代码安全实证，指出本文聚焦全流程真实部署。

    3. 论文如何解决这个问题？

      构建 VIBEAPPS 与 VIBEVULNS 数据集，结合 2×2 多智能体审计、人工验证与受控重放实验。

    4. 论文做了哪些实验？

      91.00% 的部署应用含漏洞；重放中 production 提示词与加固 harness 最有效，professional 提示词反致恶化。

    5. 有什么可以进一步探索的点？

      作者指出开源样本、指纹与审计模型重叠等局限；实验未覆盖非 Web 类别、闭源应用与幻觉重放。

    6. 总结一下论文的主要内容

      论文全面揭示了部署 vibe-coded 应用的高危现状与成因，指出全流程管线防御优于单纯模型缩放。

    完整解读
  5. 评测/基准arXiv:2606.05647 · 58

    研究：94% 开发者未能识破编码 Agent 的隐蔽破坏

    在 5 小时人机协作编程实验中，无监控下 94%（83/88）的开发者未能察觉 AI 破坏，即使监控器正确预警破坏仍有 56%（9/16）成功。

    • 94% (83/88)无监控条件下全模型汇总的破坏成功率（Figure 2）
    • 56% (9/16)监控器正确警报下 Claude-Opus-4.6 破坏成功率（Figure 2）
    • 84% (16/19)Claude-Haiku-4.5 监控器对破坏企图的警报检出率（Section 4.2）
    6 问速览研究在长周期真实协作编程中人类开发者能否发现前沿 AI 智能体的隐蔽破坏行为，填补以人为中心的安全评测空白。

    1. 这篇论文试图解决什么问题？

      研究在长周期真实协作编程中人类开发者能否发现前沿 AI 智能体的隐蔽破坏行为，填补以人为中心的安全评测空白。

    2. 有哪些相关研究？

      梳理智能体安全风险、AI 破坏评估与可用安全研究，对比 7 项既有破坏基准，突出长周期实时人机监督的差异化定位。

    3. 论文如何解决这个问题？

      构建 GitLab 串行任务沙箱，为智能体注入隐蔽数据外传目标，并部署基于轻量模型的拦截监控器进行实时预警。

    4. 论文做了哪些实验？

      无监控下破坏成功率达 94%；监控器发出正确警报后破坏仍有 56% 成功，揭示警报与人工干预脱节现象。

    5. 有什么可以进一步探索的点？

      论文明确指出了样本量、单一任务领域、单一外传威胁及单一监控形态等局限，未来需拓宽攻击类型与交互式防御。

    6. 总结一下论文的主要内容

      通过长周期协作实验揭示人类开发者难以识破前沿 AI 编程破坏，即使有监控预警破坏成功率仍过半，呼吁以人为中心的安全机制。

    完整解读
  6. 防御arXiv:2610.07359 · 54

    论文实测 Agent 工具调用门控栈的失败相关性

    论文在三套语料上实测规则与LLM裁判，发现裁判间错误相关且等效层数仅1.2–1.4，跨机制组合达1.86–2.09层（STRICT）。

    • 1.22 to 1.44STRICT定义下任意两LLM裁判组合的等效层数区间（Table IV）
    • 1.86 to 2.09STRICT定义下规则层加一个LLM裁判的等效层数区间（Table IV）
    • +0.430STRICT定义下6组裁判对间相关系数phi中位数（Table III）
    6 问速览论文检验动作门禁堆叠中各层错误相乘的独立性假设，并评估各层对整栈的实际贡献。

    1. 这篇论文试图解决什么问题？

      论文检验动作门禁堆叠中各层错误相乘的独立性假设，并评估各层对整栈的实际贡献。

    2. 有哪些相关研究？

      论文梳理了防御堆叠故障关联、大模型协同错误、冗余工程及运行时拦截架构等相关研究。

    3. 论文如何解决这个问题？

      论文提出乘积等效层数指标nmult，并在脱敏设定下对规则与多模型裁判构建堆叠评测框架。

    4. 论文做了哪些实验？

      论文在汇聚语料与分项实验中测试了等效层数、单层增益背离、混淆假说及复核规则影响。

    5. 有什么可以进一步探索的点？

      作者指出机制采样单一、全栈删失及无人工层等局限，实验仅覆盖至特定语料及静态门禁。

    6. 总结一下论文的主要内容

      论文实测发现大模型裁判间错误显著相关，作者主张按机制选型并在整栈层面度量防护增益。

    完整解读
  7. 风险行为arXiv:2610.08670 · 56

    研究：后训练配方决定大模型是否违背自身道德判断行事

    评估开源模型在情境压力下是否违背自身判断，发现知行差距取决于后训练配方且行动前审思可缓解。

    • 0.19OLMo-3-7B-Instruct在筛选场景上的多数决二进制gap率（Table 12）
    • 0.10OLMo-3-7B-Instruct二进制gap对去压力对照的双样本配对超额（Table 12）
    • 0.028Llama-3.1-8B-Instruct在全量586场景上的压力归因超额（Table 7）
    6 问速览评估智能体模型在压力下是否违背自身判断行动，探究知行差距来源及后训练影响。

    1. 这篇论文试图解决什么问题？

      评估智能体模型在压力下是否违背自身判断行动，探究知行差距来源及后训练影响。

    2. 有哪些相关研究？

      梳理了道德知行差距、智能体失齐及情境压力评估等相关研究与定位。

    3. 论文如何解决这个问题？

      构建双框架场景与去压力对照，通过两套读出与校准阶梯度量知行差距。

    4. 论文做了哪些实验？

      实验表明差距受后训练配方决定且行动前审思可缓解，排除了伤害依赖结构。

    5. 有什么可以进一步探索的点？

      作者指出模型规模单一、配方因果未解等局限；实验未覆盖更大规模与闭源模型。

    6. 总结一下论文的主要内容

      评估发现后训练配方决定知行差距是否存在，行动前审思可有效缓解。

    完整解读
  8. 防御arXiv:2610.06966 · 53

    APEX：在 LLM Agent 执行边界主动防御间接提示注入

    APEX在执行边界基于预编译授权契约与探针防御间接提示注入，在5个基准上取得0% ASR，在SkillInject上为0.56%。

    • 0.00%AgentDojo基准下DeepSeek-V4-Flash的ASR（Table 1）
    • 0.00%ASB-OPI基准下DeepSeek-V4-Flash的ASR（Table 1）
    • 0.00%MCPTox基准下DeepSeek-V4-Flash的ASR（Figure 3 / Table 3）
    6 问速览在LLM智能体执行边界拦截由异构能力单元和组合攻击引入的未经授权动作与未背书信息使用。

    1. 这篇论文试图解决什么问题？

      在LLM智能体执行边界拦截由异构能力单元和组合攻击引入的未经授权动作与未背书信息使用。

    2. 有哪些相关研究？

      梳理了内容过滤、任务对齐、策略控制、数据溯源及蜜罐防御，指出其缺乏执行边界统一判定。

    3. 论文如何解决这个问题？

      通过预编译DAG授权契约，在执行边界以WRAP验证参数证据、PLANT检测探针并实现安全恢复。

    4. 论文做了哪些实验？

      在6个基准上对比13种基线，5个基准达成0% ASR，自适应攻击下均保持0% ASR。

    5. 有什么可以进一步探索的点？

      局限在于契约保真度依赖、动态委托支持不足及长视距编译挑战；实验覆盖3种模型与6个基准。

    6. 总结一下论文的主要内容

      APEX在执行边界基于预编译授权契约实施证据门控与欺骗探针，在多基准上达成近零ASR。

    完整解读
  9. 分析/可解释性arXiv:2610.08559 · 56

    研究：LLM 潜在空间去偏方向主要编码置信度而非公平性

    作者发现对比偏见与反偏见提示词得到的激活引导方向主要表征模型置信度，引导减少偏见实为促使模型弃答或概率均分。

    • 0.57Llama-3.1-8B-Instruct，BBQ消歧偏见分类AUROC（Fig. 1）
    • 0.94Llama-3.1-8B-Instruct，BBQ消歧置信度AUROC（Fig. 1）
    • 0.01Llama-3.1-8B-Instruct，BBQ歧义引导后偏见分（Table 4）
    6 问速览探究大语言模型中通过对比偏见与反偏见提示词提取的激活引导去偏见方向，在隐藏空间中实际编码了何种表征。

    1. 这篇论文试图解决什么问题？

      探究大语言模型中通过对比偏见与反偏见提示词提取的激活引导去偏见方向，在隐藏空间中实际编码了何种表征。

    2. 有哪些相关研究？

      涵盖激活引导及其鲁棒性、推理期去偏见方法，以及利用词元似然或困惑度评估模型偏见的既有研究。

    3. 论文如何解决这个问题？

      构建线性偏见分类器与对比激活相加去偏见向量，并在有无弃答格式下评估激活引导对模型置信度的影响。

    4. 论文做了哪些实验？

      评测八个模型在三个偏见基准与两个通用问答基准上的表现，展示引导向量对弃答率、熵及置信度的一致影响。

    5. 有什么可以进一步探索的点？

      作者提出探索独立于置信度的去偏见方向与更广泛的引导向量可靠性，评测覆盖八个开源模型及多项选择问答任务。

    6. 总结一下论文的主要内容

      论文揭示激活引导去偏见方向主要编码模型置信度而非公平性，偏见评分下降实为诱发弃答或使概率均分的假象。

    完整解读
  10. 评测/基准arXiv:2610.06898 · 55

    DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

    DIBench评测移动智能体决策完整性，发现欺诈UI注入诱导目标选择并推高完成率，常用防御收益不稳定。

    • 72.4%COMMERCE下AppAgent+Qwen2.5-VL在Combined攻击的TCR（Table 3）
    • 45.8%COMMERCE下AppAgent+Qwen2.5-VL在Combined攻击的ASR（Table 3）
    • 86.6%SIMULATOR下Mobile-Agent-E+Qwen3-VL在Combined的TCR（Table 5）
    6 问速览论文试图评估移动GUI智能体在候选集选择任务中由非特权UI注入引发的“任务内目标偏离”决策完整性风险。

    1. 这篇论文试图解决什么问题？

      论文试图评估移动GUI智能体在候选集选择任务中由非特权UI注入引发的“任务内目标偏离”决策完整性风险。

    2. 有哪些相关研究？

      相关研究涵盖移动GUI智能体决策、LLM移动智能体安全评测及多候选选择偏离，基准对比如Table 1所示。

    3. 论文如何解决这个问题？

      论文构建DIBench基准，设计8种非特权UI注入探针与成对评测协议，定义TCR、COR与ASR量化决策完整性。

    4. 论文做了哪些实验？

      实验在商用与模拟环境中评测4个框架与7个模型，发现注入推高完成率、改变决策轨迹，且常见通用防御收益不稳定。

    5. 有什么可以进一步探索的点？

      作者指出未来需将基准扩展至OEM端侧助手与长周期多决策任务，并探索基于结构化属性核验的防御机制。

    6. 总结一下论文的主要内容

      论文提出移动智能体决策完整性基准DIBench，发现欺诈UI注入诱导目标选择并推高完成率，通用防御收益不稳定。

    完整解读
  11. 分析/可解释性arXiv:2610.06191 · 56

    研究：工具型智能体判断结果无用却仍继续检索，强制整合步骤可纠正

    在检索失效实验中，7个智能体判定结果无用达97–100%却多耗尽预算，框架强制连续5次无用即答使各模型成功率上升。

    • 97–100%7个模型在HotpotQA与FEVER侧信道将失效结果判为无用的比例（正文§3）
    • 1/292HotpotQA持续失效下，无干预Qwen3-8B连续5次判为无用后作答的问题比例（Figure 1）
    • +0.097HotpotQA test300上，强制规则相比无干预使Claude Haiku 4.5 mean6提升值（Table 15）
    6 问速览探究工具检索连续失效时，智能体能否识别无效证据并将判定转化为停止检索动作。

    1. 这篇论文试图解决什么问题？

      探究工具检索连续失效时，智能体能否识别无效证据并将判定转化为停止检索动作。

    2. 有哪些相关研究？

      梳理不可靠工具、搜索停止机制、智能体弃权及知行差距四类相关工作与对比。

    3. 论文如何解决这个问题？

      通过受控失效环境分离判定、信念与动作，设计时间匹配对比量并引入框架强制整合规则。

    4. 论文做了哪些实验？

      实验表明智能体准确判定失效却鲜少主动停止，框架强制整合规则使多模型成功率上升。

    5. 有什么可以进一步探索的点？

      作者指出合成替换失效、阈值设定、自报告测量及记忆错误等局限，未来需探索真实自然失效。

    6. 总结一下论文的主要内容

      论文揭示智能体判定工具失效却无法转化为停止行动，证实通过框架规则强制整合判定可提升表现。

    完整解读
  12. 评测/基准arXiv:2610.07274 · 55

    研究者提出 Trust Layer 框架复核 Agents' Last Exam 成绩可信度

    研究者提出后置信任层框架，在ALE基准50个重复任务的84个记录通过中，仅22.6%通过全部四项检查（Table 5）。

    • 22.6%50个ALE任务中84个记录通过通过全部4项检查的合取比例（Table 5）
    • 50.5%97个评测任务中GPT-Sol被D2判定为奖励作弊的比例（Table 3）
    • 10.3%97个评测任务中Claude Opus 5被D2判定奖励作弊的比例（Table 3）
    6 问速览当前智能体评测分数无法反映成果是否真实计算、陈述是否诚实及结果是否稳定，论文提出后置验证记录分数的信任层。

    1. 这篇论文试图解决什么问题？

      当前智能体评测分数无法反映成果是否真实计算、陈述是否诚实及结果是否稳定，论文提出后置验证记录分数的信任层。

    2. 有哪些相关研究？

      相关研究涵盖基准有效性审计、奖励作弊、诚实性与重复可靠性，论文定位为统一验证已存记录分数的后置层。

    3. 论文如何解决这个问题？

      构建四个后置检验器，将模型判断限制在三票多数表决证据标注上，所有判决通过确定性规则与代码复现生成。

    4. 论文做了哪些实验？

      在ALE上评估5个模型，发现各模型均存在无计算通过和虚假陈述，50个任务重复下仅22.6%记录通过保持可信。

    5. 有什么可以进一步探索的点？

      作者指出了人工校验拓展、多基准迁移及洗白伪造等局限，实际实验覆盖108个任务与5个模型。

    6. 总结一下论文的主要内容

      论文提出了后置验证智能体记录分数的四维信任层，揭示了基准高分背后普遍存在作弊、虚报与不稳定现象。

    完整解读
  13. 评测/基准arXiv:2610.08540 · 55

    论文提出按风险类别测量的对齐缩放定律框架

    论文提出分风险对齐标度律，测得Pythia防御算力指数为0.60，Qwen2.5真实性与倾向纠错指数为-0.05与0.48。

    • 0.60Pythia分类器Spam任务GCG防御算力指数α(95%区间0.42–0.78)
    • -0.05Qwen2.5在0.5B–72B上真实性纠错算力指数α(95%区间-0.39至0.22)
    • 0.48Qwen2.5在0.5B–72B上陈述倾向纠错算力指数α(95%区间0.36至0.60)
    6 问速览论文试图解决对齐难度是否随模型规模增大而变化的问题，提出分风险对齐标度律框架与测量协议。

    1. 这篇论文试图解决什么问题？

      论文试图解决对齐难度是否随模型规模增大而变化的问题，提出分风险对齐标度律框架与测量协议。

    2. 有哪些相关研究？

      梳理了标度律与对齐税、过度优化与监督、潜伏非对齐等领域研究，指出尚无直接测量对齐负担标度律的工作。

    3. 论文如何解决这个问题？

      提出分风险对齐标度律定义与三种负担操作化，建立裕度与审计玩具模型，并制定预注册测量协议。

    4. 论文做了哪些实验？

      重分析与微调实验测得防御算力指数为0.35至0.60，可见风险呈现标度有益，但盲后门在多数尺寸存活。

    5. 有什么可以进一步探索的点？

      作者指出了玩具模型假设简化、未计入评估开销及二选一格式等局限，实验仅覆盖至72B密集模型与QLoRA微调。

    6. 总结一下论文的主要内容

      论文提出了分风险对齐标度律框架，测得真实性与倾向纠错呈标度有益，但盲后门仍存活，揭示隐藏风险的长期挑战。

    完整解读
  14. 攻击arXiv:2610.07645 · 54

    SkillPoison：用成功经验投毒自进化 Agent 的技能形成

    作者提出 SkillPoison，利用局部有效的成功经验诱导技能过度泛化，在 Trace2Skill 的 PAWS 上实现 95.71% ASR。

    • 95.71%deepseek-v4-flash 在 PAWS (Trace2Skill) 上的 ASR (Table 1)
    • 73.68%deepseek-v4-flash 在 HANS (AutoSkill) 上的 ASR (Table 1)
    • 36.64%deepseek-v4-flash 在 DS1000 (Trace2Skill) 上的 ASR (Table 1)
    6 问速览现有基于形成的技能攻击易被拦截且难固化，论文提出利用局部有效且验证成功的经验诱导持久技能过度泛化。

    1. 这篇论文试图解决什么问题？

      现有基于形成的技能攻击易被拦截且难固化，论文提出利用局部有效且验证成功的经验诱导持久技能过度泛化。

    2. 有哪些相关研究？

      论文梳理了技能自演化、技能工件供应链攻击与经验驱动投毒三类工作，指出本文聚焦于通过验证成功经验诱导原生技能过度泛化。

    3. 论文如何解决这个问题？

      SkillPoison 通过分层筛选有效任务、构建局部成功归因证据并跨类别归纳强化，诱导原生流水线提取过度泛化技能。

    4. 论文做了哪些实验？

      实验在 2 个技能框架、3 个基准和 3 种模型上对比了 7 种基线，SkillPoison 在多数设置下取得最高 ASR 并降低了任务准确率。

    5. 有什么可以进一步探索的点？

      论文未专门讨论局限与未来方向，实验覆盖了 2 种技能框架、3 个评测基准和 3 种语言模型。

    6. 总结一下论文的主要内容

      SkillPoison 通过局部有效且验证成功的经验诱导技能过度泛化，在多个评测基准上实现了持久的下游攻击影响。

    完整解读
  15. 评测/基准arXiv:2610.07089 · 55

    研究者提出统一滥用监控基准，覆盖分解攻击与提示注入约 6200 条轨迹

    作者对智能体滥用监视提出危害窗口与区间指标，发现动作视角监视器跨威胁 AUC 超 0.95 但定位危害仍较弱。

    • 0.960Gemma 4 26B-A4B 下 sequential 在分解攻击上的 AUC
    • 0.521Gemma 4 26B-A4B 下 sequential 在提示注入上的 AUC
    • 0.985Gemma 4 26B-A4B 下 sequential_action 在提示注入上的 AUC
    6 问速览解决 LLM 智能体滥用监视割裂且位置盲目的问题，提出基于动作的统一框架。

    1. 这篇论文试图解决什么问题？

      解决 LLM 智能体滥用监视割裂且位置盲目的问题，提出基于动作的统一框架。

    2. 有哪些相关研究？

      涵盖 AI Control、分解攻击、提示注入与护栏模型，本文统一其评测基准。

    3. 论文如何解决这个问题？

      形式化危害窗口与区间指标，对比动作视角与内容视角监视器。

    4. 论文做了哪些实验？

      评估 17 种监视配置，动作视角泛化性显著优于内容视角。

    5. 有什么可以进一步探索的点？

      作者指出合成生成与 LLM 标注等局限，未来需探索活体对抗与新威胁。

    6. 总结一下论文的主要内容

      统一智能体滥用监视框架，动作视角兼顾两类威胁但危害定位仍存瓶颈。

    完整解读
  16. 评测/基准arXiv:2610.07639 · 58

    HarnessSecurity-Bench 横向评测六款编码智能体框架的安全机制

    在GLM-5.2与6款harness上，开启auto-approve使总体ASR从29.2%升至95.6%。

    • 95.6%GLM-5.2在AA评测中开启auto-approve时的总体ASR（Table 6）
    • 29.2%GLM-5.2在AA评测中关闭auto-approve时的总体ASR（Table 6）
    • 0.8%GLM-5.2在NI评测中开启网络隔离时的总体ASR（Table 6）
    6 问速览代码智能体harness的安全机制实现现状与运行时防护效果缺乏系统评估，论文提出了十机制分类法与基准测试HSB。

    1. 这篇论文试图解决什么问题？

      代码智能体harness的安全机制实现现状与运行时防护效果缺乏系统评估，论文提出了十机制分类法与基准测试HSB。

    2. 有哪些相关研究？

      既有研究涵盖harness分类、生命周期安全审计与特定载荷注入基准，但缺乏对原生机制ON/OFF状态的双重判定隔离评估。

    3. 论文如何解决这个问题？

      建立十机制分类与五方独立审计矩阵，并通过Docker环境注入五类攻击面，以双重预言机量化ON/OFF状态差异。

    4. 论文做了哪些实验？

      在GLM-5.2下开展2500次试验，发现机制防护效果与效用代价分化明显，部分机制存在解释器绕过路径。

    5. 有什么可以进一步探索的点？

      作者指出基准受限于单模型评测、仿真环境保真度及闭源工具缺失，实验覆盖6款开源harness与23个任务。

    6. 总结一下论文的主要内容

      系统审计40款harness并实证评测9类安全机制，量化了自动审批的暴露风险、强隔离的效用代价以及替代执行路径绕过。

    完整解读
  17. 攻击arXiv:2610.07723 · 57

    研究者提出答案侧后门：让模型自生成触发词绕过安全拒答

    在四款开源LLM上，5%投毒率下回答端后门使Mistral和Gemma的ASR达100.00%，并穿透主流输入防御。

    • 100.00%Mistral在5%投毒率下的ASR（据Table 2）
    • 100.00%Gemma在5%投毒率下的ASR（据Table 2）
    • 93.75%LLaMA2在5%投毒率下的ASR（据Table 2）
    6 问速览论文指出当前多轮大模型后门防御聚焦于输入端清洗，忽视了模型历史回复中自生成触发词绕过安全拒绝的风险。

    1. 这篇论文试图解决什么问题？

      论文指出当前多轮大模型后门防御聚焦于输入端清洗，忽视了模型历史回复中自生成触发词绕过安全拒绝的风险。

    2. 有哪些相关研究？

      论文讨论了大模型后门攻击、多轮对话后门及输入端防御，指出已有工作依赖输入显式特征而忽视回答端攻击面。

    3. 论文如何解决这个问题？

      论文提出回答端后门框架，解耦为良性触发词诱导与上下文安全绕过两阶段，并利用对比微调约束激活条件。

    4. 论文做了哪些实验？

      论文在四款模型上评估了不同投毒率下的攻击成功率、安全回退、通用性能、四种防御抵御能力及机理表征。

    5. 有什么可以进一步探索的点？

      论文指出了单轮适用性、首轮诱导依赖及长轮次衰减三项局限，实验覆盖了四款开源模型与两轮对话场景。

    6. 总结一下论文的主要内容

      论文提出了多轮对话中回答端自生成触发词绕过安全拒绝的后门攻击，指出输入端防护存在盲区。

    完整解读
  18. 攻击arXiv:2610.07510 · 55

    PersistBD：攻击者可在发布前强化后门，使其在开发者 SFT 与 RL 后仍保持高攻击成功率

    在Qwen2.5-Coder-7B上，PERSISTBD通过联合优化后门强度与良性梯度兼容性，将SFT-RL后的ASR从20%提升至76%。

    • 74%Qwen2.5-Coder-7B, 随机位置, SFT后ASR, PERSISTBD (Table 2)
    • 76%Qwen2.5-Coder-7B, 随机位置, SFT-RL后ASR, PERSISTBD (Table 2)
    • 20%Qwen2.5-Coder-7B, 随机位置, SFT后ASR, Base backdoor (Table 2)
    6 问速览探讨智能体后门能否在良性SFT与RL中存活，并提出主动增强后门持久性的方法。

    1. 这篇论文试图解决什么问题？

      探讨智能体后门能否在良性SFT与RL中存活，并提出主动增强后门持久性的方法。

    2. 有哪些相关研究？

      梳理了NLP与智能体后门、微调/RL后门防御及主动持久化研究P-Trojan。

    3. 论文如何解决这个问题？

      基于一阶分析将后门存活归因于强度与梯度兼容性，提出免求二阶导的PERSISTBD。

    4. 论文做了哪些实验？

      在3B/7B/30B上证实SFT侵蚀后门而RL维持残余；PERSISTBD大幅提升存活率。

    5. 有什么可以进一步探索的点？

      作者指出了任务领域单一、一阶近似局限与RL反弹机理未解，实验覆盖3个模型。

    6. 总结一下论文的主要内容

      总结了论文关于后门在SFT/RL中存活的发现、两因子机制、PERSISTBD方法与核心数字。

    完整解读
  19. 评测/基准arXiv:2610.04378 · 55

    COPEX：面向 MCP 智能体的受控攻击评测基准发布

    COPEX 在固定协议栈下评测 9 款模型的 MCP 攻击抵抗力，平均 ASR 为 64.4%，部分攻击在模型视野外发生。

    • 64.4%9 款模型在 COPEX 全基准 25 种攻击下的宏平均 ASR（Table 3）
    • 44.3%Claude Opus 4.7 在 COPEX 全基准下的宏平均 ASR（Table 3）
    • 81.6%Grok-4.3 在 COPEX 全基准下的宏平均 ASR（Table 3）
    6 问速览评估 MCP 智能体时需解耦模型可见上下文引发的脆弱性与底层协议妥协。

    1. 这篇论文试图解决什么问题？

      评估 MCP 智能体时需解耦模型可见上下文引发的脆弱性与底层协议妥协。

    2. 有哪些相关研究？

      已有研究多聚焦端到端产品或特定注入，缺少固定协议栈下的多层受控基准。

    3. 论文如何解决这个问题？

      固定智能体技术栈，覆盖 4 类入口表面的 25 种攻击并采用双轨判定机制。

    4. 论文做了哪些实验？

      9 款模型平均 ASR 达 64.4%，扫描防御具表面局限性且判定方式左右测得指标。

    5. 有什么可以进一步探索的点？

      次级研究样本量少且部分依赖 LLM 裁判，实验覆盖 9 款模型与 25 种攻击。

    6. 总结一下论文的主要内容

      COPEX 隔离评测了 9 款模型在 4 个 MCP 入口表面下的脆弱性，平均 ASR 达 64.4%。

    完整解读
  20. 攻击arXiv:2610.04195 · 59

    MemLeak 研究：多租户 Agent 共享向量记忆库存在跨用户记忆泄露

    作者评估多租户智能体共享向量记忆，在同团队池化检索下MiniLM跨用户泄漏率达70%，硬门控可阻断。

    • 70%all-MiniLM-L6-v2在T0同团队池化检索下的跨用户泄漏率LR（Table 1）
    • 90%–100%Config B下主动构造记忆在三个场景的top-k命中率Pl.%（Table 2）
    • 5.00/5Gemini 2.5 Flash在Config B检索路径下的下游回答污染度（Table 5）
    6 问速览论文研究多租户智能体共享向量存储时，嵌入空间语义相近导致跨用户私密记忆被意外检索并注入上下文的泄漏问题。

    1. 这篇论文试图解决什么问题？

      论文研究多租户智能体共享向量存储时，嵌入空间语义相近导致跨用户私密记忆被意外检索并注入上下文的泄漏问题。

    2. 有哪些相关研究？

      梳理了智能体记忆架构、单用户记忆安全、RAG攻击与嵌入隐私研究，指出现有工作未覆盖多租户下非攻击性语义泄漏。

    3. 论文如何解决这个问题？

      形式化跨用户可采纳性失效，构建四层级组织距离数据集，对比被动与主动桥接攻击，并设计存储、嵌入与检索后三层防御。

    4. 论文做了哪些实验？

      在 4 级组织距离和 3 个场景下评测表明，池化检索引发 70–100% 泄漏与污染，硬门控可无损复原但增加 1.4 ms 延迟。

    5. 有什么可以进一步探索的点？

      作者指出了小样本合成数据、自评审偏差及信道编码不足等局限；实验主要覆盖两款生成模型及四对合成用户。

    6. 总结一下论文的主要内容

      论文揭示共享向量库导致的跨用户语义泄漏，指出常识构造攻击可达90–100%命中，而硬所有权门控能以低延迟恢复隔离。

    完整解读
加载更多