评测与基准arXiv 2609.22076
APort Vault 发布：用 4,371 条人工攻击评测 AI Agent 支付授权
构建 APort Vault 基准，对比裸模型与确定性授权对越权支付的拦截
- arXiv
- 2609.22076
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Qwen3.8 Max、Claude Fable 5.1、Claude Sonnet 5 等 14 个
全部论文
另有 701 篇论文还没打上分类标签，暂不在筛选结果里。
- 分析与理论arXiv 2610.04375
论文揭示 LLM Agent 工具调用在执行路径中被改写，并提出 IntAct 修复方案
提出 IEC 协议与 IntAct，定位并修复工具调用执行路径的静默篡改
- arXiv
- 2610.04375
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 测试
- qwen3-coder-plus、Qwen2.5-Coder-32B、Qwen2.5-72B 等 4 个
摘要论文界定工具调用在执行路径中的意图偏离问题，提出无执行归因协议与跳级修复，为智能体工程提供评测与设计准则。
- 攻击arXiv 2610.05089
研究者披露 LiteLLM 网关跨租户干扰攻击 Cooldown Landmines
提出利用共享冷却的跨租户干扰攻击，并设计租户隔离机制
- arXiv
- 2610.05089
- 发表
- 场景
- LLM 应用
- 测试
- Qwen1.5-MoE-A2.7B-Chat、DeepSeek-MoE-16B-Chat
摘要揭示网关共享冷却漏洞，提出来源检查与租户隔离防御。
- 防御arXiv 2610.02664
论文提出 GHOST：长程智能体在良性对话中遗忘早期安全约束
提出 STAR-Guard 双层防御缓解长程智能体遗忘安全约束
- arXiv
- 2610.02664
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Qwen-3.6、Qwen3.5-4B、GPT-5.5 等 7 个
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要揭示 GHOST 跨轮约束遗忘风险，构建 SCARBench 基准并通过 STAR-Guard 双层防御消除违规。
- 防御arXiv 2610.01349
PACE：面向工具调用 LLM Agent 的来源感知能力强制执行
提出 PACE，在工具调用前对 Agent 做路径隔离与效果授权
- arXiv
- 2610.01349
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Qwen-3.8-27B、gpt-5.6-luna、DeepSeek-V4-Flash
摘要PACE 在工具边界做路径割与效果核验。
PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。
- 评测与基准arXiv 2608.07556
MasDrift：跨多智能体架构的授权保持基准
用 MasDrift 评测多智能体架构的授权保持
- arXiv
- 2608.07556
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- Qwen3.7 Plus、DeepSeek V4 Flash、GPT-5.4 Nano 等 6 个
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要授权保持可被测量：层级用未授权动作换完成率，重锚定比沿链携带更稳。
MasDrift 把多智能体设计中的授权保持做成可测量性质，对象是没有攻击者的普通委托。
- 防御arXiv 2609.05903
EvoSafeHarness：为 Agent 自动演化模型与领域专属安全护栏
提出 EvoSafeHarness，为冻结模型与目标域自动搜索安全 harness
- arXiv
- 2609.05903
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Qwen3.7-plus、Sonnet 4.6、GLM-5 等 10 个
- 防御arXiv 2609.18411
可验证行动卡片 VAC：为智能体浏览器提供可信人在回路确认
提出 VAC，用真实操作参数与来源隔离保护智能体浏览器确认
- arXiv
- 2609.18411
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 测试
- Qwen3-32B、Qwen3.6-27B、gpt-oss-120b 等 6 个
- 防御arXiv 2609.24446
ActGov：用策略约束校验治理 LLM Agent 的工具动作
提出 ActGov，在工具执行前用确定性策略拦截间接提示注入
- arXiv
- 2609.24446
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Qwen3.6-flash、MiniMax-M2.5、DeepSeek-v4-pro 等 5 个
- 防御arXiv 2609.28693
skilder：以角色化技能包为工具型 LLM 智能体做访问控制
提出 Skilder，用角色技能包和 MCP 路由硬拦截越权工具调用
- arXiv
- 2609.28693
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Qwen 3.5 122B、Claude Haiku 4.5、Gemma 4 31B 等 7 个
摘要Skilder 用单 MCP 服务器按角色交付工具并硬拦截。
Skilder 把企业工具型智能体的能力按角色打包，经一个 MCP 服务器做渐进发现，使工具范围由服务器而不是提示词来执行。
- 防御arXiv 2609.31039
MetaPermit：通过 LLM 推断元属性为 AI Agent 提供可扩展可审计的访问控制
提出 MetaPermit，用元属性与固定策略挡住工具返回中的间接提示注入
- arXiv
- 2609.31039
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Qwen3-235B-a22-2507、Qwen3-8B、MiniMax-M2.7
摘要MetaPermit 用固定策略评估 LLM 推断的元属性，在两个开源模型上把攻击成功压到接近零并保留更多效用。
MetaPermit 是面向工具使用 LLM 智能体的混合访问控制：LLM 描述候选调用，固定策略决定是否放行。
- 防御arXiv 2609.34518
SEAD 论文提出工具型 Agent 的状态视角攻击与防御方法 DART 与 SAGE
提出工具智能体的状态攻击 DART 与预执行防御 SAGE
- arXiv
- 2609.34518
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Huihui-Qwen3.8-27B-abliterated、Qwen3-4B-Instruct-2507、Qwen3.8-27B 等 8 个
摘要论文提出状态控制框架 SEAD、攻击 DART 与防御 SAGE，实验显示执行反馈与环境探测在攻防交互中具有关键作用。
- 防御arXiv 2609.35561
RSI-Master：用结构化实验引导模型自主改进
提出 RSI-Master 以约束自主后训练动作并抑制奖励作弊
- arXiv
- 2609.35561
- 发表
- 层
- 应用层
- 测试
- Qwen3-4B-Base、Qwen3-4B-Instruct、Qwen3.5-35B-A3B-Base 等 5 个
- 防御arXiv 2609.37196
ToolFence：为工具调用 LLM Agent 提供细粒度授权
提出 ToolFence 能力级授权，执行前编译蓝图并确定性拦截工具调用
- arXiv
- 2609.37196
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Qwen3-max、GPT-4o (gpt-4o-2024-08-06)、Mistral-Small-3.1-24B-Instruct-2503
已经到底了