另有 201 篇论文还没打上分类标签，暂不在筛选结果里。
提出 PyCache Trap，用字节码缓存替换绕过 Agent 技能扫描器
这篇论文研究了智能体技能（Agent Skills）安全扫描中的“审查–执行脱节”问题，并提出了对应的攻击验证与防御方案。
实现 DEFER，以确定性检查优先拦截多智能体流水线的内容攻击
DEFER 用来测量多智能体授权流水线里，确定性规则在何处结束、LLM judge 从何处开始。
提出 AgentSpy，在系统调用层观测 Agent 行为并检测技能注入
本研究提出了面向 AI 智能体的系统级外部监控与行为分析框架 AgentSpy。
提出检测、结构化与 GSPO 流程，降低共识生成的提示注入错位
这是一篇把 LLM 数字孪生放进增强民主的博士论文，分个体表示、政党聚合和共识生成的提示注入三章。
提出 Persona Guardrail，强制客服智能体守住功能边界
Persona Guardrail 是客服向智能体的同步运行时防御：先写明功能边界，再决定放行或拦截，而不是只检测某一攻击类。
提出 ASA 与 AttestMCP，度量并降低 LLM 对输入序列扰动的敏感
提出证据引导的 SKILLLITE，审计部署前恶意 Agent Skill
SKILLLITE是面向紧凑、可本地部署 LLM 的恶意 Agent Skill 预执行审计框架，作者单位为南洋理工大学。
提出 TACIT，从冻结内部状态检测智能体有害轨迹
摘要提出基于内部表征的智能体轨迹安全检测方法 TACIT，揭示工具风险表征特性并在多项基准上提升检测表现与效率。
提出条件触发的爆炸提示词，并设计摄入期检测器 DeFuse
论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。
提出 PIDS-Bench，评测提示注入检测器在过度防御与分布偏移下的表现
PIDS-Bench 是一个冻结的检测器级基准，用来在固定阈值下同时看提示注入检测和良性误报。
提出 ActGuard 执行前动作审计，定位并遮盖间接提示注入的恶意片段
提出 SkillSecurer，检测并修补 Agent 技能中的提示注入漏洞
构建 COUNTER-GEO-BENCH，评测生成式搜索中的 GEO 虚假信息防御
摘要论文构建了针对 GEO 虚假信息的首个防御基准，揭示通用护栏的失效与反作用，并提出了有效的轻量对比检测基线。
提出 Mind2Web-Injection 评测网页 Agent 视觉注入护栏
Mind2Web-Injection 用来检查网页截图护栏的判决是否对齐到该用的画面证据。。
提出类型化溯源与断言护栏，约束持久 Agent 释放自传断言
提出 LeakGauge，用行为后缀的 prefill 对数概率检测上下文泄露
提出 GEOFlagBench 与 IPT，检测并测量生成式引擎优化网页
GEO-Flag 把页面级 GEO 检测做成可评测任务，并在发布的检索结果上估计被判为 GEO 的页面占比。
提出 ColluSkill，用跨技能组合绕过 Agent 技能扫描器
摘要论文揭示了单技能孤立扫描的盲区，提出多技能链攻击 ColluSkill 与上下文防御 ChainGuard 并验证了有效性。
提出 SkillSentry，用自适应蜜罐世界在安装前检测 Agent 技能是否越出能力契约
SkillSentry 是安装前的动态技能审计，用来发现超出宣称功能的能力漂移。技能一旦安装，就能使用宿主的文件、shell、凭证和网络，而有害分支可能要等特定资源才出现。作者认为，源码或一次性语义判断既不能确认分支会执行，也不能把技能造成的效果与任务或基座智能体的动作分开。
提出 SeTox 检索增强框架，检测中文新词的隐性毒性
SeTox 研究中文新词上的隐性毒性检测：词表加检索增强，使静态 LLM 在不重训练的情况下利用公开网页上下文。