评测与基准arXiv 2609.22076
APort Vault 发布：用 4,371 条人工攻击评测 AI Agent 支付授权
构建 APort Vault 基准，对比裸模型与确定性授权对越权支付的拦截
- arXiv
- 2609.22076
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-6 Astra、GPT-5.6 Terra、GPT-5.6 Luna 等 14 个
全部论文
另有 669 篇论文还没打上分类标签，暂不在筛选结果里。
- 防御arXiv 2609.11757
研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御
提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策
- arXiv
- 2609.11757
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
- 防御arXiv 2610.06966
APEX：在 LLM Agent 执行边界主动防御间接提示注入
提出 APEX，在执行边界用预编译授权契约防御 Agent 间接提示注入
- arXiv
- 2610.06966
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-5.6-sol、GPT-5.4、DeepSeek-V4-Flash 等 4 个
- 防御arXiv 2610.05640
研究揭示 CaMeL 防护在多智能体系统中失效并提出 multi-CaMeL
提出 multi-CaMeL，在多智能体调用边界隔离可信指令与不可信数据
- arXiv
- 2610.05640
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- GPT-5.5、GPT-4.1、Gemini 2.5 Pro 等 6 个
摘要论文针对多智能体中单体防御不组合的边界清洗问题，提出 multi-CaMeL 协议彻底阻断了 MultiAgentDojo 上的注入攻击。
- 防御arXiv 2609.12001
Pheo 提出 OATS：用确定性解析器在运行时治理 Agent 技能动作
提出 OATS，用确定性解析器在运行时治理 Agent 技能动作
- arXiv
- 2609.12001
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-5.5、gpt-5-mini、codex-security-worker 等 4 个
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要论文论证了发布时恶意扫描无法替代运行时动作许可控制，提出了轻量确定性控制门 OATS，展示了双层防御组合的必要性。
- 防御arXiv 2610.02664
论文提出 GHOST：长程智能体在良性对话中遗忘早期安全约束
提出 STAR-Guard 双层防御，缓解长程智能体跨轮遗忘安全约束
- arXiv
- 2610.02664
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-5.5、DeepSeek-V4-Pro、GLM-5.2 等 7 个
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要揭示 GHOST 跨轮约束遗忘风险，构建 SCARBench 基准并通过 STAR-Guard 双层防御消除违规。
- 防御arXiv 2610.03089
COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构
提出 COBRA，用分支能力约束与代理拦截防御计算机使用 Agent 的分支引导攻击
- arXiv
- 2610.03089
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 测试
- gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等 6 个
摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
- 防御arXiv 2609.38983
论文提出 Approval Laundering 分类，实测 Claude Code 审批与执行绑定失败
提出 Approval Token 绑定编程智能体的审批与执行
- arXiv
- 2609.38983
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 测试
- Codex CLI (@openai/codex v0.154.0)、Claude Code (v2.1.197, opus[1m] / claude-sonnet-5-ccmax)
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要系统揭示编程智能体审批洗白风险，提出七字段权能防御机制，证实其能消除身份时序偏离但难防副作用偏离。
- 防御arXiv 2608.21101
ClawSentry：面向自主 LLM Agent 的渐进式多层安全监控网关
提出 ClawSentry 渐进式多层监控网关，拦截恶意技能包与上下文注入
- arXiv
- 2608.21101
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 测试
- Codex/GPT-5.4、Codex/GPT-5.5、gemini-3.5-flash 等 7 个
摘要ClawSentry 用包准入、三级运行时门控和反绕过，压低 skill 攻击并保住干净任务。
ClawSentry 是挂在智能体运行时之外的安全监督网关，用来同时盖住 skill 执行的多个生命周期边界，并把已被拒绝的效果记到会话里。
- 防御arXiv 2608.30041
SkillGuard：面向间接提示注入的 LLM Agent 能力限制机制
提出 SkillGuard，用可达性切断污染后通往禁止状态的技能调用
- arXiv
- 2608.30041
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Gemini 2.5 Flash、Llama3.3-70B
- 防御arXiv 2607.05277
UCM：为网页智能体遮蔽不可信内容以提供安全保证
提出 UCM，用 DOM 掩码与类型受限隔离模型隔开网页智能体与不可信内容
- arXiv
- 2607.05277
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 测试
- GPT-5.4、Claude Sonnet 4.5、Claude Sonnet 4.6
- 防御arXiv 2609.36434
研究提出 Safety Operator：用谱优化调节安全指令的表达强度
提出 Safety Operator，用谱优化调节安全指令表达强度
- arXiv
- 2609.36434
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- Gemma 3 1B、Gemma 3 4B
- 防御arXiv 2610.01349
PACE：面向工具调用 LLM Agent 的来源感知能力强制执行
提出 PACE，在工具调用前对 Agent 做路径隔离与效果授权
- arXiv
- 2610.01349
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- gpt-5.6-luna、DeepSeek-V4-Flash、Qwen-3.8-27B
摘要PACE 在工具边界做路径割与效果核验。
PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。
- 防御arXiv 2610.00797
Sapien：面向自主 AI 智能体的有状态策略引擎
提出有状态策略引擎 Sapien，拦截被劫持智能体的越权工具调用
- arXiv
- 2610.00797
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Gemini 3.8 Flash、Gemini 3.1 Pro、Claude Sonnet 5 等 4 个
摘要Sapien 用有状态上下文策略约束工具序列，在近似保住效用的同时拦住多数被劫持轨迹。
Sapien 是面向通用 AI 智能体的有状态策略引擎：执行前把用户提示词译成任务策略，运行时只放行该策略承认的工具调用序列。
- 防御arXiv 2609.10613
后验重加权框架解释并缓解多模态大模型上下文越狱
用后验重加权解释多模态上下文越狱，并提出风险门控的良性示例注入防御
- arXiv
- 2609.10613
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- GPT-5.4、Gemini-3.5、Qwen3-VL-2B 等 9 个
摘要后验重加权解释上下文越狱的缩放，并支持风险门控的良性示例防御。
Zhang 等把多模态 ICL 越狱写成对齐模型在安全与有害隐模式之间的推理时后验漂移，并据此做风险门控防御。
- 防御arXiv 2609.14003
FlowSeal：用信息流控制阻断 LLM Agent 的隐私泄露
提出 FlowSeal，在工具边界用信息流控制阻断 Agent 隐私泄露
- arXiv
- 2609.14003
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-4.1-mini、Gemini-Flash-2.5、DeepSeek-V3.2 等 4 个
摘要作者分析大模型智能体隐私检查与攻击面重合问题，提出外部拦截防御 FLOWSEAL 并验证有效性。
- 防御arXiv 2609.18674
CaMeLoT：用 CTL 时序逻辑在执行前静态验证 Agent 计划
提出 CaMeLoT，在执行前用 CTL 静态验证 Agent 计划
- arXiv
- 2609.18674
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-4.1 nano、GPT-4.1 mini、claude-haiku-4-5-20251001 等 5 个
摘要CaMeLoT 在执行前用 CTL 模型检验补上 CaMeL 缺少的整段执行规范，并用反例修复计划。
CaMeLoT 是 CaMeL 的神经符号扩展：在工具调用之前，用模型检验判断受限 Python 计划是否满足时序安全策略和从提示词抽出的任务性质。
- 防御arXiv 2609.22573
研究提出面向企业 MCP 的零信任授权与工具发现方案
提出企业 MCP 的零信任授权扩展，拒绝提示注入下的越权工具调用
- arXiv
- 2609.22573
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- gpt-5、gemini-2.5-pro、claude-sonnet-4-6 等 6 个
摘要同一份按工具声明同时管 MCP 的发现、列表和调用，使注入不能扩大已有凭证的权限。
作者把零信任放在 MCP 工具调用边界：智能体即使被提示注入，也不能调用其凭证范围之外的工具。问题来自三点部署性质。调用意图会随不可信上下文改变。
- 防御arXiv 2609.01487
Defense-as-Skill：为技能增强型 Agent 演化运行时护栏技能
提出可安装护栏技能 SkillSonar，在运行时分流技能增强 Agent 的敏感动作
- arXiv
- 2609.01487
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-5.4、GLM-5、Claude Haiku 4.5 等 5 个
- 评测与基准arXiv 2608.07556
MasDrift：跨多智能体架构的授权保持基准
用 MasDrift 评测多智能体架构的授权保持
- arXiv
- 2608.07556
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- GPT-5.4 Nano、Gemini 3.1 Pro、GPT-5.6 Sol 等 6 个
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要授权保持可被测量：层级用未授权动作换完成率，重锚定比沿链携带更稳。
MasDrift 把多智能体设计中的授权保持做成可测量性质，对象是没有攻击者的普通委托。