防御arXiv 2609.11757
研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御
提出 A-VIP，将购物意图绑定到支付授权以阻断商户文本操控
- arXiv
- 2609.11757
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- gpt-5.5、gemini-2.5-flash-lite、gemini-3.1-flash-lite 等 15 个
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
Agent 安全 · 论文
另有 284 篇论文还没打上分类标签，暂不在筛选结果里。
- 防御arXiv 2610.06966
APEX：在 LLM Agent 执行边界主动防御间接提示注入
提出 APEX，在执行边界以授权契约拦截智能体间接提示注入
- arXiv
- 2610.06966
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-5.6-sol、GPT-5.4、DeepSeek-V4-Flash 等 4 个
- 防御arXiv 2610.05640
研究揭示 CaMeL 防护在多智能体系统中失效并提出 multi-CaMeL
提出 multi-CaMeL，在多智能体调用边界隔离可信指令与不可信数据
- arXiv
- 2610.05640
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- GPT-5.5、GPT-4.1、GPT-5.2 等 6 个
摘要论文针对多智能体中单体防御不组合的边界清洗问题，提出 multi-CaMeL 协议彻底阻断了 MultiAgentDojo 上的注入攻击。
- 防御arXiv 2610.02664
论文提出 GHOST：长程智能体在良性对话中遗忘早期安全约束
提出 STAR-Guard 双层防御缓解长程智能体遗忘安全约束
- arXiv
- 2610.02664
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-5.5、DeepSeek-V4-Pro、GLM-5.2 等 7 个
- 防御权限与审批
- 风险Agent 危险操作
- 组件权限与沙箱
摘要揭示 GHOST 跨轮约束遗忘风险，构建 SCARBench 基准并通过 STAR-Guard 双层防御消除违规。
- 防御arXiv 2610.03089
COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构
提出 COBRA 双 LLM 架构，防御计算机使用智能体的分支转向攻击
- arXiv
- 2610.03089
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 测试
- gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等 6 个
摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
- 防御arXiv 2607.05277
UCM：为网页智能体遮蔽不可信内容以提供安全保证
提出 UCM，用 DOM 掩码与类型受限隔离模型隔开网页智能体与不可信内容
- arXiv
- 2607.05277
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 测试
- GPT-5.4、Claude Sonnet 4.5、Claude Sonnet 4.6
- 防御arXiv 2610.01349
PACE：面向工具调用 LLM Agent 的来源感知能力强制执行
提出 PACE，在工具调用前对 Agent 做路径隔离与效果授权
- arXiv
- 2610.01349
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- gpt-5.6-luna、DeepSeek-V4-Flash、Qwen-3.8-27B
摘要PACE 在工具边界做路径割与效果核验。
PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。
- 防御arXiv 2609.14003
FlowSeal：用信息流控制阻断 LLM Agent 的隐私泄露
提出 FLOWSEAL，在工具边界以信息流控制阻断智能体隐私泄露
- arXiv
- 2609.14003
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-4.1-mini、DeepSeek-V3.2、DeepSeek-R1 等 4 个
摘要作者分析大模型智能体隐私检查与攻击面重合问题，提出外部拦截防御 FLOWSEAL 并验证有效性。
- 防御arXiv 2609.18674
CaMeLoT：用 CTL 时序逻辑在执行前静态验证 Agent 计划
提出 CaMeLoT，在执行前用 CTL 静态验证 Agent 计划
- arXiv
- 2609.18674
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-4.1 nano、GPT-4.1 mini、claude-haiku-4-5-20251001 等 5 个
摘要CaMeLoT 在执行前用 CTL 模型检验补上 CaMeL 缺少的整段执行规范，并用反例修复计划。
CaMeLoT 是 CaMeL 的神经符号扩展：在工具调用之前，用模型检验判断受限 Python 计划是否满足时序安全策略和从提示词抽出的任务性质。
- 防御arXiv 2609.01487
Defense-as-Skill：为技能增强型 Agent 演化运行时护栏技能
提出可安装护栏技能 SkillSonar，在运行时分流技能增强 Agent 的敏感动作
- arXiv
- 2609.01487
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-5.4、GLM-5、Claude Haiku 4.5 等 5 个
- 防御arXiv 2609.18411
可验证行动卡片 VAC：为智能体浏览器提供可信人在回路确认
提出 VAC，用真实操作参数与来源隔离保护智能体浏览器确认
- arXiv
- 2609.18411
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 测试
- gpt-oss-120b、GPT-4.1、Gemini-2.5-Flash 等 6 个
- 攻击arXiv 2609.28585
论文提出持久计费状态概念，揭示工具调用 LLM Agent 的拒绝钱包攻击与防御
提出工具调用 Agent 的拒绝钱包攻击及主机侧计费约束
- arXiv
- 2609.28585
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-4o、GPT-4o-mini、Mistral-Large 等 9 个
摘要已准入工具返回的跨轮保留会重复计费。
这篇工作把工具调用智能体里跨轮保留、并被提供商反复计费的外部工具返回定义为 persistent billable state，并把它的主机侧再次送入决定当作控制点。。
已经到底了