攻击arXiv 2608.041928月5日
研究者提出 SkillClone，仅凭正常提问即可克隆 LLM Agent 隐藏技能功能
提出 SKILLCLONE，仅凭良性任务交互重构 Agent 隐藏技能功能
arXiv
2608.04192
发表
8月5日
层
应用层
场景
AI Agent
攻击者
黑盒
测试
GLM-5.1、DeepSeek-Flash、DeepSeek-Pro 等 6 个
- 攻击提取与窃取
- 技术自动化搜索
- 组件MCP 与技能
摘要论文揭示了仅靠良性任务交互即可重构闭源智能体技能隐藏功能的风险，表明功能保密需要限制累积信息泄露。
论文从功能保密视角系统研究了大语言模型智能体技能的行为重构威胁。
深度解读完整解读
攻击arXiv 2609.182179月16日
研究：跨通道碎片化攻击可绕过 MCP 单通道防御
提出跨通道分段攻击，借 MCP 多通道隐式信任外发敏感数据
arXiv
2609.18217
发表
9月16日
层
应用层
场景
编程 Agent
测试
GLM-5、GPT-4o、GPT-4o-mini 等 15 个
- 攻击提示注入
- 技术编码与混淆
- 组件MCP 与技能
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
深度解读完整解读
攻击arXiv 2607.255607月28日
SigLeak 可从执行轨迹推断专有 Agent 技能
提出 SigLeak，从执行轨迹比对中推断专有智能体技能
arXiv
2607.25560
发表
7月28日
层
应用层
场景
编程 Agent
攻击者
黑盒
测试
GLM-5.2、GPT-5.4-mini、GPT-5.5 等 4 个
- 攻击提取与窃取
- 技术自动化搜索
- 组件MCP 与技能
摘要提出了通过良性查询和对照轨迹推断黑盒专有技能的 SigLeak 框架，揭示了智能体执行可见性带来的行为侧信道泄露风险。
深度解读完整解读
攻击arXiv 2608.098678月11日
研究者利用加密推理块跨模型兼容性窃取专有 LLM 推理链
利用加密思维块的跨模型重放，诱导弱模型逐字转写专有推理链
arXiv
2608.09867
发表
8月11日
层
提示层
场景
模型与 API
攻击者
黑盒
测试
GLM-5.2、Claude Opus 4.8、Claude Sonnet 4.6 等 15 个
- 攻击提取与窃取
- 技术推理链操控
- 组件推理链
摘要论文揭示了客户端加密思维块跨模型互换漏洞，提出了低成本提取方法并给出防御方案。
深度解读完整解读
攻击arXiv 2608.006778月1日
OpenART 提出环境演化红队框架
提出 OpenART 竞技场，用 EMHA 演化持久环境以评测智能体安全
arXiv
2608.00677
发表
8月1日
层
应用层
场景
编程 Agent
测试
GLM-5.2、GPT-5.5、Claude-Opus-4.8 等 5 个
- 攻击提示注入
- 技术自动化搜索
深度解读完整解读
攻击arXiv 2610.0039210月2日
A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型
提出 A2A-TIBA 间接提示注入，诱导智能体部署常驻回调并外传数据
arXiv
2610.00392
发表
10月2日
层
应用层
场景
多智能体、编程 Agent
测试
glm-5.3、MiniMax-M3、deepseek-v4-pro 等 8 个
- 攻击提示注入
- 技术潜伏触发
- 组件MCP 与技能
摘要A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。
A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
深度解读完整解读

已经到底了

全部论文

攻击类型

攻击技术

影响

系统形态

攻击者权限

攻击面/入口

层

系统组件

被测模型厂商

研究者提出 SkillClone，仅凭正常提问即可克隆 LLM Agent 隐藏技能功能

研究：跨通道碎片化攻击可绕过 MCP 单通道防御

SigLeak 可从执行轨迹推断专有 Agent 技能

研究者利用加密推理块跨模型兼容性窃取专有 LLM 推理链

OpenART 提出环境演化红队框架

A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型