红队 · 论文

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

测试

GPT-4o、Gemini 3 Flash、Claude Sonnet 4 等 7 个

• 攻击提示注入
• 技术自动化搜索

CredLeak-Bench

提出 CredLeak-Bench，评测智能体在钓鱼场景下的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 5、Claude Opus 4.8、Gemini 3.6 Flash 等 7 个

AgentSpy：在系统调用层观测 AI Agent 行为并检测技能注入攻击

提出 AgentSpy，在系统调用层观测编程智能体并检测技能注入攻击

arXiv

2610.06001

发表

10月5日

层

应用层

场景

编程 Agent

测试

gpt-5.6-terra、deepseek-v4-flash、glm-5.3-flash 等 4 个

• 防御检测与过滤
• 攻击投毒与后门
• 组件MCP 与技能
• +1+1

研究重测 15 个提示注入检测器：基准分数难以预测 Agent 部署表现

重评提示注入检测器，检验基准分数对智能体部署的预测力

arXiv

2610.03448

发表

10月2日

层

应用层

场景

AI Agent

测试

Horizon-Labs、Wolf Defender、Prismor-1.5B 等 15 个

• 防御检测与过滤
• 攻击提示注入
• 组件护栏与评审

研究：跨通道碎片化攻击可绕过 MCP 单通道防御

提出跨通道分段攻击，借 MCP 多通道隐式信任外发敏感数据

arXiv

2609.18217

发表

9月16日

层

应用层

场景

编程 Agent

测试

GPT-4o、GPT-4o-mini、GPT-5.4 等 15 个

• 攻击提示注入
• 技术编码与混淆
• 组件MCP 与技能
• +2+2

OpenAI 发布 GPT-Red：通过自博弈训练自动化红队智能体

提出自博弈红队智能体 GPT-Red，自动挖掘提示注入与越狱攻击

arXiv

2607.26115

发表

7月29日

层

应用层

场景

AI Agent

攻击者

黑盒

测试

GPT-5.6、GPT-5.5、GPT-5.4 等 8 个

• 攻击提示注入
• 技术自动化搜索
• +1+1

AHA 用自动研究循环发现生产 Agent 漏洞概念

提出 AHA 自动科研循环，发现生产级智能体的可复用漏洞概念

arXiv

2607.11698

发表

7月13日

层

应用层

场景

编程 Agent

攻击者

黑盒

测试

Minimax-M2.7、Kimi-K2.6、Deepseek-V4-Pro 等 5 个

• 攻击越狱
• 技术自动化搜索
• +1+1

OpenART 提出环境演化红队框架

提出 OpenART 竞技场，用 EMHA 演化持久环境以评测智能体安全

arXiv

2608.00677

发表

8月1日

层

应用层

场景

编程 Agent

测试

GPT-5.5、Claude-Opus-4.8、GLM-5.2 等 5 个

• 攻击提示注入
• 技术自动化搜索

A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型

提出 A2A-TIBA 间接提示注入，诱导智能体部署常驻回调并外传数据

arXiv

2610.00392

发表

10月2日

层

应用层

场景

多智能体、编程 Agent

测试

MiniMax-M3、deepseek-v4-pro、glm-5.3 等 8 个

• 攻击提示注入
• 技术潜伏触发
• 组件MCP 与技能
• +1+1

红队测试 Auto Mode：用注入与多上下文攻击绕过编码 Agent 阻断监控器

红队评估编码智能体的阻断监视器，并提出 Auto Mode++加固

arXiv

2609.19587

发表

9月17日

层

应用层

场景

编程 Agent

测试

Opus 5、Opus 4.8、Opus 4.7 等 8 个

• 防御监控与审计
• 风险欺骗与谋划
• 组件监控器