跳到正文
10月8日 · 周四

全部论文

找到 20 篇
筛选1

攻击类型

越狱1提示注入5投毒与后门2模型篡改1提取与窃取9恶意使用1

攻击技术

针对防御1

模型自身风险

欺骗与谋划1

防御类型

模型加固6推理时干预1检测与过滤3指令与数据隔离3权限与审批3监控与审计1

影响

有害内容40越权操作46数据与隐私泄露20输出被操纵42可用性与可靠性4监督失效20滥用能力提升1

系统形态

模型与 API10LLM 应用3AI Agent7编程 Agent3多智能体1

攻击者权限

黑盒3白盒1

攻击面/入口

用户输入11网页与界面1文档与消息1工具返回3工具与技能描述1Agent 间消息1图像与音视频2训练数据1权重与梯度4分发渠道2

层

提示层1模型层3应用层10训练与数据层5基础设施层1

系统组件

MCP 与技能2RAG2监控器1推理链1权限与沙箱3微调与开源权重1视觉3音频1图像生成1多模态4

被测模型厂商

Google9Qwen（阿里）9Meta9OpenAI8其他15
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 725 篇还没打标签，不在筛选结果里。
影响：数据与隐私泄露清除全部

另有 725 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 防御arXiv 2605.17380

    Uber 提出 ADR 企业级 Agent 检测系统，在 7200 台主机部署十个月

    提出企业级智能体检测系统 ADR，检测提示注入与恶意 MCP

    arXiv
    2605.17380
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    GPT-4o、Claude Sonnet 4、Llama Guard 3-8B 等 4 个

    摘要提出了端点因果遥测、两级在线分流与离线红队闭环的 ADR 系统，并在生产环境中验证了有效性。

    深度解读完整解读
  3. 防御arXiv 2609.02786

    SafeEvolve：基于智能体经验的 Harness-Policy 协同演化安全对齐框架

    提出 SafeEvolve，用轨迹证据协同演化安全 harness 与策略

    arXiv
    2609.02786
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Qwen3.5-4B、Qwen3-4B-Instruct-2507、Qwen3.5-1.7B 等 4 个
    摘要SafeEvolve 用轨迹证据协同更新安全 harness 和策略，在两个 4B 模型的智能体安全基准上改变安全与效用。

    SafeEvolve 把已完成的 on-policy 轨迹变成安全 harness 的有界更新，并用两阶段 SFT-RL 把这些更新内化进工具使用策略。

    深度解读完整解读
  4. 防御arXiv 2608.21101

    ClawSentry：面向自主 LLM Agent 的渐进式多层安全监控网关

    提出多层监控网关 ClawSentry，拦截恶意技能供应链与上下文注入

    arXiv
    2608.21101
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Codex/GPT-5.4、Codex/GPT-5.5、Claude Code/GLM-5.1 等 7 个
    摘要ClawSentry 用包准入、三级运行时门控和反绕过，压低 skill 攻击并保住干净任务。

    ClawSentry 是挂在智能体运行时之外的安全监督网关，用来同时盖住 skill 执行的多个生命周期边界，并把已被拒绝的效果记到会话里。

    深度解读完整解读
  5. 防御arXiv 2609.37858

    存储不等于策略：面向 LLM 遗忘的状态条件支持控制

    提出 Intervention Score 与 DIR-R，按干预效果选择并修订遗忘参数支持

    arXiv
    2609.37858
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    Llama 3 8B、Gemma 2 2B、Qwen2.5-7B 等 4 个
    摘要作者把局部化遗忘拆成初始干预选择和检查点修订，并在三个设置里分别给证据和边界。

    Storage Is Not Strategy 研究局部化 LLM 遗忘里两个常被混在一起的决定：一开始该更新哪些参数，以及优化改变模型之后这个选择要不要改。

    深度解读完整解读
  6. 防御arXiv 2609.40286

    研究者提出 COVER：在语言预算下选择源语言实现跨语言遗忘

    提出 COVER，在语言预算下选择源语言实现跨语言知识遗忘

    arXiv
    2609.40286
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    Tiny Aya Global、Qwen3-4B-Instruct-2507、Llama-3.2-3B-Instruct
    摘要COVER 在语言预算下选源语言，以降低未监督语言上相对 oracle 的残余访问。

    语言预算下的多语言遗忘：遗忘监督只放在 K 种源语言上，目标是降低其余语言对同一事实的残余访问，而不是把每种评测语言都译成监督数据。

    深度解读完整解读
  7. 防御arXiv 2609.14003

    FlowSeal：用信息流控制阻断 LLM Agent 的隐私泄露

    提出 FLOWSEAL，在工具边界以信息流控制阻断智能体隐私泄露

    arXiv
    2609.14003
    发表
    层
    应用层
    场景
    AI Agent
    测试
    DeepSeek-V3.2、DeepSeek-R1、GPT-4.1-mini 等 4 个

    摘要作者分析大模型智能体隐私检查与攻击面重合问题，提出外部拦截防御 FLOWSEAL 并验证有效性。

    深度解读完整解读
  8. 防御arXiv 2609.19587

    红队测试 Auto Mode：用注入与多上下文攻击绕过编码 Agent 阻断监控器

    红队评估编码智能体的阻断监视器，并提出 Auto Mode++加固

    arXiv
    2609.19587
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Opus 5、Opus 4.8、Opus 4.7 等 8 个

    摘要系统评估生产阻断监视器在面对持续恶意智能体时的表现，提出加固防御并指明多上下文防御挑战。

    深度解读完整解读
  10. 防御arXiv 2609.10117

    研究揭示基于混淆的端侧 LLM 保护方案的安全边界

    提出 Collapse，从端侧混淆暴露视图抽取高效用替代模型

    arXiv
    2609.10117
    发表
    层
    模型层
    场景
    模型与 API
    测试
    BERT-Base、ViT-Base、Qwen2.5-0.5B 等 4 个
    摘要Oprior 是四原语复合的安全边界，Collapse 利用列方向泄漏抽取替代模型，Oext 只被同一攻击评测。

    这篇工作用代数原语统一若干 TEE 卸载混淆，给出该族的典范边界，再说明该边界挡不住一种分阶段模型抽取。。

    深度解读完整解读
  11. 防御arXiv 2609.12378

    Odin：面向隐私保护 Llama 3 8B 推理的开源端到端 FHE 实现

    提出端到端全同态加密方案 ODIN，在云端密文上完成推理以保护提示词

    arXiv
    2609.12378
    发表
    层
    基础设施层
    场景
    模型与 API
    测试
    Meta-Llama-3-8B、Llama-3-8B（THOR-style baseline）
    摘要ODIN 用可复用的特征主序打包和联合误差预算，在单张 H100 上完成 Llama-3-8B 的 CKKS 推理。

    ODIN 是面向 Llama 的服务器侧 CKKS 推理系统：客户加密提示词，诚实但好奇的服务器用明文权重在密文上算完 Llama-3，只返回结果密文。

    深度解读完整解读
  14. 防御arXiv 2609.36326

    PILLAR：面向增强检索的私有倒排索引词法查找

    提出 PILLAR，用私有词法预筛与客户端重排保护 RAG 查询

    arXiv
    2609.36326
    发表
    层
    应用层
    场景
    LLM 应用
    测试
    Qwen2.5-7B-Instruct、Llama-3-70B、e5-base-v2 等 4 个
    摘要PILLAR 用固定模式的私有 BM25 预筛加本地嵌入重排，在两基准上换取延迟或质量。

    PILLAR 是面向公开语料的隐私 RAG：半诚实服务器学不到查询词项和访问模式，客户端仍拿到用于增强生成的 k 篇文档。

    深度解读完整解读
  18. 防御arXiv 2609.15671

    QPriv-VL：面向视觉语言模型的问题引导 token 裁剪隐私防御

    提出 QPriv-VL，用问题引导剪枝降低分布式视觉问答的隐私泄露

    arXiv
    2609.15671
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    LLaVA-1.5-7B、CLIP-ViT-L/14、Llama-2 等 4 个
    摘要QPriv-VL 在切层前按问题相关度与 DINOv2 敏感度剪视觉 token，作者称能在约四成 token 下兼顾准确率与四类攻击。

    QPriv-VL 把问题引导的视觉 token 剪枝做成分布式 VQA 的客户端隐私防御，而不是只做集中式推理加速。

    深度解读完整解读
  19. 防御arXiv 2609.30824

    基于加密绑定身份验证能力令牌协调分布式 AI 智能体的提案

    提出身份绑定且只收窄的能力令牌，用上下文外钱包约束智能体

    arXiv
    2609.30824
    发表
    层
    应用层
    场景
    多智能体
    摘要用只衰减的身份绑定令牌和上下文外钱包，约束代表人类行动的分布式智能体。

    代表人类行动的分布式智能体，需要一种不把密钥放进语言模型上下文的授权方式。

    深度解读完整解读
  20. 防御arXiv 2609.20532

    面向旧款 GPU 的可验证差分隐私训练框架：用 CPU 侧 TEE 校验 GPU 梯度

    AI 导读论文提出一种在旧款 GPU 上实现可验证差分隐私（DP）训练的框架，用 CPU 侧 TEE 配合不受信任的 GPU 完成校验。

    arXiv
    2609.20532
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    5-layer MLP、WideResNet、GPT-2-medium 等 4 个
    摘要CPU TEE 概率抽查不可信 GPU 上的 DP-SGD，以小开销约束频繁偏离。

    TEE-Certified DP 用已部署的 CPU TEE 监视不可信旧 GPU 上的 DP-SGD，使监管方能在不看训练数据的情况下检查声明的隐私机制是否被执行。

    深度解读完整解读
已经到底了