隐私与数据泄露 · 论文

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

测试

Gemini 3 Flash、GPT-4o、Claude Sonnet 4 等 7 个

• 攻击提示注入
• 技术自动化搜索

研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题

提出利用路由元数据推断敏感话题的侧信道攻击

arXiv

2610.09981

发表

10月7日

层

基础设施层

场景

LLM 应用

测试

RouteLLM (BERT router)、notdiamond-0001、Vela (vLLM Semantic Router) 等 6 个

• 攻击提取与窃取
• 技术侧信道

CredLeak-Bench

提出 CredLeak-Bench，评测智能体在钓鱼场景下的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Gemini 3.6 Flash、Claude Sonnet 5、Claude Opus 4.8 等 7 个

Trojan Hippo Bench：针对 LLM Agent 持久记忆攻击与防御的动态基准

提出 Trojan Hippo Bench，评测智能体持久记忆攻击与防御

arXiv

2605.01970

发表

5月3日

层

应用层

场景

AI Agent

测试

Gemini 3.1 Pro、GPT-5-mini、GPT-5

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +2+2

研究：多向量视觉文档索引可被反演还原页面内容

提出流匹配逆向框架，从多向量视觉文档索引重构页面

arXiv

2610.09920

发表

10月7日

层

应用层

场景

LLM 应用

测试

colpali-v1.2、colpali-v1.3、Tomoro-ColQwen3-8B 等 13 个

• 攻击提取与窃取
• 组件嵌入
• +2+2

MemLeak 研究：多租户 Agent 共享向量记忆库存在跨用户记忆泄露

评估多租户智能体共享向量记忆的跨用户泄露与主动桥接

arXiv

2610.04195

发表

10月3日

层

应用层

场景

AI Agent

测试

Gemini 2.5 Flash、Claude Sonnet 4.5、all-MiniLM-L6-v2 等 5 个

• 攻击提取与窃取
• 技术诱导选用
• 组件记忆
• +2+2

TranScope：利用 CPU 性能计数器对 Transformer 做成员推断攻击

提出 TRANSCOPE，用 CPU 硬件计数器推断训练集成员

arXiv

2610.06848

发表

10月5日

层

基础设施层

场景

模型与 API

攻击者

黑盒

测试

BERT (4.4M-340M)、ViT (22M-307M)、Pythia (70M-2.8B) 等 5 个

• 攻击提取与窃取
• 技术侧信道

StegoMemory 红队测试：智能体持久记忆可被用作跨会话隐蔽信道

用 StegoMemory 测试智能体持久记忆作为跨会话隐写信道的可行性

arXiv

2610.04589

发表

10月3日

层

应用层

场景

AI Agent

测试

Gemini 1.5 Pro、Gemini 2.0 Flash、Llama 3.1 405B 等 13 个

• 攻击投毒与后门
• 技术编码与混淆
• 组件记忆
• +1+1

AgentDoxx：联网搜索 Agent 对匿名访谈文本的再识别评测

构建 AGENTDOXX 评测联网搜索智能体对匿名访谈的再识别能力

arXiv

2610.05586

发表

10月5日

层

应用层

场景

AI Agent

测试

Gemini 3.7 Flash、Gemini 3.1 Pro Preview、GPT-5.6 Terra 等 10 个

• 攻击恶意使用
• 组件RAG

研究：跨通道碎片化攻击可绕过 MCP 单通道防御

提出跨通道分段攻击，借 MCP 多通道隐式信任外发敏感数据

arXiv

2609.18217

发表

9月16日

层

应用层

场景

编程 Agent

测试

Gemini 2.5 Flash、GPT-4o、GPT-4o-mini 等 15 个

• 攻击提示注入
• 技术编码与混淆
• 组件MCP 与技能
• +2+2

研究者利用加密推理块跨模型兼容性窃取专有 LLM 推理链

利用加密思维块的跨模型重放，诱导弱模型逐字转写专有推理链

arXiv

2608.09867

发表

8月11日

层

提示层

场景

模型与 API

攻击者

黑盒

测试

Gemini 3.1 Pro、Gemini 3.5 Flash、Gemini Robotics 1.6 等 15 个

• 攻击提取与窃取
• 技术推理链操控
• 组件推理链
• +1+1

ReCast：在固定媒体接口下保护多模态推理的隐私框架

提出 RECAST 框架，本地改写图表与语音以保护远程数值推理隐私

arXiv

2610.01184

发表

10月1日

层

应用层

场景

LLM 应用

测试

Gemma-4-E4B、Qwen3.5-Omni-Plus、Qwen3-VL-8B-Instruct 等 11 个

• 组件视觉
• +1+1

LLMLeak：借 LLM 合法网页抓取实施隐蔽数据外泄

提出 LLMLeak，把机密编进报错 URL，借聊天机器人网页抓取外传

arXiv

2610.01768

发表

10月2日

层

应用层

场景

AI Agent

测试

Gemini、Meta-Llama-3.3-70B-Instruct、Meta-Llama-4-Scout-17B-16E-Instruct 等 15 个

• 攻击恶意使用
• 技术编码与混淆

FlowSeal：用信息流控制阻断 LLM Agent 的隐私泄露

提出 FLOWSEAL，在工具边界以信息流控制阻断智能体隐私泄露

arXiv

2609.14003

发表

9月12日

层

应用层

场景

AI Agent

测试

Gemini-Flash-2.5、DeepSeek-V3.2、DeepSeek-R1 等 4 个

• 防御指令与数据隔离
• 攻击提取与窃取
• 组件权限与沙箱
• +1+1

PMA 攻击：针对隐私保护 LLM 中嵌入到嵌入混淆的语义流形对齐方法

提出 PMA，用流形对齐从 E2EO 混淆向量恢复明文

arXiv

2609.06749

发表

9月7日

层

模型层

场景

模型与 API

测试

BERT-base、T5-base、Gemma-7B 等 6 个

• 攻击提取与窃取
• 组件嵌入

AgentTell：浏览器 Agent 的行为侧信道泄漏基准

构建 AGENTTELL 基准，测量浏览器智能体跨站行为侧信道泄露

arXiv

2609.32915

发表

9月26日

层

应用层

场景

网页与电脑操作

测试

Gemini 3.7 Flash、Claude Sonnet 5、GPT-5.6 Luna 等 6 个

• 风险Agent 危险操作

研究：众包微调数据投毒可放大专有指令抽取

提出主题锚点投毒，放大众包微调后的专有指令提取

arXiv

2609.33985

发表

9月28日

层

训练与数据层

场景

模型与 API

攻击者

黑盒

测试

Gemma-3-4B-Instruct、gemini-3.6-flash、Qwen2.5-7B-Instruct 等 6 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重
• +1+1