全部论文

论文提出针对 Agentic RAG 的检索器后门攻击与 DOU 隐藏方法

提出检索器后门攻击操纵智能体多轮搜索，并用 DOU 隐蔽后门

arXiv

2609.37468

发表

9月26日

层

应用层

场景

AI Agent

测试

E5、Contriever-MSMARCO、Qwen2.5-7B-Instruct

• 攻击投毒与后门
• 技术潜伏触发
• 组件RAG
• +4+4

研究者披露针对 LLM Agent 护栏的推理扩展型拒绝服务攻击

提出针对 LLM Agent 护栏的推理扩展拒绝服务攻击

arXiv

2606.14517

发表

6月12日

层

应用层

场景

AI Agent

攻击者

黑盒、白盒

测试

TS-Guard-8B、Qwen3.5-9B、DeepSeek-V3.2 等 11 个

• 攻击拒绝服务
• 技术推理链操控
• 组件护栏与评审
• +2+2

研究者提出 Breadcrumbing 长程攻击，可劫持 DeepResearch 类搜索 Agent 的证据链

提出权威链劫持 ACH 与策略演化 TGSE，劫持搜索 Agent 的证据链

arXiv

2608.04565

发表

8月5日

层

应用层

场景

AI Agent

测试

Qwen3.5-9B、Gemma4-31B、DeepResearch 等 8 个

• 攻击提示注入
• 技术自动化搜索
• 组件RAG

研究者系统研究 LLM 智能体记忆投毒攻击并提出 MPBench 基准

系统研究 LLM 智能体记忆投毒并构建基准 MPBench

arXiv

2606.04329

发表

6月3日

层

应用层

场景

AI Agent

测试

GPT-OSS-120B、Meta-Llama-3.1-70B-Instruct、Deberta-v3-base 等 6 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

Purdue 提出 Pact：将欺骗作为行为遗忘

提出 PACT，遗忘推理模型在压力下的欺骗行为并保留上下文理解

arXiv

2609.38909

发表

9月30日

层

训练与数据层

场景

模型与 API

攻击者

白盒

测试

DeepSeek-R1-Distill-Qwen-32B、QwQ-32B

• 防御模型加固
• 攻击模型篡改
• 风险欺骗与谋划
• 组件微调与开源权重
• +1+1

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

GPT-5.6-Sol、GPT-5.6-Terra、GPT-5.6-Luna 等 14 个

FAB 攻击：给 HuBERT/WavLM 植入后门，背景警笛声即可让下游语音任务失灵

提出 FAB 攻击，向声学基础模型植入可由环境声触发的后门

arXiv

2610.09819

发表

10月7日

层

训练与数据层

场景

模型与 API

测试

HuBERT-base、WavLM-base

• 攻击投毒与后门
• 技术潜伏触发
• 组件音频
• +1+1

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

研究者训练出按多智能体拓扑触发的代码后门模型

提出拓扑条件后门，使模型在推断多智能体部署时向代码插入隐蔽漏洞

arXiv

2610.05793

发表

10月5日

层

训练与数据层

场景

编程 Agent、多智能体

测试

Qwen2.5-7B-Instruct、Qwen2.5-Coder-7B-Instruct

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重

研究者提出闭环偏见注入攻击

提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见

arXiv

2610.05894

发表

10月5日

层

模型层

场景

模型与 API

攻击者

灰盒

测试

LLaDA-8B-Instruct、Dream-v0-Instruct-7B、LLaDA-MoE-7B-A1B-Instruct

• 攻击模型篡改
• 技术梯度与表征优化

研究揭示无触发投毒审计缺口：事实答对不等于决策正确

揭示无触发虚假训练下事实回答与下游决策的审计差距

arXiv

2610.02886

发表

10月2日

层

训练与数据层

场景

模型与 API

测试

Qwen2.5-0.5B、Qwen2.5-1.5B、Qwen2.5-3B 等 9 个

• 攻击投毒与后门

上海交大等提出 trait-direction drift 机制与探针空间走廊正则，抑制蒸馏中的潜隐特质迁移

提出特征方向漂移机制与探针空间走廊正则，抑制蒸馏潜隐特质迁移

arXiv

2609.01091

发表

9月1日

层

训练与数据层

场景

模型与 API

测试

Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、Gemma-3-12B-IT 等 4 个

• 防御模型加固
• 攻击投毒与后门
• 风险失准与价值偏离
• 组件微调与开源权重

规避与投毒攻击对恶意软件数据漂移检测器的实证分析

用通用扰动对恶意软件分类器及漂移检测器做规避与后门投毒

arXiv

2608.03642

发表

8月4日

层

模型层

场景

模型与 API

测试

MLP 100-100、CADE (CAE 512-384-256-128)、CADE (CAE 512-128-32-8) 等 6 个

• 攻击检测规避
• 技术梯度与表征优化
• +2+2

SecOPD 用同策略蒸馏把自适应提示注入攻击成功率降至 9.0%

提出 SecOPD 同策略蒸馏微调，降低模型对自适应提示注入的顺从

arXiv

2608.21500

发表

8月22日

层

应用层

场景

AI Agent

测试

Qwen3.6-27B (Undefended)、Meta-SecAlign、SecOPD

• 防御模型加固
• 攻击提示注入

Counter-GEO-Bench：现有护栏难挡 GEO 虚假信息

构建 COUNTER-GEO-BENCH，评测生成式搜索中的 GEO 虚假信息防御

arXiv

2609.02316

发表

9月2日

层

应用层

场景

LLM 应用

测试

Gemma-4-31B-IT、Qwen-3.5-35B-A3B、Llama-4-Scout-17B-16E 等 11 个

• 防御检测与过滤
• 攻击提示注入
• 组件RAG
• +1+1

CodePoisonRAG：针对检索增强代码生成的知识投毒攻击

提出 CodePoisonRAG，对检索增强代码生成的知识库投毒以植入漏洞

arXiv

2609.02774

发表

9月3日

层

应用层

场景

LLM 应用

测试

Qwen 3.5 9B、Code Llama 13B、DeepSeek-Coder-V2 16B 等 4 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件RAG

论文：用投毒基准污染自改进编码 Agent，令其后续版本写出漏洞代码

提出基准投毒攻击，使自修改编码智能体跨代写出漏洞代码

arXiv

2609.17817

发表

9月16日

层

应用层

场景

编程 Agent

测试

Claude Sonnet 4.5、Qwen3.5-397B、gpt-oss-120b 等 6 个

• 攻击投毒与后门
• 技术潜伏触发

SAGE：基于相似度从少量已验证样本中清洗中毒训练数据

提出 SAGE，用少量已核验样本按相似度清洗投毒训练数据

arXiv

2610.01788

发表

10月2日

层

训练与数据层

场景

模型与 API

测试

ResNet-18、VGG-16

• 防御检测与过滤
• 攻击投毒与后门

研究者提出用零空间投影净化 LoRA 微调 LLM 的后门

用零空间投影净化 LoRA 微调模型后门并保留基座与下游能力

arXiv

2610.00685

发表

10月2日

层

训练与数据层

场景

模型与 API

测试

LLaMA2-7B-Chat、LLaMA2-13B-Chat、Qwen2-7B-Instruct 等 6 个

• 防御模型加固
• 攻击投毒与后门
• 组件微调与开源权重

NEEDLE：通过权重正交化移除 LLM 后门

提出 NEEDLE，用权重正交化在已知触发器时去除大模型后门

arXiv

2610.00348

发表

10月2日

层

模型层

场景

模型与 API

测试

Gemma-3-4B-IT、Qwen3-4B-Instruct-2507、Gemma-3-12B-IT

• 防御模型加固
• 攻击投毒与后门
• 组件微调与开源权重