全部论文

论文提出针对 Agentic RAG 的检索器后门攻击与 DOU 隐藏方法

提出检索器后门攻击操纵智能体多轮搜索，并用 DOU 隐蔽后门

arXiv

2609.37468

发表

9月26日

层

应用层

场景

AI Agent

测试

E5、Contriever-MSMARCO、Qwen2.5-7B-Instruct

• 攻击投毒与后门
• 技术潜伏触发
• 组件RAG
• +4+4

研究者提出对抗性重新包装：不改科学内容仅调整表述即可拉高 AI 审稿分数

提出对抗重构，仅改表述以拉高 AI 审稿分数

arXiv

2606.13044

发表

6月11日

层

应用层

场景

LLM 应用

测试

Claude Sonnet 4、Claude Sonnet 4.5、GPT-5-mini

• 技术自动化搜索
• 组件护栏与评审

Purdue 提出 Pact：将欺骗作为行为遗忘

提出 PACT，遗忘推理模型在压力下的欺骗行为并保留上下文理解

arXiv

2609.38909

发表

9月30日

层

训练与数据层

场景

模型与 API

攻击者

白盒

测试

DeepSeek-R1-Distill-Qwen-32B、QwQ-32B

• 防御模型加固
• 攻击模型篡改
• 风险欺骗与谋划
• 组件微调与开源权重
• +1+1

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

GPT-5.6-Sol、GPT-5.6-Terra、GPT-5.6-Luna 等 14 个

研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策

arXiv

2609.11757

发表

9月10日

层

应用层

场景

AI Agent

测试

gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱
• +1+1

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

SkillPoison：用成功经验投毒自进化 Agent 的技能形成

提出 SkillPoison，用局部有效的成功经验投毒自进化智能体的技能形成

arXiv

2610.07645

发表

10月6日

层

应用层

场景

AI Agent

测试

deepseek-v4-flash、Qwen V3.8 Flash、GPT-5.5

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

BazaarBench：评估 LLM Agent 在去中心化 C2C 市场中的代理安全

构建 BazaarBench 评测 C2C 市场中 Agent 的违规失信

arXiv

2610.06748

发表

10月5日

层

应用层

场景

多智能体

测试

GPT-5.5、GPT-5.4、GPT-5.4-mini 等 5 个

• 攻击恶意使用
• 风险欺骗与谋划

研究者训练出按多智能体拓扑触发的代码后门模型

提出拓扑条件后门，使模型在推断多智能体部署时向代码插入隐蔽漏洞

arXiv

2610.05793

发表

10月5日

层

训练与数据层

场景

编程 Agent、多智能体

测试

Qwen2.5-7B-Instruct、Qwen2.5-Coder-7B-Instruct

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重

MBZUAI 提出可校准的真实图像认证方法

提出校准重合成方法，以生成器反演保真度认证真实图像并防御对抗扰动

arXiv

2610.05870

发表

10月5日

层

应用层

场景

LLM 应用

攻击者

白盒

测试

SD2.1、SD3、SD3.5 等 10 个

• 防御检测与过滤
• 攻击检测规避
• 组件图像生成
• +1+1

HDI 攻击：篡改 GraphRAG 辅助结构可致 88–94% 攻击成功率

提出 HDI 攻击以篡改 GraphRAG 辅助结构破坏检索

arXiv

2610.02373

发表

10月1日

层

应用层

场景

LLM 应用

测试

Microsoft GraphRAG、HippoRAG2、text-embedding-3-small 等 4 个

• 攻击投毒与后门
• 组件RAG

研究揭示无触发投毒审计缺口：事实答对不等于决策正确

揭示无触发虚假训练下事实回答与下游决策的审计差距

arXiv

2610.02886

发表

10月2日

层

训练与数据层

场景

模型与 API

测试

Qwen2.5-0.5B、Qwen2.5-1.5B、Qwen2.5-3B 等 9 个

• 攻击投毒与后门

研究：个人 AI Agent 会按推断财富差别推荐，屏蔽属性反而放大差距

测量个人智能体是否会按私人上下文推断财富并推荐高价选项

arXiv

2609.24927

发表

9月22日

层

应用层

场景

AI Agent

测试

GPT-5.5、GPT-5、GPT-5-mini 等 13 个

• 风险失准与价值偏离

上海交大等提出 trait-direction drift 机制与探针空间走廊正则，抑制蒸馏中的潜隐特质迁移

提出特征方向漂移机制与探针空间走廊正则，抑制蒸馏潜隐特质迁移

arXiv

2609.01091

发表

9月1日

层

训练与数据层

场景

模型与 API

测试

Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、Gemma-3-12B-IT 等 4 个

• 防御模型加固
• 攻击投毒与后门
• 风险失准与价值偏离
• 组件微调与开源权重

研究者提出 Agent 检查点回滚的五类安全失效，并在 Hermes、Cline、LangGraph 上实现三种攻击

提出利用检查点回滚破坏智能体执行连续性的攻击

arXiv

2608.29381

发表

8月30日

层

应用层

场景

AI Agent

测试

DeepSeek-v4

• 组件权限与沙箱

研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击

提出技能名称抢注攻击，利用智能体虚构技能名实施供应链劫持

arXiv

2607.12340

发表

7月14日

层

应用层

场景

编程 Agent

测试

GLM-4.5-Air、GPT-5.4-mini、Claude Sonnet 4.6 等 10 个

• 攻击投毒与后门
• 风险幻觉与编造
• 技术诱导选用
• 组件MCP 与技能
• +1+1

MisKnow-Agent 评测

评测深度研究 Agent 是否把检索误导文档采纳为自身结论

arXiv

2607.20891

发表

7月23日

层

应用层

场景

AI Agent

测试

Gemini Deep Research、DeepSeek-V4 Pro、Qwen3.5-397B 等 4 个

• 攻击投毒与后门
• 组件RAG

研究揭示过期文档投毒：RAG 检索可让模型放弃原本正确的答案

评测 RAG 中过期文档推翻模型原本正确回答的现象

arXiv

2609.31342

发表

9月25日

层

应用层

场景

LLM 应用

测试

GPT-4o、GPT-4.1、Claude-Opus-4.5 等 13 个

• 组件RAG

SecOPD 用同策略蒸馏把自适应提示注入攻击成功率降至 9.0%

提出 SecOPD 同策略蒸馏微调，降低模型对自适应提示注入的顺从

arXiv

2608.21500

发表

8月22日

层

应用层

场景

AI Agent

测试

Qwen3.6-27B (Undefended)、Meta-SecAlign、SecOPD

• 防御模型加固
• 攻击提示注入

Counter-GEO-Bench：现有护栏难挡 GEO 虚假信息

构建 COUNTER-GEO-BENCH，评测生成式搜索中的 GEO 虚假信息防御

arXiv

2609.02316

发表

9月2日

层

应用层

场景

LLM 应用

测试

Gemma-4-31B-IT、Qwen-3.5-35B-A3B、Llama-4-Scout-17B-16E 等 11 个

• 防御检测与过滤
• 攻击提示注入
• 组件RAG
• +1+1