全部论文

研究者提出 Breadcrumbing 长程攻击，可劫持 DeepResearch 类搜索 Agent 的证据链

提出权威链劫持 ACH 与策略演化 TGSE，劫持搜索 Agent 的证据链

arXiv

2608.04565

发表

8月5日

层

应用层

场景

AI Agent

测试

Qwen3.5-9B、Gemma4-31B、DeepResearch 等 8 个

• 攻击提示注入
• 技术自动化搜索
• 组件RAG

研究者系统研究 LLM 智能体记忆投毒攻击并提出 MPBench 基准

系统研究 LLM 智能体记忆投毒并构建基准 MPBench

arXiv

2606.04329

发表

6月3日

层

应用层

场景

AI Agent

测试

GPT-OSS-120B、Meta-Llama-3.1-70B-Instruct、Deberta-v3-base 等 6 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

GPT-5.6-Sol、GPT-5.6-Terra、GPT-5.6-Luna 等 14 个

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

研究者提出 Agent 检查点回滚的五类安全失效，并在 Hermes、Cline、LangGraph 上实现三种攻击

提出利用检查点回滚破坏智能体执行连续性的攻击

arXiv

2608.29381

发表

8月30日

层

应用层

场景

AI Agent

测试

DeepSeek-v4

• 组件权限与沙箱

研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击

提出技能名称抢注攻击，利用智能体虚构技能名实施供应链劫持

arXiv

2607.12340

发表

7月14日

层

应用层

场景

编程 Agent

测试

GLM-4.5-Air、GPT-5.4-mini、Claude Sonnet 4.6 等 10 个

• 攻击投毒与后门
• 风险幻觉与编造
• 技术诱导选用
• 组件MCP 与技能
• +1+1

SecOPD 用同策略蒸馏把自适应提示注入攻击成功率降至 9.0%

提出 SecOPD 同策略蒸馏微调，降低模型对自适应提示注入的顺从

arXiv

2608.21500

发表

8月22日

层

应用层

场景

AI Agent

测试

Qwen3.6-27B (Undefended)、Meta-SecAlign、SecOPD

• 防御模型加固
• 攻击提示注入

Counter-GEO-Bench：现有护栏难挡 GEO 虚假信息

构建 COUNTER-GEO-BENCH，评测生成式搜索中的 GEO 虚假信息防御

arXiv

2609.02316

发表

9月2日

层

应用层

场景

LLM 应用

测试

Gemma-4-31B-IT、Qwen-3.5-35B-A3B、Llama-4-Scout-17B-16E 等 11 个

• 防御检测与过滤
• 攻击提示注入
• 组件RAG
• +1+1

ISM：通过语义匹配隐式操纵 LLM Agent 的技能选择

提出 ISM，用语义匹配隐式操纵 Agent 技能选择

arXiv

2609.02035

发表

9月2日

层

应用层

场景

AI Agent

测试

Llama-2-7B、Llama-3-8B、Llama-3.1-8B 等 8 个

• 攻击投毒与后门
• 技术诱导选用
• 组件MCP 与技能

论文提出带类型溯源与断言护栏，防止持久化 AI Agent 把不可信输入当作自身历史

提出类型化溯源与断言护栏，约束持久 Agent 的自传断言释放

arXiv

2609.02127

发表

9月2日

层

应用层

场景

AI Agent

• 防御指令与数据隔离
• 攻击投毒与后门
• 组件记忆
• +2+2

Provenance-Aware Transformers：用来源感知架构分离可信边界以防御间接提示注入

提出 Provenance-Aware Transformers，隔离不可信来源防御间接提示注入

arXiv

2609.21088

发表

9月18日

层

应用层

场景

LLM 应用

测试

SmolLM2-360M-Instruct、LLaMA-3-8B-Instruct、Qwen2.5-7B-Instruct 等 4 个

• 防御指令与数据隔离
• 攻击提示注入
• +1+1

研究者提出技能级联攻击

提出技能级联攻击，将恶意目标分散于多个技能以绕过单技能检测

arXiv

2609.30383

发表

9月25日

层

应用层

场景

AI Agent

测试

GPT-5.4、GPT-5.4 Mini、Claude Opus 4.6 等 10 个

• 攻击投毒与后门
• 技术针对防御
• 组件MCP 与技能
• +2+2