跳到正文
10月8日 · 周四

Agent 安全 · 论文

找到 27 篇
筛选3

攻击类型

提示注入9投毒与后门8检测规避1

攻击技术

自动化搜索2跨模态载荷1针对防御1潜伏触发6

模型自身风险

欺骗与谋划1失准与价值偏离3Agent 危险操作4

防御类型

模型加固2检测与过滤1指令与数据隔离1权限与审批2

影响

有害内容7越权操作60数据与隐私泄露20输出被操纵27可用性与可靠性8监督失效9滥用能力提升2

系统形态

模型与 API1LLM 应用4AI Agent22编程 Agent4网页与电脑操作3多智能体6

攻击面/入口

用户输入2网页与界面3文档与消息4工具返回5工具与技能描述1代码仓库与依赖1检索语料3记忆写入3Agent 间消息1图像与音视频1训练数据1权重与梯度1分发渠道1

层

应用层26训练与数据层1

系统组件

MCP 与技能1记忆5RAG5护栏与评审1权限与沙箱3微调与开源权重1视觉1嵌入1多模态1

被测模型厂商

Qwen（阿里）24OpenAI21DeepSeek19Google15Meta10Anthropic8智谱 GLM7Kimi（月之暗面）6其他20
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 283 篇还没打标签，不在筛选结果里。
影响：输出被操纵被测模型厂商：DeepSeek被测模型厂商：其他话题：Agent 安全清除全部

另有 283 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2609.37468

    论文提出针对 Agentic RAG 的检索器后门攻击与 DOU 隐藏方法

    提出检索器后门攻击操纵智能体多轮搜索，并用 DOU 隐蔽后门

    arXiv
    2609.37468
    发表
    层
    应用层
    场景
    AI Agent
    测试
    E5、Contriever-MSMARCO、Qwen2.5-7B-Instruct

    摘要论文展示了通过恶意检索器操纵智能体多轮搜索并利用诱饵重塑表征隐蔽后门的可行性与系统风险。

    深度解读完整解读
  3. 防御arXiv 2609.11757

    研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

    提出 A-VIP，将购物意图绑定到支付授权以阻断商户文本操控

    arXiv
    2609.11757
    发表
    层
    应用层
    场景
    AI Agent
    测试
    deepseek-v4-pro、gemini-2.5-flash-lite、gemini-3.1-flash-lite 等 15 个

    摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。

    深度解读完整解读
  4. 评测与基准arXiv 2610.06898

    DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

    提出 DIBench，评测界面注入对移动智能体选择决策的操纵

    arXiv
    2610.06898
    发表
    层
    应用层
    场景
    网页与电脑操作
    测试
    GUI-Owl(32B)、Mai-UI(8B)、Qwen2.5-VL(32B) 等 7 个

    摘要论文提出移动智能体决策完整性基准 DIBench，发现欺诈 UI 注入诱导目标选择并推高完成率，通用防御收益不稳定。

    深度解读完整解读
  5. 攻击arXiv 2610.07645

    SkillPoison：用成功经验投毒自进化 Agent 的技能形成

    提出 SkillPoison，用局部有效的成功经验投毒自进化智能体的技能形成

    arXiv
    2610.07645
    发表
    层
    应用层
    场景
    AI Agent
    测试
    deepseek-v4-flash、Qwen V3.8 Flash、GPT-5.5
    摘要SkillPoison 通过局部有效且验证成功的经验诱导技能过度泛化，在多个评测基准上实现了持久的下游攻击影响。

    SkillPoison 提出了一种针对自进化智能体经验到技能形成过程的攻击范式，通过组织已验证的成功经验诱导技能过度泛化。

    深度解读完整解读
  7. 攻击arXiv 2608.29381

    研究者提出 Agent 检查点回滚的五类安全失效，并在 Hermes、Cline、LangGraph 上实现三种攻击

    提出破坏执行连续性的回滚攻击，揭示检查点恢复的安全故障

    arXiv
    2608.29381
    发表
    层
    应用层
    场景
    AI Agent
    测试
    DeepSeek-v4

    摘要论文系统研究了智能体 C/R 的安全性，分析了合法回滚破坏执行连续性的机理，并实证评估了其普遍性与危害。

    深度解读完整解读
  9. 评测与基准arXiv 2609.31342

    研究揭示过期文档投毒：RAG 检索可让模型放弃原本正确的答案

    构建知识逆转基准，评测陈旧检索证据如何推翻模型原本正确的回答

    arXiv
    2609.31342
    发表
    层
    应用层
    场景
    LLM 应用
    测试
    DeepSeek-V3、DeepSeek-R1、GPT-4o 等 13 个
    摘要论文评测了陈旧检索推翻正确知识的中毒现象，并分析了其内部机制与防御局限。

    这篇论文是对检索增强生成（RAG）中“陈旧文档中毒”现象的实证与机理评估研究。

    深度解读完整解读
  11. 攻击arXiv 2607.05189

    研究者提出 MemGhost，对持久化个人 Agent 实现隐蔽记忆注入

    提出 MEMGHOST，以单封恶意邮件向持久个人智能体注入隐蔽记忆

    arXiv
    2607.05189
    发表
    层
    应用层
    场景
    AI Agent
    测试
    DeepSeek v4 Flash、GPT-5.4、Claude Sonnet 4.6 等 6 个
    摘要总结了论文的研究背景、双代理优化方法 MEMGHOST、全周期实验结果以及作者对记忆信任边界的启示。

    本文研究了持久化个人智能体面临的隐蔽记忆注入威胁，提出了一套兼顾写入、隐蔽与跨会话生效的自动化生成框架与全周期评测基准。

    深度解读完整解读
  12. 评测与基准arXiv 2607.10526

    PASB 基准：自改进个人 Agent 的持久谄媚在后续会话中失败率达 71.9%

    构建 PASB 评测自改进个人 Agent 的跨会话持久谄媚

    arXiv
    2607.10526
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Deepseek-V4-Pro、GPT-5.5、GPT-5.4 等 12 个
    摘要PASB 显示一次被写入的主张会跨会话塑造回答，改笔记比只阻止写入更能降低后续失败。

    PASB 评测自改进个人智能体的持久谄媚：用户主张被智能体自己写入档案、记忆或技能后，新会话里的中立问题仍可能按它作答。

    深度解读完整解读
  14. 攻击arXiv 2609.02774

    CodePoisonRAG：针对检索增强代码生成的知识投毒攻击

    提出 CodePoisonRAG，对检索增强代码生成的知识库投毒以植入漏洞

    arXiv
    2609.02774
    发表
    层
    应用层
    场景
    LLM 应用
    测试
    DeepSeek-Coder-V2 16B、Qwen 3.5 9B、Code Llama 13B 等 4 个

    摘要CodePoisonRAG 展示了 RACG 外部知识库的新攻击面，在较低投毒率下可定向诱发指定漏洞并部分抵御防御。

    深度解读完整解读
  15. 攻击arXiv 2609.17817

    论文：用投毒基准污染自改进编码 Agent，令其后续版本写出漏洞代码

    提出基准投毒攻击，使自修改编码智能体跨代写出漏洞代码

    arXiv
    2609.17817
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    DeepSeek V4 Pro、Claude Sonnet 4.5、Qwen3.5-397B 等 6 个

    摘要论文报告了恶意基准能污染自修改代码智能体的进化过程并持续输出漏洞，警示系统设计需纳入安全约束。

    深度解读完整解读
  16. 防御arXiv 2610.00850

    AuraForge：为训练安全编码 Agent 扩展安全监督

    提出 AuraForge，从漏洞修复合成安全测试并监督训练编码智能体

    arXiv
    2610.00850
    发表
    层
    训练与数据层
    场景
    编程 Agent
    测试
    DeepSeek-V4.1-Flash、Qwen3.5-4B、Muse Spark 1.3 等 11 个
    摘要AuraForge 用攻击效果测试和防泄露环境做成 AuraGym，合成监督的误拒更低，训出的 4B 模型增益高于人工测试。

    AuraForge 把真实仓库的历史漏洞修复变成可执行训练任务，用来监督编程智能体同时满足功能请求和隐含的安全要求。

    深度解读完整解读
  17. 评测与基准arXiv 2609.38604

    Drift-Bench++：在沟通失误与意图漂移下评测交互式意图对齐

    提出 Drift-Bench++与 GRIP，评测智能体在错位与静默漂移下的意图对齐

    arXiv
    2609.38604
    发表
    层
    应用层
    场景
    AI Agent
    测试
    DeepSeek-V4-Pro、五个 LLM backbone（Figure 3，论文未在正文逐一列出名称）
    摘要Drift-Bench++ 用可执行错位和静默漂移评测交互意图对齐，澄清有帮助但仍有差距。

    Drift-Bench++ 是面向 Interactive Intent Alignment 的可执行基准：智能体要在用户说错、目标会变、耐心有限时，持续跟上当前意图。

    深度解读完整解读
  18. 防御arXiv 2609.04159

    Sentinel-RL：将拓扑推理从 LLM 智能体中卸载到安全运营中心

    提出 Sentinel-RL，将拓扑推理卸载到图策略并约束遏制动作

    arXiv
    2609.04159
    发表
    层
    应用层
    场景
    AI Agent
    测试
    HetGAT、PPO、4-bit quantized 8B model
    摘要Sentinel-RL 用图编码器与 PPO 承担拓扑决策，LLM 负责叙述与门控，并在 LANL 上报告检测与时延。

    Sentinel-RL 是面向 SOC 的神经符号架构：拓扑决策离开 LLM，改由认证图上的 HetGAT 与 PPO 完成。

    深度解读完整解读
  19. 攻击arXiv 2609.28613

    研究：提示注入可改变 Jev 决策模型的行动概率

    测量间接提示注入对类型化概率决策的动作劫持

    arXiv
    2609.28613
    发表
    层
    应用层
    场景
    模型与 API
    测试
    jev-1.13.0
    摘要封闭动作集改变提示注入的表现，但没有去掉概率被不可信内容移动的风险。

    作者在 jev-1.13.0 上研究 decision hijacking：不可信内容能否在用户任务和可选动作都不变时，把类型化决策推向攻击者目标。

    深度解读完整解读
加载更多