另有 78 篇论文还没打上分类标签，暂不在筛选结果里。
提出 A-VIP，将购物意图绑定到支付授权以阻断商户文本操控
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
提出 multi-CaMeL，在多智能体调用边界隔离可信指令与不可信数据
摘要论文针对多智能体中单体防御不组合的边界清洗问题，提出 multi-CaMeL 协议彻底阻断了 MultiAgentDojo 上的注入攻击。
提出 PAA 路径对齐归因，审计编程智能体边界动作前的分段提示注入
本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。
提出 COBRA 双 LLM 架构，防御计算机使用智能体的分支转向攻击
摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
用 MMPIBench 评测智能体框架的多模态提示注入
摘要论文提出 MMPIBench 评测多模态提示注入对智能体的影响，发现模型主导行为、尝试远超完成，音频通道缺乏防护。
提出 SecOPD 同策略蒸馏微调，降低模型对自适应提示注入的顺从
构建 COUNTER-GEO-BENCH，评测生成式搜索对信息扭曲 GEO 的防御
摘要论文构建了针对 GEO 虚假信息的首个防御基准，揭示通用护栏的失效与反作用，并提出了有效的轻量对比检测基线。
提出 MEMGHOST，以单封恶意邮件向持久个人智能体注入隐蔽记忆
本文研究了持久化个人智能体面临的隐蔽记忆注入威胁，提出了一套兼顾写入、隐蔽与跨会话生效的自动化生成框架与全周期评测基准。
提出上下文特权提升攻击，借助记忆、技能与仓库内容操纵编程智能体
系统分析智能体支付协议 AP2，揭示合法签名无法阻止前置上下文操纵
提出 SkillGuard，用可达性切断污染后通往禁止状态的技能调用
提出 UCM，用 DOM 掩码与类型受限隔离模型隔开网页智能体与不可信内容
提出 SkillSecurer，检测定位并修补智能体技能中的提示注入
提出 memetic trojans，把对抗载荷嵌入智能体自发转发的社会传染内容
Memetic trojans 是一类网络介导攻击：对抗载荷搭在智能体本来就会转发和点赞的内容上扩散，转发者不必被攻陷，也不必执行“请继续复制”的指令。
提出 TS-Guard 与 TS-Flow，执行前检测并修正智能体有害工具调用
ToolSafe 研究 LLM 智能体在工具执行前的步骤级安全：基准 TS-Bench、护栏 TS-Guard，以及反馈驱动框架 TS-Flow。
提出 Repeat-After-Me，以图像前缀诱导智能体调用工具或泄露隐私
摘要论文提出了针对黑盒 VLM 的前缀诱导自适应视觉提示注入，在多款模型上诱发了工具调用与隐私泄露。
测量间接提示注入对类型化概率决策的动作劫持
作者在 jev-1.13.0 上研究 decision hijacking：不可信内容能否在用户任务和可选动作都不变时，把类型化决策推向攻击者目标。
提出 LongPIBench，评测长文档场景下的提示注入攻击与防御
摘要论文构建长文本提示注入基准 LongPIBench，揭示启发式与优化攻击在长文档中的高有效性及现有防御的大幅失效。
提出 ECLIPSE 双通道自演化提示注入，劫持长程智能体动作轨迹
构建 Emergence World，评测长时程多智能体对抗韧性与群体失效
摘要作者通过长期平行世界实验指出模型对齐不具备可组合性，单模型群体会产生社会奉承、协同退缩及语言不透明等失效。