跳到正文
10月8日 · 周四

全部论文

找到 20 篇
筛选3

攻击类型

越狱2提示注入14投毒与后门9检测规避1拒绝服务2

攻击技术

梯度与表征优化1自动化搜索7编码与混淆4跨模态载荷3针对防御3潜伏触发5诱导选用2

防御类型

检测与过滤1指令与数据隔离2权限与审批2

影响

有害内容16越权操作18数据与隐私泄露21输出被操纵10可用性与可靠性2监督失效3滥用能力提升2

系统形态

LLM 应用1AI Agent19编程 Agent7网页与电脑操作3多智能体1

攻击者权限

黑盒1白盒1

攻击面/入口

用户输入3网页与界面4文档与消息3工具返回5工具与技能描述8代码仓库与依赖3记忆写入2图像与音视频3权重与梯度1分发渠道7推理服务与硬件1

层

应用层18训练与数据层1基础设施层1

系统组件

MCP 与技能9记忆2护栏与评审3监控器1权限与沙箱2微调与开源权重1视觉3多模态3

被测模型厂商

OpenAI23Qwen（阿里）20DeepSeek13Google12Anthropic11智谱 GLM8Kimi（月之暗面）8Meta5Mistral5其他17
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 701 篇还没打标签，不在筛选结果里。
影响：越权操作影响：可用性与可靠性被测模型厂商：Qwen（阿里）清除全部

另有 701 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2604.02623

    论文提出 eTAMP 攻击：网页内容注入可跨会话污染 Web Agent 记忆

    提出 eTAMP，通过网页注入跨会话污染 Web 智能体轨迹记忆

    arXiv
    2604.02623
    发表
    层
    应用层
    场景
    网页与电脑操作
    测试
    Qwen2.5-VL-72B、Qwen3-VL-32B、Qwen3.5-122B-A10B 等 7 个
    摘要论文提出了基于环境注入的跨任务记忆投毒攻击 eTAMP，作者报告智能体在环境压力下易感性增加且能力与安全并不协同。

    该论文评估了基于大语言模型的 Web 智能体在利用历史交互轨迹进行记忆增强时的安全脆弱性。

    深度解读完整解读
  2. 攻击arXiv 2610.09240

    WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

    提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作

    arXiv
    2610.09240
    发表
    层
    应用层
    场景
    网页与电脑操作
    测试
    Qwen2-VL-7B、LLaVA-v1.5-13B、LLaVA-v1.6-34B 等 6 个
    摘要论文提出了针对网络智能体的端到端视觉红队框架 WebMirage，揭示了从视觉定位到浏览器执行的安全脆弱性。

    WebMirage 是一个面向视觉定位网络智能体的流水线感知端到端红队攻击框架。

    深度解读完整解读
  5. 攻击arXiv 2609.39607

    Pretext 攻击绕过 NVIDIA SkillSpector 等 Agent 技能扫描器

    提出 PRETEXT，迭代改写技能文本以绕过扫描并执行木马行为

    arXiv
    2609.39607
    发表
    层
    应用层
    场景
    编程 Agent
    攻击者
    白盒
    测试
    qwen3t (qwen/qwen3-235b-a22b-thinking-2507)、glm (z-ai/glm-5.1)、gpt-oss (openai/gpt-oss-120b) 等 4 个
    摘要论文提出了针对多阶段技能检测器的白盒攻击，揭示了单纯依赖大模型自适应检测的局限。

    PRETEXT 是一项针对基于“静态规则加语义大模型”的智能体技能安全检测框架的白盒攻击与协同进化评估研究。

    深度解读完整解读
  7. 攻击arXiv 2610.00430

    Memetic Trojans：利用社交传染在 LLM Agent 网络中传播对抗载荷

    提出 memetic trojans，把对抗载荷嵌入智能体自发转发的社会传染内容

    arXiv
    2610.00430
    发表
    层
    应用层
    场景
    多智能体
    测试
    qwen-32B、gpt-oss-120B、deepseek-v4.1-flash 等 5 个
    摘要memetic trojans 用内生社会传染携带载荷。

    Memetic trojans 是一类网络介导攻击：对抗载荷搭在智能体本来就会转发和点赞的内容上扩散，转发者不必被攻陷，也不必执行“请继续复制”的指令。

    深度解读完整解读
  8. 攻击arXiv 2609.04533

    Repeat-After-Me：针对黑盒 VLM 的自适应视觉提示注入攻击

    提出 Repeat-After-Me，以图像前缀诱导智能体调用工具或泄露隐私

    arXiv
    2609.04533
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Qwen3.6-27B、Qwen3-VL-32B-Instruct、Qwen3-VL-4B-Instruct 等 11 个

    摘要论文提出了针对黑盒 VLM 的前缀诱导自适应视觉提示注入，在多款模型上诱发了工具调用与隐私泄露。

    深度解读完整解读
  9. 攻击arXiv 2608.06862

    SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化

    提出 SYNCHAIN，以定向微调诱导智能体自合成跨任务潜伏工件

    arXiv
    2608.06862
    发表
    层
    应用层
    场景
    网页与电脑操作、编程 Agent
    测试
    Qwen3.5-9B、Qwen3.5-8B、Llama-3.1-8B 等 5 个

    摘要论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。

    深度解读完整解读
  11. 攻击arXiv 2609.14060

    AgentQ：针对 LLM Agent 的量化条件后门攻击

    提出 AGENTQ，向开源智能体权重植入仅在量化后触发的恶意工具后门

    arXiv
    2609.14060
    发表
    层
    训练与数据层
    场景
    AI Agent
    测试
    Qwen3.5-2B、Qwen3.5-4B、Qwen3.5-9B 等 6 个

    摘要论文研究了智能体量化条件后门风险，提出 AGENTQ 在保持效用的同时实现全精度隐蔽与量化后生效。

    深度解读完整解读
  12. 攻击arXiv 2609.22510

    特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

    提出爆炸提示词，用条件触发的间接注入延迟诱发恶意工具调用

    arXiv
    2609.22510
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Qwen2.5-32B-Instruct、Qwen2.5-72B-Instruct、Llama-3.1-8B-Instruct 等 14 个
    摘要论文揭示了条件触发使提示注入绕过防御并在触发时执行工具，提出轻量检测器并在摄入期有效防范。

    论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。

    深度解读完整解读
  13. 攻击arXiv 2609.28585

    论文提出持久计费状态概念，揭示工具调用 LLM Agent 的拒绝钱包攻击与防御

    提出工具调用 Agent 的拒绝钱包攻击及主机侧计费约束

    arXiv
    2609.28585
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Qwen-3-235B、GPT-4o、GPT-4o-mini 等 9 个
    摘要已准入工具返回的跨轮保留会重复计费。

    这篇工作把工具调用智能体里跨轮保留、并被提供商反复计费的外部工具返回定义为 persistent billable state，并把它的主机侧再次送入决定当作控制点。。

    深度解读完整解读
  14. 攻击arXiv 2609.30383

    研究者提出技能级联攻击

    提出技能级联攻击，把恶意目标拆进多个技能以绕过单技能检测

    arXiv
    2609.30383
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Qwen 3 72B、GPT-5.4、GPT-5.4 Mini 等 10 个

    摘要论文探讨了多技能智能体系统面临的技能级联攻击风险，提出自动化红队框架与基准集，指出跨技能交互存在安全防护盲区。

    深度解读完整解读
  16. 攻击arXiv 2609.33628

    用课程强化学习对前沿模型做提示注入红队测试

    提出跨目标课程强化学习，生成间接提示注入以劫持智能体

    arXiv
    2609.33628
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Qwen3-4B-Instruct-2507、Qwen3.6-27B-SecOPD、GPT-4o-mini 等 14 个
    摘要提出跨目标模型课程强化学习，攻破前沿模型冷启动瓶颈并实现跨模型迁移。

    该研究针对强化学习自动化提示注入红队在攻击前沿大模型时的冷启动问题，提出了一种基于目标模型鲁棒性递进的课程强化学习方法。

    深度解读完整解读
  18. 攻击arXiv 2609.34518

    SEAD 论文提出工具型 Agent 的状态视角攻击与防御方法 DART 与 SAGE

    提出工具智能体的状态攻击 DART 与预执行防御 SAGE

    arXiv
    2609.34518
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Huihui-Qwen3.8-27B-abliterated、Qwen3-4B-Instruct-2507、Qwen3.8-27B 等 8 个

    摘要论文提出状态控制框架 SEAD、攻击 DART 与防御 SAGE，实验显示执行反馈与环境探测在攻防交互中具有关键作用。

    深度解读完整解读
  19. 攻击arXiv 2609.35912

    MMSkillRisk：多模态技能图像中的隐藏指令可诱导 Agent 执行未授权操作

    构建多模态技能图像攻击基准 MMSkillRisk 并设计 NCVA

    arXiv
    2609.35912
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Qwen3.8-Flash-Next、GPT-5.6-sol、Kimi-K2.6 等 6 个

    摘要论文提出 MMSkillRisk 基准与 NCVA 攻击，揭示多模态技能中教学图像潜藏指令可引发未授权操作并与良性任务共存。

    深度解读完整解读
已经到底了