跳到正文
10月9日 · 周五

Google DeepMind · 论文

找到 5 篇
筛选2

攻击类型

越狱1提示注入3检测规避1

攻击技术

多轮渐进1角色扮演与说服2潜伏触发1

防御类型

检测与过滤1指令与数据隔离1权限与审批1

影响

有害内容1越权操作2输出被操纵2

系统形态

LLM 应用1AI Agent4编程 Agent1多智能体1

攻击者权限

黑盒2无盒1

攻击面/入口

用户输入1网页与界面1文档与消息2工具返回2工具与技能描述1代码仓库与依赖1Agent 间消息1

层

提示层10模型层1应用层5训练与数据层0

系统组件

MCP 与技能1护栏与评审1权限与沙箱1

被测模型厂商

其他5
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 12 篇还没打标签，不在筛选结果里。
层：应用层层：训练与数据层话题：Google DeepMind清除全部

另有 12 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2607.03968

    研究揭示 IDE 编程 Agent 的工作流级越狱：GitHub Copilot 四后端 816/816 生成有害内容

    提出工作流级越狱构建，经多轮开发工作流诱导编程 Agent 在代码中写出有害内容

    arXiv
    2607.03968
    发表
    层
    应用层
    场景
    编程 Agent
    攻击者
    黑盒、无盒
    测试
    Claude Sonnet 4.6、Claude Haiku 4.5、Gemini 3.1 Pro 等 5 个

    摘要论文揭示了 IDE 编程智能体在多轮开发工作流中会绕过单轮拒答并自行写出有害代码，呼吁防御转向工作流与代码产物级审查。

    深度解读完整解读
  2. 攻击arXiv 2609.11757

    研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

    提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策

    arXiv
    2609.11757
    发表
    层
    应用层
    场景
    AI Agent
    测试
    gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个

    摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。

    深度解读完整解读
  3. 攻击arXiv 2609.19722

    ALIBI：向二进制注入虚假安全叙事可让 LLM 恶意软件分析器误判

    提出 ALIBI，向恶意二进制注入不执行掩护叙事使分析器误判为良性

    arXiv
    2609.19722
    发表
    层
    应用层
    场景
    LLM 应用
    攻击者
    黑盒
    测试
    Gemini 2.5 Pro、GPT-5.5 Pro、Claude Opus 4.7 等 4 个
    摘要ALIBI 用二进制内的掩护叙事重释可疑静态证据，Gemini 上翻转多，另两模型主要为降级。

    ALIBI 是针对 LLM 恶意软件分诊的语义掩护叙事攻击：不覆盖系统指令，而把仍可见的可疑静态证据重释成良性安全产品的预期行为。

    深度解读完整解读
  5. 攻击arXiv 2609.22510

    特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

    提出条件触发的爆炸提示词，延迟激活 Agent 的间接提示注入

    arXiv
    2609.22510
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Llama-3.1-8B-Instruct、Llama-3.1-70B-Instruct、Qwen2.5-32B-Instruct 等 14 个
    摘要论文揭示了条件触发使提示注入绕过防御并在触发时执行工具，提出轻量检测器并在摄入期有效防范。

    论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。

    深度解读完整解读
已经到底了