攻击arXiv:2610.07645 · 10月6日
SkillPoison：用成功经验投毒自进化 Agent 的技能形成
提出 SkillPoison，用局部有效的成功经验投毒自进化智能体的技能形成
AI Agent测试deepseek-v4-flash、Qwen V3.8 Flash、GPT-5.5应用层
摘要SkillPoison 通过局部有效且验证成功的经验诱导技能过度泛化，在多个评测基准上实现了持久的下游攻击影响。
SkillPoison 提出了一种针对自进化智能体经验到技能形成过程的攻击范式，通过组织已验证的成功经验诱导技能过度泛化。
完整解读
攻击arXiv:2609.39065 · 9月30日
TrustProbe 在 11 个开源 Agent 中发现 104 个技能信任链漏洞
提出 TrustProbe，挖掘技能内容流向特权操作的信任链漏洞
编程 Agent测试deepseek-v4-flash、Kimi Code CLI、Qwen Code 等 5 个应用层
完整解读
攻击arXiv:2609.39607 · 9月30日
Pretext 攻击绕过 NVIDIA SkillSpector 等 Agent 技能扫描器
提出 PRETEXT，迭代改写技能文本以绕过扫描并执行木马行为
编程 Agent攻击者白盒测试glm (z-ai/glm-5.1)、qwen3t (qwen/qwen3-235b-a22b-thinking-2507)、gpt-oss (openai/gpt-oss-120b) 等 4 个应用层
摘要论文提出了针对多阶段技能检测器的白盒攻击，揭示了单纯依赖大模型自适应检测的局限。
PRETEXT 是一项针对基于“静态规则加语义大模型”的智能体技能安全检测框架的白盒攻击与协同进化评估研究。
完整解读
攻击arXiv:2609.26761 · 9月23日
A2M：针对 MCP 生态的两阶段 Agent 劫持框架
提出两阶段框架 A2M，优化 MCP 工具元数据与返回载荷以劫持智能体
AI Agent测试GLM-4.6、Qwen3-Max、DeepSeek-V3.1 等 5 个应用层
完整解读
攻击arXiv:2610.01564 · 10月1日
APEX 用跨技能链劫持 LLM Agent
提出 APEX，用跨技能进度记录夹带虚假授权劫持智能体
编程 Agent测试Claude Sonnet 5、DeepSeek V4 Flash、GPT-5.4 等 6 个应用层
完整解读
攻击arXiv:2609.35576 · 9月29日
研究提出跨 LLM 助手的记忆跳跃攻击
提出跨独立助手的工件介导记忆跳跃自传播攻击
多智能体测试GPT-5.6 Luna、Kimi-K2.6、GPT-OSS-120B 等 6 个应用层
摘要论文证实持久工件与内存可形成跨智能体传播链，揭示了将共享工件纳入安全防线的重要意义。
该论文系统研究并量化了通过共享持久工件在具有独立私有内存的 LLM 智能体之间发生自传播的“工件介导传播”攻击风险。
完整解读
攻击arXiv:2608.29381 · 8月30日
研究者提出 Agent 检查点回滚的五类安全失效，并在 Hermes、Cline、LangGraph 上实现三种攻击
提出破坏执行连续性的回滚攻击，揭示检查点恢复的安全故障
AI Agent测试DeepSeek-v4应用层
- Agent 危险操作
- 权限与沙箱
摘要论文系统研究了智能体 C/R 的安全性，分析了合法回滚破坏执行连续性的机理，并实证评估了其普遍性与危害。
完整解读
攻击arXiv:2607.12340 · 7月14日
研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击
提出技能名抢注攻击，利用智能体虚构技能名劫持技能供应链
编程 Agent测试GLM-4.5-Air、GPT-5.4-mini、Claude Sonnet 4.6 等 10 个应用层
摘要研究证实智能体虚构技能名具有高发生率与可预测性，现有防御难以兼顾安全与效用，亟需注册表结构性防护。
本研究系统揭示了大模型智能体技能推荐场景下的虚构技能名称安全风险，将其形式化为一种新型供应链抢注攻击。
完整解读
攻击arXiv:2609.01222 · 9月1日
研究者提出上下文权限提升攻击，12 款 Agent 框架均受影响
提出上下文特权提升攻击，借助记忆、技能与仓库内容操纵编程智能体
编程 Agent测试GPT-5.5、GPT-5.4 mini、Claude-Sonnet-4.6 等 7 个应用层
完整解读
攻击arXiv:2608.23858 · 8月25日
研究者对 Google AP2 v0.2 做系统安全分析，识别 48 项威胁
系统分析智能体支付协议 AP2，揭示合法签名无法阻止前置上下文操纵
AI Agent测试gpt-5.3、gpt-5.5应用层
完整解读
攻击arXiv:2609.02774 · 9月3日
CodePoisonRAG：针对检索增强代码生成的知识投毒攻击
提出 CodePoisonRAG，对检索增强代码生成的知识库投毒以植入漏洞
LLM 应用测试Qwen 3.5 9B、Code Llama 13B、DeepSeek-Coder-V2 16B 等 4 个应用层
摘要CodePoisonRAG 展示了 RACG 外部知识库的新攻击面，在较低投毒率下可定向诱发指定漏洞并部分抵御防御。
完整解读
攻击arXiv:2609.03884 · 9月3日
HookPry：利用插件生命周期钩子更新劫持 AI Agent 框架
提出 HOOKPRY，利用插件生命周期钩子更新劫持智能体框架执行命令
编程 Agent测试Claude Sonnet 4.6、DeepSeek-V4-Pro、Kimi-K2.6 等 6 个应用层
完整解读
攻击arXiv:2608.06862 · 8月7日
SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化
提出 SYNCHAIN，以定向微调诱导智能体自合成跨任务潜伏工件
网页与电脑操作编程 Agent测试Qwen3.5-9B、Llama-3.1-8B、Ministral-3-8B 等 5 个应用层
摘要论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。
完整解读
攻击arXiv:2609.01023 · 9月1日
Akrasia：针对推理型代码 LLM 的隐蔽后门攻击
提出 AKRASIA 推断期后门，用代码级触发器与伪装推理操纵代码模型
编程 Agent测试Claude-Sonnet-5、GPT-5.5、Gemini-3.5-flash 等 7 个提示层
摘要论文针对推理代码大模型提出了隐蔽推断期后门攻击 AKRASIA，揭示了模型思维链可被利用进行欺骗性伪装的安全隐患。
完整解读

已经到底了