隐私与数据泄露 · 论文

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

测试

GPT-4o、Gemini 3 Flash、Claude Sonnet 4 等 7 个

• 攻击提示注入
• 技术自动化搜索

研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题

提出利用路由元数据推断敏感话题的侧信道攻击

arXiv

2610.09981

发表

10月7日

层

基础设施层

场景

LLM 应用

测试

RouteLLM (BERT router)、notdiamond-0001、Vela (vLLM Semantic Router) 等 6 个

• 攻击提取与窃取
• 技术侧信道

论文提出 eTAMP 攻击：网页内容注入可跨会话污染 Web Agent 记忆

提出 eTAMP，通过网页注入跨会话污染 Web 智能体轨迹记忆

arXiv

2604.02623

发表

4月

层

应用层

场景

网页与电脑操作

测试

GPT-5-mini、GPT-5.2、GPT-OSS-120B 等 7 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

研究：多向量视觉文档索引可被反演还原页面内容

提出流匹配逆向框架，从多向量视觉文档索引重构页面

arXiv

2610.09920

发表

10月7日

层

应用层

场景

LLM 应用

测试

Tomoro-ColQwen3-8B、ColQwen3.5-4.5B、Tomoro-colqwen3-embed-4b 等 13 个

• 攻击提取与窃取
• 组件嵌入
• +2+2

MemLeak 研究：多租户 Agent 共享向量记忆库存在跨用户记忆泄露

评估多租户智能体共享向量记忆的跨用户泄露与主动桥接

arXiv

2610.04195

发表

10月3日

层

应用层

场景

AI Agent

测试

Gemini 2.5 Flash、Claude Sonnet 4.5、all-MiniLM-L6-v2 等 5 个

• 攻击提取与窃取
• 技术诱导选用
• 组件记忆
• +2+2

TranScope：利用 CPU 性能计数器对 Transformer 做成员推断攻击

提出 TRANSCOPE，用 CPU 硬件计数器推断训练集成员

arXiv

2610.06848

发表

10月5日

层

基础设施层

场景

模型与 API

攻击者

黑盒

测试

BERT (4.4M-340M)、ViT (22M-307M)、Pythia (70M-2.8B) 等 5 个

• 攻击提取与窃取
• 技术侧信道

StegoMemory 红队测试：智能体持久记忆可被用作跨会话隐蔽信道

用 StegoMemory 测试智能体持久记忆作为跨会话隐写信道的可行性

arXiv

2610.04589

发表

10月3日

层

应用层

场景

AI Agent

测试

Llama 3.1 405B、Claude 3.5 Sonnet、GPT-4o 等 13 个

• 攻击投毒与后门
• 技术编码与混淆
• 组件记忆
• +1+1

研究：跨通道碎片化攻击可绕过 MCP 单通道防御

提出跨通道分段攻击，借 MCP 多通道隐式信任外发敏感数据

arXiv

2609.18217

发表

9月16日

层

应用层

场景

编程 Agent

测试

GPT-4o、GPT-4o-mini、GPT-5.4 等 15 个

• 攻击提示注入
• 技术编码与混淆
• 组件MCP 与技能
• +2+2

ReGap：无需真实隐私数据即可通过微调重新提取模型隐私关联

提出 ReGap，用自生成伪监督微调恢复模型中的隐私关联

arXiv

2610.01365

发表

10月1日

层

训练与数据层

场景

模型与 API

攻击者

白盒、灰盒

测试

GPT-2 Small、GPT-2 Medium、GPT-2 Large 等 6 个

• 攻击提取与窃取
• 组件微调与开源权重

SigLeak 可从执行轨迹推断专有 Agent 技能

提出 SigLeak，从执行轨迹比对中推断专有智能体技能

arXiv

2607.25560

发表

7月28日

层

应用层

场景

编程 Agent

攻击者

黑盒

测试

GPT-5.4-mini、GPT-5.5、GLM-5.2 等 4 个

• 攻击提取与窃取
• 技术自动化搜索
• 组件MCP 与技能

研究揭示 split-LLM 训练中返回梯度泄露真实行，前向隐私门仍通过

揭示拆分训练返回梯度以零支撑暴露诱饵行并泄露训练内容

arXiv

2609.04382

发表

9月4日

层

训练与数据层

场景

模型与 API

攻击者

白盒

测试

Qwen3-0.6B、35B-A3B

• 攻击提取与窃取

研究者利用加密推理块跨模型兼容性窃取专有 LLM 推理链

利用加密思维块的跨模型重放，诱导弱模型逐字转写专有推理链

arXiv

2608.09867

发表

8月11日

层

提示层

场景

模型与 API

攻击者

黑盒

测试

Claude Opus 4.8、Claude Sonnet 4.6、Claude Haiku 4.5 等 15 个

• 攻击提取与窃取
• 技术推理链操控
• 组件推理链
• +1+1

研究者提出 MemGhost，对持久化个人 Agent 实现隐蔽记忆注入

提出 MEMGHOST，以单封恶意邮件向持久个人智能体注入隐蔽记忆

arXiv

2607.05189

发表

7月6日

层

应用层

场景

AI Agent

测试

GPT-5.4、Claude Sonnet 4.6、Claude Sonnet 4.5 等 6 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +2+2

LLMLeak：借 LLM 合法网页抓取实施隐蔽数据外泄

提出 LLMLeak，把机密编进报错 URL，借聊天机器人网页抓取外传

arXiv

2610.01768

发表

10月2日

层

应用层

场景

AI Agent

测试

Meta-Llama-3.3-70B-Instruct、Meta-Llama-4-Scout-17B-16E-Instruct、Meta-Llama-3.1-8B-Instruct 等 15 个

• 攻击恶意使用
• 技术编码与混淆

Repeat-After-Me：针对黑盒 VLM 的自适应视觉提示注入攻击

提出 Repeat-After-Me，以图像前缀诱导智能体调用工具或泄露隐私

arXiv

2609.04533

发表

9月4日

层

应用层

场景

AI Agent

测试

Claude-Opus-4.7、GPT-5.5、Gemini-3.1-Pro 等 11 个

• 攻击提示注入
• 技术自动化搜索
• 组件视觉
• +1+1

FlowSeal：用信息流控制阻断 LLM Agent 的隐私泄露

提出 FLOWSEAL，在工具边界以信息流控制阻断智能体隐私泄露

arXiv

2609.14003

发表

9月12日

层

应用层

场景

AI Agent

测试

DeepSeek-V3.2、DeepSeek-R1、GPT-4.1-mini 等 4 个

• 防御指令与数据隔离
• 攻击提取与窃取
• 组件权限与沙箱
• +1+1

PMA 攻击：针对隐私保护 LLM 中嵌入到嵌入混淆的语义流形对齐方法

提出 PMA，用流形对齐从 E2EO 混淆向量恢复明文

arXiv

2609.06749

发表

9月7日

层

模型层

场景

模型与 API

测试

BERT-base、RoBERTa-base、T5-base 等 6 个

• 攻击提取与窃取
• 组件嵌入

BAM 反馈编码实现推理时隐蔽的智能体通信

提出变长反馈编码 BAM，在生成文本中隐蔽传输秘密载荷

arXiv

2609.24994

发表

9月22日

层

模型层

场景

多智能体

攻击者

黑盒

测试

Llama-3.1-8B、Qwen-3.5-9B-Base、Mistral-7B-v0.3 等 6 个

• 攻击检测规避
• 技术编码与混淆

ContextLeak：通过恶意工具窃取 LLM Agent 运行时上下文

ContextLeak 用强化学习微调攻击 LLM，生成恶意工具的名称与描述，诱导智能体选中该工具并把运行时上下文作为参数传入。

arXiv

2608.27800

发表

8月28日

测试

Qwen-3-8B、GPT-OSS-20B、Gemma-4-E4B-it 等 11 个

研究提出 Q-Skew：利用 token 级记忆不对称对微调扩散语言模型做成员推断

AI 导读研究者在微调扩散语言模型（DLM）上提出成员推断方法 Q-Skew，一种基于分位数加权偏度的指标，其依据是通过理论分析发现的 token 级记忆不对称现象。

arXiv

2609.00873

发表

9月1日

测试

LLaDA-8B-Base、LLaDA-8B-Instruct、Dream-Base-7B 等 4 个