攻击arXiv 2609.26761
A2M：针对 MCP 生态的两阶段 Agent 劫持框架
提出两阶段框架 A2M，优化 MCP 工具元数据与返回载荷以劫持智能体
- arXiv
- 2609.26761
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GLM-4.6、Qwen3-Max、DeepSeek-V3.1 等 5 个
供应链安全 · 论文
另有 38 篇论文还没打上分类标签，暂不在筛选结果里。
- 攻击arXiv 2609.35576
研究提出跨 LLM 助手的记忆跳跃攻击
提出跨独立助手的工件介导记忆跳跃自传播攻击
- arXiv
- 2609.35576
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- GPT-5.6 Luna、Kimi-K2.6、GPT-OSS-120B 等 6 个
摘要论文证实持久工件与内存可形成跨智能体传播链，揭示了将共享工件纳入安全防线的重要意义。
该论文系统研究并量化了通过共享持久工件在具有独立私有内存的 LLM 智能体之间发生自传播的“工件介导传播”攻击风险。
- 攻击arXiv 2608.29381
研究者提出 Agent 检查点回滚的五类安全失效，并在 Hermes、Cline、LangGraph 上实现三种攻击
提出利用检查点回滚破坏智能体执行连续性的攻击
- arXiv
- 2608.29381
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- DeepSeek-v4
- 组件权限与沙箱
摘要论文系统研究了智能体 C/R 的安全性，分析了合法回滚破坏执行连续性的机理，并实证评估了其普遍性与危害。
- 攻击arXiv 2608.23858
研究者对 Google AP2 v0.2 做系统安全分析，识别 48 项威胁
系统分析 AP2 支付协议的授权安全并验证前置上下文操纵
- arXiv
- 2608.23858
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 测试
- gpt-5.3、gpt-5.5
- 攻击arXiv 2609.01495
去中心化联邦学习中的拜占庭节点放置优化
提出 BPI 选点算法，增强去中心化联邦学习中的模型与数据投毒
- arXiv
- 2609.01495
- 发表
- 场景
- 模型与 API
- 攻击投毒与后门
摘要BPI 用有限轮 gossip 暴露选拜占庭集合。
作者把 DFL 中“破坏哪 m 个节点”写成攻击者在固定预算下的优化问题，并用 BPI 近似有限轮内诚实节点受到的拜占庭暴露。
- 攻击arXiv 2609.28585
论文提出持久计费状态概念，揭示工具调用 LLM Agent 的拒绝钱包攻击与防御
提出工具调用 Agent 的拒绝钱包攻击及主机侧计费约束
- arXiv
- 2609.28585
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GPT-4o、GPT-4o-mini、Mistral-Large 等 9 个
摘要已准入工具返回的跨轮保留会重复计费。
这篇工作把工具调用智能体里跨轮保留、并被提供商反复计费的外部工具返回定义为 persistent billable state，并把它的主机侧再次送入决定当作控制点。。
- 攻击arXiv 2609.33985
研究：众包微调数据投毒可放大专有指令抽取
提出主题锚点投毒，放大众包微调后的专有指令提取
- arXiv
- 2609.33985
- 发表
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Qwen2.5-7B-Instruct、Qwen2.5-14B-Instruct、Llama-3.1-8B-Instruct 等 6 个
摘要论文提出基于主题锚点的数据中毒攻击，证明低比例的中毒样本可在黑盒条件下隐蔽放大微调指令泄漏。
已经到底了