攻击arXiv:2607.05189 · 7月6日
研究者提出 MemGhost，对持久化个人 Agent 实现隐蔽记忆注入
提出 MEMGHOST，以单封恶意邮件向持久个人智能体注入隐蔽记忆
AI Agent测试GPT-5.4、Claude Sonnet 4.6、Claude Sonnet 4.5 等 6 个应用层
摘要总结了论文的研究背景、双代理优化方法 MEMGHOST、全周期实验结果以及作者对记忆信任边界的启示。
本文研究了持久化个人智能体面临的隐蔽记忆注入威胁，提出了一套兼顾写入、隐蔽与跨会话生效的自动化生成框架与全周期评测基准。
完整解读
攻击arXiv:2609.01222 · 9月1日
研究者提出上下文权限提升攻击，12 款 Agent 框架均受影响
提出上下文特权提升攻击，借助记忆、技能与仓库内容操纵编程智能体
编程 Agent测试GPT-5.5、GPT-5.4 mini、Claude-Sonnet-4.6 等 7 个应用层
完整解读
攻击arXiv:2610.00392 · 10月2日
A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型
提出 A2A-TIBA 间接提示注入，诱导智能体部署常驻回调并外传数据
多智能体编程 Agent测试MiniMax-M3、deepseek-v4-pro、glm-5.3 等 8 个应用层
摘要A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。
A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
完整解读
攻击arXiv:2608.30441 · 8月31日
ECLIPSE：针对长程 Agent 系统的自演化隐蔽提示注入攻击
提出 ECLIPSE 双通道自演化提示注入，劫持长程智能体动作轨迹
AI Agent攻击者黑盒测试DeepSeek、GPT-4o、Claude 4.8 Opus 等 7 个应用层
完整解读
攻击arXiv:2609.13889 · 9月12日
PMPA：针对 OpenClaw 与 Claude Code 的持久记忆投毒攻击
提出 PMPA，诱导智能体把外部恶意指令写入持久记忆并跨会话泄露隐私
编程 Agent测试DeepSeek-V4-Flash、DeepSeek-V4-Pro、Qwen3-Max应用层
摘要论文提出了持久记忆投毒攻击 PMPA，报告了 harness 智能体在处理外部数据时易受跨会话记忆投毒与隐私泄露的风险。
完整解读
攻击arXiv:2609.22510 · 9月19日
特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent
提出爆炸提示词，用条件触发的间接注入延迟诱发恶意工具调用
AI Agent测试Llama-3.1-8B-Instruct、Llama-3.1-70B-Instruct、Qwen2.5-32B-Instruct 等 14 个应用层
摘要论文揭示了条件触发使提示注入绕过防御并在触发时执行工具，提出轻量检测器并在摄入期有效防范。
论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。
完整解读
攻击arXiv:2609.33910 · 9月28日
论文提出残留授权重放攻击：长期运行 Agent 的授权可跨任务复用
提出残余权限重放攻击，跨任务复用已批准授权绕过确认
编程 Agent测试GPT-4.1、Gemini-3.1-Flash-Lite、Qwen3-14B 等 9 个应用层
完整解读

已经到底了

提示注入 · 论文

攻击类型

攻击技术

防御类型

影响

系统形态

攻击者权限

攻击面/入口

层

系统组件

被测模型厂商

研究者提出 MemGhost，对持久化个人 Agent 实现隐蔽记忆注入

研究者提出上下文权限提升攻击，12 款 Agent 框架均受影响

A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型

ECLIPSE：针对长程 Agent 系统的自演化隐蔽提示注入攻击

PMPA：针对 OpenClaw 与 Claude Code 的持久记忆投毒攻击

特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

论文提出残留授权重放攻击：长期运行 Agent 的授权可跨任务复用