另有 196 篇论文还没打上分类标签，暂不在筛选结果里。
提出 LTBD，用可学习分隔符隔离可信指令与不可信数据
LTBD 是一种不改基座权重的提示注入防御：只学习用来标出可信指令与不可信数据边界的四个 token 嵌入。
提出 AgentTracer，事后定位间接提示注入的注入点并重建攻击链
提出 MFOTL 离线时序验证以监控工具 Agent 的危险动作链
这篇论文对工具调用大语言模型智能体的安全监控进行了形式化时序验证研究。
提出 PyCache Trap，用字节码缓存替换绕过 Agent 技能扫描器
这篇论文研究了智能体技能（Agent Skills）安全扫描中的“审查–执行脱节”问题，并提出了对应的攻击验证与防御方案。
实现 DEFER，以确定性检查优先拦截多智能体流水线的内容攻击
DEFER 用来测量多智能体授权流水线里，确定性规则在何处结束、LLM judge 从何处开始。
提出 PAA 方法，在边界动作前审计长流程智能体的分阶段提示注入
本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。
提出 APEX，在执行边界用授权契约防御 Agent 间接提示注入
提出 VAL 框架，并用确认门与参数沙箱约束智能体高风险工具调用
提出 SRFT，让 Agent 从失败经验中学习拒绝提示注入
提出 Kubernetes 运维智能体的七层纵深防御框架与参考架构
把 Kubernetes 上的运维智能体当作不可信租户，在假定提示注入已完全控制其工具选择的前提下，用基础设施重建数据面与控制面的边界。要解决的是：智能体读日志、注解、工单或 MCP 工具描述时，这些内容可以变成它带着自身凭据执行的命令。模型对齐和分类器只降低概率。
提出 ASA 与 AttestMCP，度量并降低 LLM 对输入序列扰动的敏感
提出 MIRROR，用多路径摘要多数表决保障多智能体通信完整性
MIRROR 是 LLM 多智能体通信层上的多路径法定人数完整性原语，只处理不透明字节，不解释消息内容。要处理的是 Agent-in-the-Middle：中介合法终结 TLS 后可改在途消息，而语义校验有推理开销和误拦，签名又要求私钥管理。做法是生成结束后复制同一规范化载荷。
提出 COBRA 双 LLM 架构，防御计算机使用 Agent 的分支转向攻击
摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
提出 PACE，在工具调用前做路径隔离与效果授权
PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。
提出 ZoneClaw，用记忆分区防御计算机使用 Agent 的持久记忆攻击
为 Agent 提出资源层授权系统 Pincer，用数字分身执行动态最小权限
Pincer 是加在现成 coding agent 上的资源层授权防御：用只受用户侧信息影响的 digital twin 做动态最小权限，并与 tool-call 层防御并存。要处理的是用户维护策略带来的权限蠕变和授权疲劳，以及不学习用户策略的 tool-call 分类器。作者引述工作称 auto mode 会放行多数不安全操作，并认为推理代码或复杂 shell 的效果在这一层不实际。
提出 ActionGuard 在执行前拦截被投毒技能诱发的未授权工具调用
提出 FlowReview，用授权配对与确定性提交门控控制多智能体组合信息流
这篇工作把多智能体安全写成一件必须同时成立的事：拦住组合信息所启用的禁止使用，并完成同一场景里任务所需的授权使用。
提出 EC-Agent 联合回执，绑定工具智能体的主张、证据与执行并支持重放审计
EC-Agent 为工具智能体的审计增加一份可重放的联合回执：它同时绑定发出的主张、精确来源片段、有序执行前缀，以及该次执行看到的来源版本和访问状态。
提出证据引导的 SKILLLITE，审计部署前恶意 Agent Skill
SKILLLITE是面向紧凑、可本地部署 LLM 的恶意 Agent Skill 预执行审计框架，作者单位为南洋理工大学。