跳到正文
10月9日 · 周五

Agent 安全 · 论文

找到 29 篇
筛选3

攻击类型

越狱2提示注入26投毒与后门3检测规避2

攻击技术

潜伏触发1

模型自身风险

Agent 危险操作3

防御类型

模型加固4检测与过滤4指令与数据隔离13权限与审批14监控与审计6水印与溯源2

影响

越权操作23数据与隐私泄露2输出被操纵4

系统形态

LLM 应用2AI Agent27编程 Agent3网页与电脑操作5多智能体1

攻击面/入口

用户输入18网页与界面20文档与消息18工具返回35工具与技能描述12代码仓库与依赖3检索语料4记忆写入5Agent 间消息4训练数据0分发渠道8

层

应用层29

系统组件

MCP 与技能5记忆2护栏与评审3监控器6推理链1权限与沙箱10视觉1多模态1

被测模型厂商

OpenAI17Anthropic14Qwen（阿里）14Google9Meta9DeepSeek6其他15
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 253 篇还没打标签，不在筛选结果里。
攻击面/入口：网页与界面攻击面/入口：文档与消息攻击面/入口：训练数据话题：Agent 安全清除全部

另有 253 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 防御arXiv 2610.09793

    用时序逻辑监控工具 Agent

    提出 MFOTL 时序监控，用 MonPoly 检出工具 Agent 的危险动作链

    arXiv
    2610.09793
    发表
    层
    应用层
    场景
    AI Agent
    测试
    GPT-4o、Sonnet-3.5
    摘要形式化验证可有效识别多步攻击，但其有效性高度依赖轨迹的可信历史记录。

    这篇论文对工具调用大语言模型智能体的安全监控进行了形式化时序验证研究。

    深度解读完整解读
  3. 防御arXiv 2605.17380

    Uber 提出 ADR 企业级 Agent 检测系统，在 7200 台主机部署十个月

    提出企业级检测系统 ADR，检测编程 Agent 的提示注入与恶意 MCP

    arXiv
    2605.17380
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    GPT-4o、Claude Sonnet 4、Llama Guard 3-8B 等 4 个

    摘要提出了端点因果遥测、两级在线分流与离线红队闭环的 ADR 系统，并在生产环境中验证了有效性。

    深度解读完整解读
  4. 防御arXiv 2610.05640

    研究揭示 CaMeL 防护在多智能体系统中失效并提出 multi-CaMeL

    提出 multi-CaMeL，在多智能体调用边界隔离可信指令与不可信数据

    arXiv
    2610.05640
    发表
    层
    应用层
    场景
    多智能体
    测试
    Claude Fable 5、GPT-5.5、GPT-4.1 等 6 个

    摘要论文针对多智能体中单体防御不组合的边界清洗问题，提出 multi-CaMeL 协议彻底阻断了 MultiAgentDojo 上的注入攻击。

    深度解读完整解读
  5. 防御arXiv 2610.05163

    研究者在 Claude Code 和 Codex 上构造分段提示注入并发布边界动作审计基准

    提出路径对齐归因 PAA，在边界动作前审计长流程智能体的分段提示注入

    arXiv
    2610.05163
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Claude Code (v2.1.172, Claude Sonnet 5)、Codex CLI (v0.144.0, GPT-5.5)、Claude Sonnet 5 等 7 个
    摘要论文针对长流程注入提出边界动作审计与 PAA，在保持低误阻的同时实现高拦截率。

    本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。

    深度解读完整解读
  6. 防御arXiv 2610.03089

    COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构

    提出 COBRA，用分支能力约束与代理拦截防御计算机使用 Agent 的分支引导攻击

    arXiv
    2610.03089
    发表
    层
    应用层
    场景
    网页与电脑操作
    测试
    gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等 6 个

    摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。

    深度解读完整解读
  7. 防御arXiv 2607.13716

    CAVA：面向智能体 AI 运行时治理的规范动作验证与证明

    提出 CAVA，将异构智能体动作规范为可哈希指纹并绑定审批回执

    arXiv
    2607.13716
    发表
    层
    应用层
    场景
    AI Agent
    摘要CAVA 用规范动作指纹承接异构运行时治理。

    CAVA 是给异构智能体运行时用的动作语义层，用来回答“被批准和被审计的到底是哪一个动作”。

    深度解读完整解读
  12. 防御arXiv 2609.02786

    SafeEvolve：基于智能体经验的 Harness-Policy 协同演化安全对齐框架

    提出 SafeEvolve，用轨迹证据协同演化安全 harness 与策略

    arXiv
    2609.02786
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Qwen3.5-4B、Qwen3-4B-Instruct-2507、Qwen3.5-1.7B 等 4 个
    摘要SafeEvolve 用轨迹证据协同更新安全 harness 和策略，在两个 4B 模型的智能体安全基准上改变安全与效用。

    SafeEvolve 把已完成的 on-policy 轨迹变成安全 harness 的有界更新，并用两阶段 SFT-RL 把这些更新内化进工具使用策略。

    深度解读完整解读
  17. 防御arXiv 2610.01349

    PACE：面向工具调用 LLM Agent 的来源感知能力强制执行

    提出 PACE，在工具调用前对 Agent 做路径隔离与效果授权

    arXiv
    2610.01349
    发表
    层
    应用层
    场景
    AI Agent
    测试
    gpt-5.6-luna、DeepSeek-V4-Flash、Qwen-3.8-27B
    摘要PACE 在工具边界做路径割与效果核验。

    PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。

    深度解读完整解读
  18. 防御arXiv 2610.00327

    Actions with Receipts：为工具智能体审计绑定声明、证据与执行

    提出 EC-Agent 联合回执，绑定工具智能体的主张、证据与执行

    arXiv
    2610.00327
    发表
    层
    应用层
    场景
    AI Agent
    摘要EC-Agent 把主张、片段、执行前缀和来源状态绑成可重放回执，并把完整性与语义支持分开判定。

    EC-Agent 为工具智能体的审计增加一份可重放的联合回执：它同时绑定发出的主张、精确来源片段、有序执行前缀，以及该次执行看到的来源版本和访问状态。

    深度解读完整解读
  20. 防御arXiv 2609.13601

    Mind the Gap：检测 DAO 治理中的描述-执行不匹配攻击

    提出 DEMI 检测框架，在执行前识别 DAO 提案描述与执行载荷的不匹配

    arXiv
    2609.13601
    发表
    层
    应用层
    场景
    LLM 应用
    测试
    GPT-4o、Claude 4.5 Sonnet、Gemini 2.5 Pro 等 8 个
    摘要用公开链上数据仿真治理全流程，再以逐动作证据映射在执行前发现描述与执行不一致。

    Mind the Gap 把 DAO 提案的描述–执行不一致（DEMI）做成可在投票窗口内运行的检测问题。。

    深度解读完整解读
加载更多