另有 275 篇论文还没打上分类标签，暂不在筛选结果里。
提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
提出 APEX，在执行边界用预编译授权契约防御 Agent 间接提示注入
提出 AgentSpy，在系统调用层观测 Agent 并检测技能注入
本研究提出了面向 AI 智能体的系统级外部监控与行为分析框架 AgentSpy。
提出 multi-CaMeL，在多智能体调用边界隔离可信指令与不可信数据
摘要论文针对多智能体中单体防御不组合的边界清洗问题，提出 multi-CaMeL 协议彻底阻断了 MultiAgentDojo 上的注入攻击。
提出 VAL 框架并用确认门与参数沙箱约束高风险工具调用
提出融合定位拒答与能力保留的安全微调，补齐视觉定位输出的拒答缺口
摘要论文揭示了 VLM 定位安全落后于 VQA 的对齐断层，提出三成分微调方案有效弥合差距并保留定位能力，表征分析揭示了对齐机制。
提出 STAR-Guard 双层防御缓解长程智能体遗忘安全约束
摘要揭示 GHOST 跨轮约束遗忘风险，构建 SCARBench 基准并通过 STAR-Guard 双层防御消除违规。
评测智能体记忆软撤回是否生效，并提出陈旧检索防护
摘要系统揭示了记忆系统软撤回在检索时普遍未执行的安全漏洞，证明写回会击穿现有防御，并提出读取端防护作为必要控制手段。
提出多层监控网关 ClawSentry，拦截恶意技能供应链与上下文注入
ClawSentry 是挂在智能体运行时之外的安全监督网关，用来同时盖住 skill 执行的多个生命周期边界，并把已被拒绝的效果记到会话里。
提出 SkillGuard，用可达性切断污染后通往禁止状态的技能调用
提出 SkillSecurer，检测定位并修补智能体技能中的提示注入
提出 PACE，在工具调用前对 Agent 做路径隔离与效果授权
PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。
提出有状态策略引擎 Sapien，拦截被劫持智能体的越权工具调用
Sapien 是面向通用 AI 智能体的有状态策略引擎：执行前把用户提示词译成任务策略，运行时只放行该策略承认的工具调用序列。
提出 AuraForge，从漏洞修复合成安全测试并监督训练编码智能体
AuraForge 把真实仓库的历史漏洞修复变成可执行训练任务，用来监督编程智能体同时满足功能请求和隐含的安全要求。
提出 DEMI 检测框架，在执行前识别 DAO 提案描述与执行载荷的不匹配
Mind the Gap 把 DAO 提案的描述–执行不一致（DEMI）做成可在投票窗口内运行的检测问题。。
提出 FLOWSEAL，在工具边界以信息流控制阻断智能体隐私泄露
摘要作者分析大模型智能体隐私检查与攻击面重合问题，提出外部拦截防御 FLOWSEAL 并验证有效性。
提出企业 MCP 的零信任授权扩展，拒绝提示注入下的越权工具调用
作者把零信任放在 MCP 工具调用边界：智能体即使被提示注入，也不能调用其凭证范围之外的工具。问题来自三点部署性质。调用意图会随不可信上下文改变。
构建 TOOLPRIVBENCH 评测 Agent 的过度特权选择并提出特权感知后训练
作者研究 LLM 智能体的 over-privileged tool selection：低权限工具已经足够时，仍选择或在短暂失败后升级到高权限工具。
提出 CoER，用对抗共进化与精炼训练智能体抵御自适应间接提示注入
提出神经符号纵深架构，阻断 AI-SOC 的日志投毒与间接提示注入