另有 369 篇论文还没打上分类标签，暂不在筛选结果里。
提出 A-VIP，将购物意图绑定到支付授权以阻断商户文本操控
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
提出融合定位拒答与能力保留的安全微调，补齐视觉定位输出的拒答缺口
摘要论文揭示了 VLM 定位安全落后于 VQA 的对齐断层，提出三成分微调方案有效弥合差距并保留定位能力，表征分析揭示了对齐机制。
提出 HACKTRACE 用生成状态检测并抑制代码奖励作弊
摘要论文提出利用生成状态监督作弊尝试的 HACKTRACE 框架，实现高精度低延迟检测并在 GRPO 训练中有效抑制奖励投机。
提出 COBRA 双 LLM 架构，防御计算机使用智能体的分支转向攻击
摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
提出 TACIT，读取冻结隐藏状态以检测智能体有害轨迹
摘要提出基于内部表征的智能体轨迹安全检测方法 TACIT，揭示工具风险表征特性并在多项基准上提升检测表现与效率。
提出 Janus，用 CoAA-RL 训练前瞻守卫，在长程智能体有害动作执行前拦截
提出 SecOPD 同策略蒸馏微调，降低模型对自适应提示注入的顺从
评测智能体记忆软撤回是否生效，并提出陈旧检索防护
摘要系统揭示了记忆系统软撤回在检索时普遍未执行的安全漏洞，证明写回会击穿现有防御，并提出读取端防护作为必要控制手段。
提出多层监控网关 ClawSentry，拦截恶意技能供应链与上下文注入
ClawSentry 是挂在智能体运行时之外的安全监督网关，用来同时盖住 skill 执行的多个生命周期边界，并把已被拒绝的效果记到会话里。
提出 SCOPE 联合后训练计算机使用智能体的任务执行与安全决策
提出契约约束的工具调用修复协议，在执行前拦截非法补丁
提出 DART，用去噪表征转移检测并干预多轮智能体攻击
提出 TS-Guard 与 TS-Flow，执行前检测并修正智能体有害工具调用
ToolSafe 研究 LLM 智能体在工具执行前的步骤级安全：基准 TS-Bench、护栏 TS-Guard，以及反馈驱动框架 TS-Flow。
提出 BenchShield，用形式化插桩核验 Agent 评测的奖励完整性
BenchShield 是放在 LLM 智能体评测基础设施里的一层插桩，用来让奖励相关轨迹的完整性可以被检查，而不是只看最终分数或评分函数。可执行基准里，智能体的中间动作会改变结果过程后来读取的状态，日志和反馈也会影响后续 rollout。作者认为现有的任务补丁、提示词和事后检测器不能证明某次运行留在预定边界内。
构建 TOOLPRIVBENCH 评测 Agent 的过度特权选择并提出特权感知后训练
作者研究 LLM 智能体的 over-privileged tool selection：低权限工具已经足够时，仍选择或在短暂失败后升级到高权限工具。
提出 Safin-1，以可路由 Safety State 在冻结主干上实现内在安全
提出 CoER，用对抗共进化与精炼训练智能体抵御自适应间接提示注入
提出爆炸提示词，用条件触发的间接注入延迟诱发恶意工具调用
论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。
证明保留词元表示放大模板注入并验证分词缓解
摘要对话模板注入的权威性主要来自保留词元的学得向量而非文本语法，推理具有补偿作用，现有分词防御遗留工具协议漏洞。