全部论文

研究：恶意微调防御在持续训练下失效，72 条防御轨迹危害度全部上升

用代价曲线评估恶意微调防御在持续训练下的衰减

arXiv

2605.14605

发表

5月14日

层

训练与数据层

场景

模型与 API

测试

Llama-2-7B-chat、Qwen3-8B、Llama-3.1-8B-Instruct 等 8 个

• 防御模型加固
• 攻击模型篡改
• 组件微调与开源权重

Trojan Hippo Bench：针对 LLM Agent 持久记忆攻击与防御的动态基准

提出 Trojan Hippo Bench，评测智能体持久记忆攻击与防御

arXiv

2605.01970

发表

5月3日

层

应用层

场景

AI Agent

测试

Gemini 3.1 Pro、GPT-5-mini、GPT-5

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +2+2

HarnessSecurity-Bench 横向评测六款编码智能体框架的安全机制

提出 HARNESSSECURITY-BENCH 评测编码智能体框架的安全机制

arXiv

2610.07639

发表

10月6日

层

应用层

场景

编程 Agent

测试

GLM-5.2、Qwen3.8-27B、Claude Opus 4.8 等 4 个

• 攻击提示注入
• 组件权限与沙箱
• +1+1

StegoMemory 红队测试：智能体持久记忆可被用作跨会话隐蔽信道

用 StegoMemory 测试智能体持久记忆作为跨会话隐写信道的可行性

arXiv

2610.04589

发表

10月3日

层

应用层

场景

AI Agent

测试

Llama 3.1 405B、Claude 3.5 Sonnet、GPT-4o 等 13 个

• 攻击投毒与后门
• 技术编码与混淆
• 组件记忆
• +1+1

ActBench：面向协作智能体行为安全的自演化基准

提出自演化基准 ActBench，评测协作智能体的操作级行为安全

arXiv

2608.09476

发表

8月10日

层

应用层

场景

AI Agent

测试

Claude-Opus-4.8、Claude-Sonnet-4.6、GPT-5.5 等 15 个

• 攻击提示注入
• 组件记忆
• +2+2

研究测量 LLM Agent 记忆投毒防御的良性场景开销

测量 LLM Agent 记忆投毒防御的良性效用与 token 开销

arXiv

2609.22818

发表

9月19日

层

应用层

场景

AI Agent

测试

gemini-3.1-flash-lite、text-embedding-3-small、claude-haiku-4-5-20251001

• 攻击投毒与后门
• 组件记忆
• +1+1

研究者提出 MemGhost，对持久化个人 Agent 实现隐蔽记忆注入

提出 MEMGHOST，以单封恶意邮件向持久个人智能体注入隐蔽记忆

arXiv

2607.05189

发表

7月6日

层

应用层

场景

AI Agent

测试

GPT-5.4、Claude Sonnet 4.6、Claude Sonnet 4.5 等 6 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +2+2

论文评测 Claude Code 与 Codex 记忆文件中的提示注入风险

评测编码智能体记忆文件中的提示注入及其跨会话持久性

arXiv

2607.14611

发表

7月16日

层

应用层

场景

编程 Agent

测试

Claude Haiku 4.5、Claude Opus 4.7、GPT-5.2 等 4 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

S³：用多阶段防御提升 LLM 智能体安全

提出 S³ 多阶段防御，由 guard agent 编排阶段安全技能检测并缓解风险

arXiv

2608.02683

发表

8月3日

层

应用层

场景

AI Agent

测试

DeepSeek-V4-Pro、DeepSeek-V4-Flash

• 防御监控与审计
• 攻击投毒与后门
• 风险Agent 危险操作
• 组件监控器
• +3+3

SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化

提出 SYNCHAIN，诱导计算机使用 Agent 自合成潜伏技能并跨任务触发

arXiv

2608.06862

发表

8月7日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

Qwen3.5-9B、Llama-3.1-8B、Ministral-3-8B 等 5 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件MCP 与技能
• +3+3

论文揭示 BatchNorm 架构下机器遗忘评测的归一化伪影

诊断 BatchNorm 架构下机器遗忘评测的归一化伪影

arXiv

2609.08901

发表

9月8日

层

模型层

场景

模型与 API

测试

ResNet-18、ResNet-50、ViT-S/16 等 4 个

• 防御模型加固
• 攻击模型篡改

监督学习中的数据投毒攻击实证评估：标签翻转与后门投毒在 MNIST 和 Fashion-MNIST 上的对比

比较标签翻转与后门投毒对图像分类器的影响

arXiv

2609.10952

发表

9月10日

层

训练与数据层

场景

模型与 API

测试

Logistic Regression、Linear SVM、Random Forest

• 攻击投毒与后门

研究重新审视后门修复评测：区分总体干净效用与良性性能保持

用 Dmax 与尾部损失评测后门修复的类别性能保持

arXiv

2609.25579

发表

9月22日

层

训练与数据层

场景

模型与 API

测试

ResNet18、PreActResNet18、VGG19-BN

• 防御模型加固
• 攻击投毒与后门

Cave-Bench：虚假指控下 LLM 智能体最高 60.06% 的运行会破坏正确工作

提出 CAVE-BENCH，评测虚假指责下智能体破坏已完成正确工作的行为

arXiv

2609.32616

发表

9月26日

层

应用层

场景

编程 Agent

测试

Claude-Sonnet-5、Claude-Opus-5、GPT-5.6-Sol 等 14 个

• 攻击提示注入
• 风险失准与价值偏离
• +1+1

Emergence World：对长时程多智能体系统开展对抗压力测试

构建 Emergence World，评测长时程多智能体对抗韧性与群体失效

arXiv

2609.17320

发表

9月15日

层

应用层

场景

多智能体

测试

Claude Opus 4.8、DeepSeek v4 Pro、Gemini 3.5 Flash 等 9 个

• 攻击提示注入
• 风险失准与价值偏离
• 组件记忆

SoK 论文提出 FARSIGHT 框架，评测 15 个学术金融 LLM 交易 Agent 的鲁棒性与安全失败

用 FARSIGHT 方案级评测金融 LLM 交易 Agent 的稳健性与安全

arXiv

2609.19705

发表

9月17日

层

应用层

场景

AI Agent

测试

GPT-4、GPT-4o、GPT-4o-mini 等 7 个

• 攻击提示注入
• 风险Agent 危险操作
• 组件记忆
• +1+1

机器遗忘在 ASR 中是否有效：arXiv 论文评估现有算法与评测工具

arXiv

2609.34092

发表

9月28日

层

训练与数据层

场景

模型与 API

测试

E-Branchformer

• 防御模型加固
• 攻击提取与窃取
• 组件音频