Agent 安全 · 论文

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测电商引导下购物智能体是否偏离用户最优选择

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

GPT-5.6-Sol、GPT-5.6-Terra、GPT-5.6-Luna 等 14 个

CredLeak-Bench

提出 CredLeak-Bench，评测智能体在钓鱼场景下的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 5、Claude Opus 4.8、Gemini 3.6 Flash 等 7 个

Trojan Hippo Bench：针对 LLM Agent 持久记忆攻击与防御的动态基准

提出 Trojan Hippo Bench，评测智能体持久记忆攻击与防御

arXiv

2605.01970

发表

5月3日

层

应用层

场景

AI Agent

测试

Gemini 3.1 Pro、GPT-5-mini、GPT-5

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +2+2

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

HarnessSecurity-Bench 横向评测六款编码智能体框架的安全机制

提出 HarnessSecurity-Bench，横向评测编码智能体框架的安全机制

arXiv

2610.07639

发表

10月6日

层

应用层

场景

编程 Agent

测试

GLM-5.2、Qwen3.8-27B、Claude Opus 4.8 等 4 个

• 攻击提示注入
• 组件权限与沙箱
• +1+1

COPEX：面向 MCP 智能体的受控攻击评测基准发布

用 COPEX 基准在固定协议栈下评测智能体抵御 MCP 攻击的能力

arXiv

2610.04378

发表

10月3日

层

应用层

场景

AI Agent

测试

Claude Opus 4.7、Claude Sonnet 4.6、GPT-5.5 等 9 个

• 攻击提示注入
• 组件MCP 与技能

StegoMemory 红队测试：智能体持久记忆可被用作跨会话隐蔽信道

用 StegoMemory 测试智能体持久记忆作为跨会话隐写信道的可行性

arXiv

2610.04589

发表

10月3日

层

应用层

场景

AI Agent

测试

Llama 3.1 405B、Claude 3.5 Sonnet、GPT-4o 等 13 个

• 攻击投毒与后门
• 技术编码与混淆
• 组件记忆
• +1+1

宾州州立大学提出 TPRS，量化 Agent 安全基准中工具命名对 ASR 的影响

提出 TPRS，量化工具命名等表征变化对智能体安全基准得分的影响

arXiv

2610.03585

发表

10月2日

层

应用层

场景

AI Agent

测试

GPT-5-mini、Claude Haiku 4.5、GPT-4o-mini

• 攻击提示注入
• 组件MCP 与技能
• +1+1

EvoRiskBench：面向工作区 Agent 运行时安全风险的演化基准

提出 EvoRiskBench，评测工作区智能体的运行时安全风险

arXiv

2610.03153

发表

10月2日

层

应用层

场景

编程 Agent、多智能体

测试

GPT-5.6 Sol、DeepSeek-V4-Pro-0813、Claude Opus 5

• 攻击提示注入
• 组件MCP 与技能

ActBench：面向协作智能体行为安全的自演化基准

构建 ActBench 评测协作智能体多步执行中的操作级行为安全

arXiv

2608.09476

发表

8月10日

层

应用层

场景

编程 Agent

测试

Claude-Opus-4.8、Claude-Sonnet-4.6、GPT-5.5 等 15 个

• 攻击提示注入
• 组件记忆
• +1+1

研究者提出 MemGhost，对持久化个人 Agent 实现隐蔽记忆注入

提出 MEMGHOST，以单封恶意邮件向持久个人智能体注入隐蔽记忆

arXiv

2607.05189

发表

7月6日

层

应用层

场景

AI Agent

测试

GPT-5.4、Claude Sonnet 4.6、Claude Sonnet 4.5 等 6 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +2+2

研究者提出 SkillMisevo-Bench，量化自改进 Agent 的技能误演化风险

构建 SKILLMISEVO-BENCH，评测自进化编程智能体的技能误演化风险

arXiv

2608.12851

发表

8月13日

层

应用层

场景

编程 Agent

测试

Claude Code、Codex、Hermes 等 6 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆

论文评测 Claude Code 与 Codex 记忆文件中的提示注入风险

评测编码智能体记忆文件中的提示注入及其跨会话持久性

arXiv

2607.14611

发表

7月16日

层

应用层

场景

编程 Agent

测试

Claude Haiku 4.5、Claude Opus 4.7、GPT-5.2 等 4 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化

提出 SYNCHAIN，以定向微调诱导智能体自合成跨任务潜伏工件

arXiv

2608.06862

发表

8月7日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

Qwen3.5-9B、Llama-3.1-8B、Ministral-3-8B 等 5 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件MCP 与技能
• +3+3

ECLIPSE：针对长程 Agent 系统的自演化隐蔽提示注入攻击

提出 ECLIPSE 双通道自演化提示注入，劫持长程智能体动作轨迹

arXiv

2608.30441

发表

8月31日

层

应用层

场景

AI Agent

攻击者

黑盒

测试

DeepSeek、GPT-4o、Claude 4.8 Opus 等 7 个

• 攻击提示注入
• 技术自动化搜索
• 组件MCP 与技能
• +2+2

Cave-Bench：虚假指控下 LLM 智能体最高 60.06% 的运行会破坏正确工作

提出 CAVE-BENCH，评测智能体遭虚假指责后是否破坏已正确的工作

arXiv

2609.32616

发表

9月26日

层

应用层

场景

编程 Agent

测试

Claude-Sonnet-5、Claude-Opus-5、GPT-5.6-Sol 等 14 个

• 攻击提示注入
• 风险失准与价值偏离

Emergence World：对长时程多智能体系统开展对抗压力测试

构建 Emergence World，评测长时程多智能体对抗韧性与群体失效

arXiv

2609.17320

发表

9月15日

层

应用层

场景

多智能体

测试

Claude Opus 4.8、DeepSeek v4 Pro、Gemini 3.5 Flash 等 9 个

• 攻击提示注入
• 风险失准与价值偏离
• 组件记忆

研究者提出技能级联攻击

提出技能级联攻击，把恶意目标拆进多个技能以绕过单技能检测

arXiv

2609.30383

发表

9月25日

层

应用层

场景

编程 Agent

测试

GPT-5.4、GPT-5.4 Mini、Claude Opus 4.6 等 10 个

• 攻击投毒与后门
• 技术编码与混淆
• 组件MCP 与技能
• +2+2

MMSkillRisk：多模态技能图像中的隐藏指令可诱导 Agent 执行未授权操作

构建多模态技能图像攻击基准 MMSkillRisk 并设计 NCVA

arXiv

2609.35912

发表

9月28日

层

应用层

场景

编程 Agent

测试

GPT-5.6-sol、Kimi-K2.6、Kimi-K3 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件MCP 与技能
• +3+3