评测与基准arXiv 2609.35912
MMSkillRisk：多模态技能图像中的隐藏指令可诱导 Agent 执行未授权操作
提出 MMSkillRisk 基准，评测多模态技能图像中的隐藏指令诱导 Agent 越权操作
- arXiv
- 2609.35912
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.6-sol、Kimi-K2.6、Kimi-K3 等 6 个
摘要论文提出 MMSkillRisk 基准与 NCVA 攻击，揭示多模态技能中教学图像潜藏指令可引发未授权操作并与良性任务共存。
- 评测与基准arXiv 2609.09404
MMPIBench：多模态提示注入对六种 Agent 框架的跨框架评测
用 MMPIBench 评测多模态提示注入对 Agent 框架的影响
- arXiv
- 2609.09404
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude Opus 4.8、GPT-5.4、Gemini 3.1 Pro 等 6 个
摘要论文提出 MMPIBench 评测多模态提示注入对智能体的影响，发现模型主导行为、尝试远超完成，音频通道缺乏防护。
- 评测与基准arXiv 2609.07216
DIVA：利用视觉锚点对视频生成模型实施多模态越狱
提出 DIVA，将有害意图拆成视觉锚点与运动文本以越狱视频生成模型
- arXiv
- 2609.07216
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Wan、CogVideoX、LTX-Video 等 9 个
摘要DIVA 用视觉锚点抑制语义漂移做视频越狱，并给出多条件安全基准 TI2VSafetyBench。
DIVA 是针对带参考图的视频生成模型的免训练 black-box 越狱：用一致性机制本身堵住语义漂移这条安全逃逸路径。。
- 评测与基准arXiv 2608.30441
ECLIPSE：针对长程 Agent 系统的自演化隐蔽提示注入攻击
提出 ECLIPSE 双通道提示注入，劫持长程 Agent 的动作轨迹
- arXiv
- 2608.30441
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- DeepSeek、GPT-4o、Claude 4.8 Opus 等 7 个
- 评测与基准arXiv 2608.00677
OpenART 提出环境演化红队框架
构建 OpenART 竞技场，以 EMHA 演化持久环境评测智能体安全
- arXiv
- 2608.00677
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-5.5、Claude-Opus-4.8、GLM-5.2 等 5 个
- 评测与基准arXiv 2607.05189
研究者提出 MemGhost，对持久化个人 Agent 实现隐蔽记忆注入
提出 MEMGHOST，用单封邮件对持久个人 Agent 做跨会话隐蔽记忆注入
- arXiv
- 2607.05189
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-5.4、Claude Sonnet 4.6、Claude Sonnet 4.5 等 6 个
摘要总结了论文的研究背景、双代理优化方法 MEMGHOST、全周期实验结果以及作者对记忆信任边界的启示。
本文研究了持久化个人智能体面临的隐蔽记忆注入威胁，提出了一套兼顾写入、隐蔽与跨会话生效的自动化生成框架与全周期评测基准。
- 评测与基准arXiv 2606.12918
MAStrike：用 Shapley 值引导多智能体系统协同红队攻击
提出 MAStrike，用 Shapley 选联盟对多智能体做共谋红队
- arXiv
- 2606.12918
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- Claude Opus 4.7、GPT-5.5、Gemini 3.1 Pro
- 评测与基准arXiv 2606.12716
PaperGuard：针对多模态 AI 同行评审的攻击与防御基准
提出 PaperGuard，用图文注入与梯度扰动抬高自动审稿分数并检测恶意指令
- arXiv
- 2606.12716
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Claude-sonnet-4.5、GPT-4o、GPT-4.1 等 11 个
摘要PaperGuard 测到提示注入与白盒视觉抬分，并比较分块检索防御。
PaperGuard同时评测并检测多模态 AI 审稿中的评分操纵。
- 评测与基准arXiv 2605.01970
Trojan Hippo Bench：针对 LLM Agent 持久记忆攻击与防御的动态基准
构建 Trojan Hippo Bench，评测 Agent 持久记忆投毒与外泄
- arXiv
- 2605.01970
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Gemini 3.1 Pro、GPT-5-mini、GPT-5
摘要论文提出了评测智能体持久化记忆攻击与防御的 Trojan Hippo Bench，揭示了潜伏攻击威胁及内存防御的安全与效用权衡。
- 评测与基准arXiv 2602.10179
研究者提出视觉中心越狱攻击 VJA
提出纯视觉越狱攻击 VJA，把有害编辑指令编码进图像
- arXiv
- 2602.10179
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Nano Banana Pro、GPT Image 1.5、Qwen-Image-Edit 等 9 个
- 评测与基准arXiv 2603.20198
研究者提出 MM-Plan 多模态越狱框架
提出 MM-Plan 多模态越狱框架，自动规划多轮图像编辑以越狱视觉独占目标
- arXiv
- 2603.20198
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Llama-3.2-11B、InternVL3-8B、Qwen3-VL-8B 等 8 个
摘要作者称全局规划能攻破对单轮攻击更稳的前沿 MLLM。
MM-Plan 是面向 Visual Exclusivity 的 black-box 多模态红队方法，并配有人工基准 VE-Safety。
- 评测与基准arXiv 2512.19016
DREAM 框架用跨环境长链攻击评测 12 个 LLM Agent
提出 DREAM 框架，评测 Agent 的跨环境长链攻击脆弱性
- arXiv
- 2512.19016
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Gemini-2.5-Flash-NT、o4-mini、Gemini-2.5-Flash 等 12 个
摘要DREAM 提出基于知识图谱与策略搜索的动态红队框架，分析了长链跨环境攻击对当前主流智能体的系统性威胁。
- 评测与基准arXiv 2406.12814
论文提出 ARE 框架，在 VisualWebArena 上评估多模态 Agent 的对抗鲁棒性
提出 ARE 框架与图像文本攻击，评测多模态网页 Agent 的对抗鲁棒性
- arXiv
- 2406.12814
- 发表
- 层
- 应用层
- 被测模型
- GPT-4o、GPT-4V、Claude-3-Opus 等 4 个
摘要系统评估多模态网页智能体的脆弱性，指出推理时计算组件被攻破会加剧系统风险。
已经到底了