全部论文

CompoSkill 框架利用逐个通过扫描的 Agent 技能组合发起攻击

提出 CompoSkill，诱导 Agent 将过审技能组合成攻击链

arXiv

2608.16246

发表

8月17日

层

应用层

场景

AI Agent

测试

Gemini-3.1-flash、DeepSeek-V4、LongCat-2.0 等 4 个

• 攻击提示注入
• 技术针对防御
• 组件MCP 与技能
• +1+1

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

DeepSeek-V4-Flash、Kimi-K2.6、Qwen3.5-122B-A10B 等 14 个

DelegationBench

提出 DelegationBench，评测智能体该请示用户时是否实际询问

arXiv

2610.05532

发表

10月5日

层

应用层

场景

AI Agent

测试

Gemini 3.6 Flash、Gemini 3.5 Flash-Lite、Qwen 3.6 27B 等 10 个

• 风险Agent 危险操作

CredLeak-Bench

提出 CredLeak-Bench，评测 Agent 在钓鱼登录与收件箱中的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Gemini 3.6 Flash、Qwen3.5-9B、Llama-3.1-8B-Instruct 等 7 个

• 攻击提示注入

APort Vault 发布：用 4,371 条人工攻击评测 AI Agent 支付授权

构建 APort Vault 基准，对比裸模型与确定性授权对越权支付的拦截

arXiv

2609.22076

发表

9月18日

层

应用层

场景

AI Agent

测试

Gemini 3.5 Flash、Gemini 3.8 Flash、DeepSeek V4 Pro 等 14 个

• 防御权限与审批
• 攻击越狱
• 组件权限与沙箱

Trojan Hippo Bench：针对 LLM Agent 持久记忆攻击与防御的动态基准

提出 Trojan Hippo Bench，评测智能体持久记忆攻击与防御

arXiv

2605.01970

发表

5月3日

层

应用层

场景

AI Agent

测试

Gemini 3.1 Pro、GPT-5-mini、GPT-5

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +2+2

PatchBench 提出激活补丁局部评测协议，揭示越狱修复的附带损伤

提出 PatchBench 局部协议，评测激活补丁修复越狱的附带损伤

arXiv

2610.10276

发表

10月7日

层

模型层

场景

模型与 API

测试

Qwen2.5-3B-Instruct、Qwen2.5-14B-Instruct、gemma-3-4b-it 等 8 个

• 防御推理时干预
• 攻击越狱
• 风险拒答失当

Sleight-Bench：40 条攻击中 20 条从未被 Opus 4.6 监控发现

提出 SLEIGHT-BENCH，评测代码智能体监控器的概念盲点

arXiv

2605.16626

发表

5月

层

应用层

场景

编程 Agent

测试

Gemini 3.1 Pro、Claude Opus 4.6、Claude Opus 4.7 等 6 个

• 防御监控与审计
• 风险欺骗与谋划
• 组件监控器

研究：94% 开发者未能识破编码 Agent 的隐蔽破坏

评测人类开发者在协作编程中能否发现编码智能体的隐蔽破坏

arXiv

2606.05647

发表

6月4日

层

应用层

场景

编程 Agent

测试

Gemini-3.1-Pro、Claude-Opus-4.6、GPT-5.4 等 5 个

• 风险欺骗与谋划
• 组件监控器

论文实测 Agent 工具调用门控栈的失败相关性

提出 nmult 指标，测量智能体动作门禁堆叠的错误相关性与等效层数

arXiv

2610.07359

发表

10月6日

层

应用层

场景

AI Agent

测试

deepseek-v4-flash、GPT-5.5 (gpt55)、claude-haiku-4-5-20251001 等 6 个

• 组件护栏与评审
• +1+1

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

研究者提出 Trust Layer 框架复核 Agents' Last Exam 成绩可信度

提出 Trust Layer，事后复核智能体基准成绩的真实性、诚实性与稳定性

arXiv

2610.07274

发表

10月6日

层

应用层

场景

AI Agent

测试

Muse Spark 1.2、Gemini 3.6 Flash、Claude Sonnet 4.6 等 5 个

• 风险欺骗与谋划
• +1+1

论文提出按风险类别测量的对齐缩放定律框架

提出分风险对齐标度律框架，测量各类风险的对齐负担如何随规模变化

arXiv

2610.08540

发表

10月6日

层

训练与数据层

场景

模型与 API

测试

Qwen2.5 (0.5B–72B)、Qwen2.5-Instruct (0.5B–14B)、Qwen3 Base (0.6B–14B) 等 4 个

• 风险失准与价值偏离
• +1+1

研究者提出统一滥用监控基准，覆盖分解攻击与提示注入约 6200 条轨迹

构建统一滥用监视基准，评测分解攻击与提示注入轨迹

arXiv

2610.07089

发表

10月5日

层

应用层

场景

AI Agent

测试

Gemma 4 26B-A4B、Qwen3.6 27B、Qwen3.5 27B 等 12 个

• 攻击越狱
• 组件监控器
• +1+1

HarnessSecurity-Bench 横向评测六款编码智能体框架的安全机制

提出 HARNESSSECURITY-BENCH 评测编码智能体框架的安全机制

arXiv

2610.07639

发表

10月6日

层

应用层

场景

编程 Agent

测试

GLM-5.2、Qwen3.8-27B、DeepSeek V4 Flash 等 4 个

• 攻击提示注入
• 组件权限与沙箱
• +1+1

COPEX：面向 MCP 智能体的受控攻击评测基准发布

提出 COPEX 基准，固定协议栈评测 MCP 智能体的攻击抵抗力

arXiv

2610.04378

发表

10月3日

层

应用层

场景

AI Agent

测试

Gemini 3.1、Llama-3.2:3b、Qwen-2.5:3b 等 9 个

• 攻击提示注入
• 组件MCP 与技能

研究发现类型化决策模型主要按选项标签而非定义作答

揭示类型化决策模型按选项标签而非定义规则作答

arXiv

2610.02586

发表

10月1日

层

提示层

场景

模型与 API

测试

von、Qwen2.5-0.5B、Qwen2.5-1.5B 等 6 个

• 组件护栏与评审

SycoLens 研究：单一谄媚翻转率掩盖纠正与屈从的区别

构建 SycoLens 重放评测，区分谄媚翻转中的纠错与屈从

arXiv

2610.06522

发表

10月5日

层

模型层

场景

模型与 API

测试

gemini-3.1-pro、gemini-3.5-flash、gemini-3.1-flash-lite 等 11 个

• 风险失准与价值偏离

UndoBench 发布：分离工具型 Agent 的任务能力与故障恢复能力

发布 UndoBench，分离工具型智能体的任务能力与故障恢复能力

arXiv

2610.05622

发表

10月5日

层

应用层

场景

AI Agent

测试

Llama-3.1-8B-Instruct、Llama-3.2-3B-Instruct、Gemini 3.8 Flash 等 4 个

• 风险Agent 危险操作

论文提出 Operational Validity Contract，审计激活监控从探针分数到告警策略的有效性

提出操作有效性契约，审计激活监控从探针分数到告警策略的有效性

arXiv

2610.04575

发表

10月3日

层

应用层

场景

AI Agent

测试

Qwen2.5-7B-Instruct、Llama-3.2-3B、Qwen2.5-7B 等 4 个

• 防御监控与审计
• 组件监控器