防御arXiv 2610.0516310月4日
研究者在 Claude Code 和 Codex 上构造分段提示注入并发布边界动作审计基准
提出路径对齐归因 PAA，在边界动作前审计长流程智能体的分段提示注入
arXiv
2610.05163
发表
10月4日
层
应用层
场景
编程 Agent
测试
Claude Code (v2.1.172, Claude Sonnet 5)、Codex CLI (v0.144.0, GPT-5.5)、Claude Sonnet 5 等 7 个
- 防御监控与审计
- 攻击提示注入
- 组件监控器
摘要论文针对长流程注入提出边界动作审计与 PAA，在保持低误阻的同时实现高拦截率。
本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。
深度解读完整解读
攻击arXiv 2609.182179月16日
研究：跨通道碎片化攻击可绕过 MCP 单通道防御
提出跨通道分段攻击，利用 MCP 隐式信任诱导外发敏感文件
arXiv
2609.18217
发表
9月16日
层
应用层
场景
编程 Agent
测试
GPT-4o、GPT-4o-mini、GPT-5.4 等 15 个
- 攻击提示注入
- 技术编码与混淆
- 组件MCP 与技能
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
深度解读完整解读
攻击arXiv 2609.012229月1日
研究者提出上下文权限提升攻击，12 款 Agent 框架均受影响
提出 M-CPE 与 X-CPE 两类上下文特权提升攻击
arXiv
2609.01222
发表
9月1日
层
应用层
场景
编程 Agent
测试
GPT-5.5、GPT-5.4 mini、Claude-Sonnet-4.6 等 7 个
- 攻击提示注入
- 组件记忆
深度解读完整解读
攻击arXiv 2607.261157月29日
OpenAI 发布 GPT-Red：通过自博弈训练自动化红队智能体
提出自博弈红队智能体 GPT-Red，自动挖掘提示注入与越狱攻击
arXiv
2607.26115
发表
7月29日
层
应用层
场景
AI Agent
攻击者
黑盒
测试
GPT-5.6、GPT-5.5、GPT-5.4 等 8 个
- 攻击提示注入
- 技术自动化搜索
深度解读完整解读
攻击arXiv 2608.238588月25日
研究者对 Google AP2 v0.2 做系统安全分析，识别 48 项威胁
系统分析 AP2 支付协议的授权安全并验证前置上下文操纵
arXiv
2608.23858
发表
8月25日
层
应用层
场景
多智能体
测试
gpt-5.3、gpt-5.5
- 攻击提示注入
- 组件MCP 与技能
深度解读完整解读
防御arXiv 2608.240178月25日
WebMCP-Phalanx：为浏览器内 LLM Agent 工具调用建立信任边界
提出 WebMCP-Phalanx，用能力凭证与双智能体隔离浏览器工具面
arXiv
2608.24017
发表
8月25日
层
应用层
场景
AI Agent
- 防御指令与数据隔离
- 攻击提示注入
- 组件MCP 与技能
摘要Phalanx 用浏览器凭证绑定工具所有权，Q/P 分离拦住描述注入，工具名与返回值仍有残留。
WebMCP-Phalanx针对浏览器里的 WebMCP 智能体：在 SOP 下补工具所有权，并把语义检查从有工具权的执行中分开。
深度解读完整解读
评测与基准arXiv 2607.146117月16日
论文评测 Claude Code 与 Codex 记忆文件中的提示注入风险
评测编码智能体记忆文件中的提示注入及其跨会话持久性
arXiv
2607.14611
发表
7月16日
层
应用层
场景
编程 Agent
测试
Claude Haiku 4.5、Claude Opus 4.7、GPT-5.2 等 4 个
- 攻击投毒与后门
- 技术潜伏触发
- 组件记忆
摘要已植入记忆文件的载荷可以跨会话影响 Claude Code 与 Codex，攻击成功与载荷是否留下是两种不同的失败。
Bad Memory 在沙箱合成工作区里评测文件型持久记忆上的提示注入，比较载荷能否改变当前会话，以及能否在后续会话中留下或叠加。
深度解读完整解读
防御arXiv 2609.140799月13日
SkillSecurer：检测并修补 AI Agent 技能中的提示注入漏洞
提出 SkillSecurer，检测定位并修补智能体技能中的提示注入
arXiv
2609.14079
发表
9月13日
层
应用层
场景
编程 Agent
测试
Claude Sonnet 5、Gemini 3.6 Flash、GPT-5.6 Sol 等 10 个
- 防御检测与过滤
- 攻击提示注入
- 组件MCP 与技能
深度解读完整解读
攻击arXiv 2608.304418月31日
ECLIPSE：针对长程 Agent 系统的自演化隐蔽提示注入攻击
提出 ECLIPSE 双通道自演化提示注入，劫持长程智能体动作轨迹
arXiv
2608.30441
发表
8月31日
层
应用层
场景
AI Agent
攻击者
黑盒
测试
DeepSeek、GPT-4o、Claude 4.8 Opus 等 7 个
- 攻击提示注入
- 技术自动化搜索
- 组件MCP 与技能
深度解读完整解读
攻击arXiv 2609.225109月19日
特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent
提出条件触发的爆炸提示词，延迟激活 Agent 的间接提示注入
arXiv
2609.22510
发表
9月19日
层
应用层
场景
AI Agent
测试
Llama-3.1-8B-Instruct、Llama-3.1-70B-Instruct、Qwen2.5-32B-Instruct 等 14 个
- 防御检测与过滤
- 攻击提示注入
- 技术潜伏触发
- 组件护栏与评审
摘要论文揭示了条件触发使提示注入绕过防御并在触发时执行工具，提出轻量检测器并在摄入期有效防范。
论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。
深度解读完整解读
攻击arXiv 2609.339109月28日
论文提出残留授权重放攻击：长期运行 Agent 的授权可跨任务复用
提出残余权限重放攻击，让长期 Agent 跨任务复用未失效授权
arXiv
2609.33910
发表
9月28日
层
应用层
场景
编程 Agent
测试
GPT-4.1、Gemini-3.1-Flash-Lite、Qwen3-14B 等 9 个
- 攻击提示注入
- 技术潜伏触发
- 组件权限与沙箱
深度解读完整解读
防御arXiv 2609.356599月29日
Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统
提出 Tracekit，对编码 Agent 做防篡改的意图-推理-动作审计
arXiv
2609.35659
发表
9月29日
层
应用层
场景
编程 Agent
测试
Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）
- 防御监控与审计
- 攻击提示注入
- 风险Agent 危险操作
- 组件监控器
摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。
Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。
深度解读完整解读
攻击arXiv 2609.365769月29日
AdaLCPI：让 Agent 从长上下文碎片中重建间接提示注入
提出 AdaLCPI，把间接提示注入拆成片段嵌入工具返回并自适应优化
arXiv
2609.36576
发表
9月29日
层
应用层
场景
AI Agent
测试
GPT-4.1、GPT-5.1、GPT-5.6-Luna 等 7 个
- 攻击提示注入
- 技术编码与混淆
深度解读完整解读

已经到底了