全部论文

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

Qwen3.5-122B-A10B、Qwen3.5-27B、GPT-5.6-Sol 等 14 个

CredLeak-Bench

提出 CredLeak-Bench，评测 Agent 在钓鱼登录与收件箱中的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Qwen3.5-9B、Claude Sonnet 5、Claude Opus 4.8 等 7 个

• 攻击提示注入

论文提出 eTAMP 攻击：网页内容注入可跨会话污染 Web Agent 记忆

提出 eTAMP，通过网页注入跨会话污染 Web 智能体轨迹记忆

arXiv

2604.02623

发表

4月

层

应用层

场景

网页与电脑操作

测试

Qwen2.5-VL-72B、Qwen3-VL-32B、Qwen3.5-122B-A10B 等 7 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作

arXiv

2610.09240

发表

10月7日

层

应用层

场景

网页与电脑操作

测试

Qwen2-VL-7B、LLaVA-v1.5-13B、LLaVA-v1.6-34B 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

ActBench：面向协作智能体行为安全的自演化基准

提出自演化基准 ActBench，评测协作智能体的操作级行为安全

arXiv

2608.09476

发表

8月10日

层

应用层

场景

AI Agent

测试

Qwen3.7-max、Qwen3.7-plus、Claude-Opus-4.8 等 15 个

• 攻击提示注入
• 组件记忆
• +2+2

SecOPD 用同策略蒸馏把自适应提示注入攻击成功率降至 9.0%

提出 SecOPD 同策略蒸馏微调，降低模型对自适应提示注入的顺从

arXiv

2608.21500

发表

8月22日

层

应用层

场景

AI Agent

测试

Qwen3.6-27B (Undefended)、Meta-SecAlign、SecOPD

• 防御模型加固
• 攻击提示注入

Counter-GEO-Bench：现有护栏难挡 GEO 虚假信息

构建 COUNTER-GEO-BENCH，评测生成式搜索中的 GEO 虚假信息防御

arXiv

2609.02316

发表

9月2日

层

应用层

场景

LLM 应用

测试

Qwen-3.5-35B-A3B、Gemma-4-31B-IT、Llama-4-Scout-17B-16E 等 11 个

• 防御检测与过滤
• 攻击提示注入
• 组件RAG
• +1+1

SafeEvolve：基于智能体经验的 Harness-Policy 协同演化安全对齐框架

提出 SafeEvolve，用轨迹证据协同演化安全 harness 与策略

arXiv

2609.02786

发表

9月3日

层

应用层

场景

AI Agent

测试

Qwen3.5-4B、Qwen3-4B-Instruct-2507、Qwen3.5-1.7B 等 4 个

• 防御模型加固
• 攻击提示注入
• +2+2

SCOPE：训练有能力且安全的计算机使用智能体

提出 SCOPE 联合后训练计算机使用智能体的任务执行与安全决策

arXiv

2609.22178

发表

8月27日

层

应用层

场景

网页与电脑操作

测试

Qwen3.5-9B、Qwen3.7-Plus、Qwen3-VL-8B 等 14 个

• 防御模型加固
• 攻击提示注入

论文：用投毒基准污染自改进编码 Agent，令其后续版本写出漏洞代码

提出基准投毒攻击，使自修改编码智能体跨代写出漏洞代码

arXiv

2609.17817

发表

9月16日

层

应用层

场景

编程 Agent

测试

Qwen3.5-397B、Claude Sonnet 4.5、gpt-oss-120b 等 6 个

• 攻击投毒与后门
• 技术潜伏触发

PACE：面向工具调用 LLM Agent 的来源感知能力强制执行

提出 PACE，在工具调用前对 Agent 做路径隔离与效果授权

arXiv

2610.01349

发表

10月2日

层

应用层

场景

AI Agent

测试

Qwen-3.8-27B、gpt-5.6-luna、DeepSeek-V4-Flash

• 防御指令与数据隔离
• 攻击提示注入
• 组件MCP 与技能
• +1+1

研究：多智能体系统潜在通信链路可被训练用于提升有害顺从

提出只改多智能体潜在通信链路以提高有害遵从的攻击

arXiv

2609.39788

发表

9月30日

层

应用层

场景

多智能体

测试

Qwen2.5-3B-Instruct、Qwen3-1.7B、Qwen2.5-Math-1.5B-Instruct 等 7 个

• 攻击投毒与后门
• 风险拒答失当

AgentLSD：在对抗性任务污染下评测 AI 安全 Agent

用 AgentLSD 评测安全 Agent 在对抗任务污染下的解题与开销

arXiv

2609.19140

发表

9月17日

层

应用层

场景

网页与电脑操作

测试

Qwen3-Coder-Next、Gemma-4 31B、DeepSeek-V4 Flash 等 6 个

• 攻击提示注入

可验证行动卡片 VAC：为智能体浏览器提供可信人在回路确认

提出可验证操作卡 VAC，从真实 DOM 重构智能体浏览器的确认信息

arXiv

2609.18411

发表

9月16日

层

应用层

场景

网页与电脑操作

测试

Qwen3-32B、Qwen3.6-27B、gpt-oss-120b 等 6 个

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱
• +1+1

Provenance-Aware Transformers：用来源感知架构分离可信边界以防御间接提示注入

提出 Provenance-Aware Transformers，隔离不可信来源防御间接提示注入

arXiv

2609.21088

发表

9月18日

层

应用层

场景

LLM 应用

测试

Qwen2.5-7B-Instruct、SmolLM2-360M-Instruct、LLaMA-3-8B-Instruct 等 4 个

• 防御指令与数据隔离
• 攻击提示注入
• +1+1

特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

提出条件触发的爆炸提示词，延迟激活 Agent 的间接提示注入

arXiv

2609.22510

发表

9月19日

层

应用层

场景

AI Agent

测试

Qwen2.5-32B-Instruct、Qwen2.5-72B-Instruct、Llama-3.1-8B-Instruct 等 14 个

• 防御检测与过滤
• 攻击提示注入
• 技术潜伏触发
• 组件护栏与评审

用课程强化学习对前沿模型做提示注入红队测试

提出跨目标课程强化学习，生成间接提示注入以劫持智能体

arXiv

2609.33628

发表

9月27日

层

应用层

场景

AI Agent

测试

Qwen3-4B-Instruct-2507、Qwen3.6-27B-SecOPD、GPT-4o-mini 等 14 个

• 攻击提示注入
• 技术自动化搜索

ToolFence：为工具调用 LLM Agent 提供细粒度授权

提出 ToolFence 能力级授权，执行前编译蓝图并确定性拦截工具调用

arXiv

2609.37196

发表

9月29日

层

应用层

场景

AI Agent

测试

Qwen3-max、GPT-4o (gpt-4o-2024-08-06)、Mistral-Small-3.1-24B-Instruct-2503

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱