跳到正文
10月9日 · 周五

Agent 安全 · 论文

找到 124 篇
筛选4

攻击类型

越狱8提示注入52投毒与后门31提取与窃取3检测规避2拒绝服务1恶意使用5

攻击技术

梯度与表征优化1自动化搜索17编码与混淆3对话结构操控1推理链操控2跨模态载荷2针对防御5潜伏触发15诱导选用5

模型自身风险

欺骗与谋划7奖励作弊4失准与价值偏离7Agent 危险操作14危险能力1拒答失当3

防御类型

模型加固2检测与过滤9指令与数据隔离6权限与审批13监控与审计7

影响

有害内容2越权操作51数据与隐私泄露16输出被操纵24可用性与可靠性6监督失效11滥用能力提升1

系统形态

LLM 应用7AI Agent118编程 Agent28网页与电脑操作7多智能体18

攻击者权限

黑盒6灰盒1白盒2

攻击面/入口

用户输入27网页与界面14文档与消息19工具返回20工具与技能描述23代码仓库与依赖8检索语料4记忆写入15Agent 间消息4图像与音视频3训练数据1分发渠道12

层

提示层2模型层4应用层124训练与数据层2

系统组件

MCP 与技能28记忆20RAG5护栏与评审9监控器13推理链3权限与沙箱18视觉2多模态2

被测模型厂商

OpenAI193Qwen（阿里）154Anthropic130Google116DeepSeek103智谱 GLM75Meta72Kimi（月之暗面）66Mistral33xAI28MiniMax27Microsoft12NVIDIA8字节跳动7其他77
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 247 篇还没打标签，不在筛选结果里。
层：应用层被测模型厂商：DeepSeek被测模型厂商：MiniMax被测模型厂商：Microsoft话题：Agent 安全清除全部

另有 247 篇论文还没打上分类标签，暂不在筛选结果里。

  2. 攻击arXiv 2608.04565

    研究者提出 Breadcrumbing 长程攻击，可劫持 DeepResearch 类搜索 Agent 的证据链

    提出权威链劫持 ACH 与策略演化 TGSE，劫持搜索 Agent 的证据链

    arXiv
    2608.04565
    发表
    层
    应用层
    场景
    AI Agent
    测试
    MiniMax-M2.5、DeepSeek-V4-Flash、Qwen3.5-9B 等 8 个

    摘要论文揭示了多步搜索智能体在受限中间人操纵下的脆弱性，提出 ACH 策略与 TGSE 演化方法并完成系统验证。

    深度解读完整解读
  3. 攻击arXiv 2608.05563

    研究者提出 PoisonedEvolution 轨迹投毒攻击

    提出 PoisonedEvolution 轨迹投毒，诱导自演化技能系统把恶意行为固化为技能

    arXiv
    2608.05563
    发表
    层
    应用层
    场景
    AI Agent
    测试
    MiniMax-M2.5、DeepSeek-V3.2、DeepSeek-V4-Pro 等 7 个
    摘要论文揭示自演化技能系统的证据晋升漏洞，提出并验证轨迹投毒攻击。

    这篇论文揭示了自演化技能系统在将交互经验转化为持久指令时的安全风险。

    深度解读完整解读
  4. 攻击arXiv 2608.09732

    ColluSkill 用跨技能组合绕过 Agent 技能扫描器

    提出 ColluSkill 跨技能组合攻击，拆分恶意载荷以绕过技能扫描器

    arXiv
    2608.09732
    发表
    层
    应用层
    场景
    编程 Agent
    攻击者
    黑盒、灰盒
    测试
    DeepSeek-V4-Pro、GPT-5.5、GLM-5.2

    摘要论文揭示了单技能孤立扫描的盲区，提出多技能链攻击 ColluSkill 与上下文防御 ChainGuard 并验证了有效性。

    深度解读完整解读
  5. 攻击arXiv 2606.04329

    研究者系统研究 LLM 智能体记忆投毒攻击并提出 MPBench 基准

    系统研究 LLM 智能体记忆投毒并构建基准 MPBench

    arXiv
    2606.04329
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Deberta-v3-base、GPT-OSS-120B、Meta-Llama-3.1-70B-Instruct 等 6 个

    摘要系统研究了智能体记忆投毒风险，揭示了写入渠道漏洞，构建了 MPBench 基准并指出提示注入防御的局限。

    深度解读完整解读
  6. 攻击arXiv 2608.16246

    CompoSkill 框架利用逐个通过扫描的 Agent 技能组合发起攻击

    提出 CompoSkill，诱导 Agent 将过审技能组合成攻击链

    arXiv
    2608.16246
    发表
    层
    应用层
    场景
    AI Agent
    测试
    DeepSeek-V4、GPT-5.4、Gemini-3.1-flash 等 4 个

    摘要论文分析了智能体技能组合风险，指出单包安全认证状态不具备可组合性，需转向路径级防护。

    深度解读完整解读
  7. 攻击arXiv 2608.04192

    研究者提出 SkillClone，仅凭正常提问即可克隆 LLM Agent 隐藏技能功能

    提出 SKILLCLONE，仅凭良性任务交互重构 Agent 隐藏技能功能

    arXiv
    2608.04192
    发表
    层
    应用层
    场景
    AI Agent
    攻击者
    黑盒
    测试
    DeepSeek-Flash、DeepSeek-Pro、DeepSeek-V4-Flash Preview 等 6 个
    摘要论文揭示了仅靠良性任务交互即可重构闭源智能体技能隐藏功能的风险，表明功能保密需要限制累积信息泄露。

    论文从功能保密视角系统研究了大语言模型智能体技能的行为重构威胁。

    深度解读完整解读
  8. 攻击arXiv 2608.25776

    EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播

    提出 EVOMAL 攻击，诱导编码 Agent 自我投毒并蠕虫式传播技能

    arXiv
    2608.25776
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    MiniMax-M2.7、DeepSeek-V4-Pro、Devstral-Small-2 等 7 个

    摘要论文指出了自演化智能体模仿检索代码的自我毒化漏洞，提出 EVOMAL 攻击与防御，阐明了供应链新风险。

    深度解读完整解读
  9. 攻击arXiv 2608.04741

    LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

    提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

    arXiv
    2608.04741
    发表
    层
    应用层
    场景
    网页与电脑操作
    测试
    DeepSeek-V3.2、GPT-4o、Gemini 3 Flash 等 7 个

    摘要揭示网络智能体在黑盒网页下的登录诱导风险，利用模糊测试生成话术并跨骨干和架构验证了隐私泄露威胁。

    深度解读完整解读
  12. 防御arXiv 2609.11757

    研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

    提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策

    arXiv
    2609.11757
    发表
    层
    应用层
    场景
    AI Agent
    测试
    deepseek-v4-pro、gemini-2.5-flash-lite、gemini-3.1-flash-lite 等 15 个

    摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。

    深度解读完整解读
  13. 攻击arXiv 2610.09240

    WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

    提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作

    arXiv
    2610.09240
    发表
    层
    应用层
    场景
    网页与电脑操作
    测试
    Phi-3-Vision-4B、LLaVA-v1.5-13B、LLaVA-v1.6-34B 等 6 个
    摘要论文提出了针对网络智能体的端到端视觉红队框架 WebMirage，揭示了从视觉定位到浏览器执行的安全脆弱性。

    WebMirage 是一个面向视觉定位网络智能体的流水线感知端到端红队攻击框架。

    深度解读完整解读
  15. 评测与基准arXiv 2610.07359

    论文实测 Agent 工具调用门控栈的失败相关性

    提出 nmult，实测 Agent 动作门控栈的层间错误相关性

    arXiv
    2610.07359
    发表
    层
    应用层
    场景
    AI Agent
    测试
    deepseek-v4-flash、GPT-5.5 (gpt55)、claude-haiku-4-5-20251001 等 6 个
    摘要论文实测发现大模型裁判间错误显著相关，作者主张按机制选型并在整栈层面度量防护增益。

    论文是一项针对智能体动作拦截防御堆叠故障关联性与实际组合价值的实证测量研究。

    深度解读完整解读
  17. 攻击arXiv 2610.07645

    SkillPoison：用成功经验投毒自进化 Agent 的技能形成

    提出 SkillPoison，用局部有效的成功经验投毒自进化智能体的技能形成

    arXiv
    2610.07645
    发表
    层
    应用层
    场景
    AI Agent
    测试
    deepseek-v4-flash、Qwen V3.8 Flash、GPT-5.5
    摘要SkillPoison 通过局部有效且验证成功的经验诱导技能过度泛化，在多个评测基准上实现了持久的下游攻击影响。

    SkillPoison 提出了一种针对自进化智能体经验到技能形成过程的攻击范式，通过组织已验证的成功经验诱导技能过度泛化。

    深度解读完整解读
  20. 防御arXiv 2610.06001

    AgentSpy：在系统调用层观测 AI Agent 行为并检测技能注入攻击

    提出 AgentSpy，在系统调用层观测 Agent 并检测技能注入

    arXiv
    2610.06001
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    deepseek-v4-flash、gpt-5.6-terra、glm-5.3-flash 等 4 个
    摘要提出了系统级智能体监控框架 AgentSpy，揭示出通过测试背后的非预期行为与注入风险。

    本研究提出了面向 AI 智能体的系统级外部监控与行为分析框架 AgentSpy。

    深度解读完整解读
加载更多