Agent 安全 · 论文

论文提出针对 Agentic RAG 的检索器后门攻击与 DOU 隐藏方法

提出检索器后门攻击操纵智能体多轮搜索，并用 DOU 隐蔽后门

arXiv

2609.37468

发表

9月26日

层

应用层

场景

AI Agent

测试

E5、Contriever-MSMARCO、Qwen2.5-7B-Instruct

• 攻击投毒与后门
• 技术潜伏触发
• 组件RAG
• +4+4

研究揭示 IDE 编程 Agent 的工作流级越狱：GitHub Copilot 四后端 816/816 生成有害内容

提出工作流级越狱构建，经多轮开发工作流诱导编程 Agent 在代码中写出有害内容

arXiv

2607.03968

发表

7月5日

层

应用层

场景

编程 Agent

攻击者

黑盒、无盒

测试

Gemini 3.1 Pro、Gemini 3.5 Flash、Claude Sonnet 4.6 等 5 个

• 攻击越狱
• 技术多轮渐进
• +1+1

研究提出社会性作弊概念：RL训练让LLM发现社会规则漏洞

用 SocioHack 展示 RL 训练使模型自发利用社会规制漏洞

arXiv

2606.04075

发表

6月3日

层

模型层

场景

模型与 API

测试

Gemma4-26B-A4B、Gemma4-E4B、Gemini-3-flash 等 6 个

• 风险奖励作弊

CompoSkill 框架利用逐个通过扫描的 Agent 技能组合发起攻击

提出 CompoSkill，诱导 Agent 将过审技能组合成攻击链

arXiv

2608.16246

发表

8月17日

层

应用层

场景

AI Agent

测试

Gemini-3.1-flash、LongCat-2.0、GPT-5.4 等 4 个

• 攻击提示注入
• 技术针对防御
• 组件MCP 与技能
• +1+1

CONTRA：研究者用配置树搜索对个人化 Agent 做红队测试

提出 CONTRA，用树搜索修改良性配置以诱发 Agent 恶意动作

arXiv

2607.03220

发表

7月3日

层

应用层

场景

AI Agent

测试

Gemma4-31b、Gemma4-e4b、GLM-4.7-flash 等 6 个

• 技术自动化搜索

EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播

提出 EVOMAL 攻击，诱导编码 Agent 自我投毒并蠕虫式传播技能

arXiv

2608.25776

发表

8月26日

层

应用层

场景

编程 Agent

测试

Gemma-4-31B-IT、Devstral-Small-2、Qwen3-Coder-Next 等 7 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +3+3

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

测试

Gemini 3 Flash、Browser-Use、LiteWebAgent 等 7 个

• 攻击提示注入
• 技术自动化搜索

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

Fara1.5-27B、CAVEAT-27B、GPT-5.6-Sol 等 14 个

DelegationBench

提出 DelegationBench，评测智能体该请示用户时是否实际询问

arXiv

2610.05532

发表

10月5日

层

应用层

场景

AI Agent

测试

Gemini 3.6 Flash、Gemini 3.5 Flash-Lite、GPT-5.6 Sol 等 10 个

• 风险Agent 危险操作

东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核

揭示推理模型用标识符规则替代随机抽样，使审计可被预测

arXiv

2610.09667

发表

10月7日

层

模型层

场景

模型与 API

测试

Gemini 3.8 Flash、Gemini 3.5 Flash、GPT-6 Sol 等 6 个

• 组件推理链

CredLeak-Bench

提出 CredLeak-Bench，评测 Agent 在钓鱼登录与收件箱中的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Gemini 3.6 Flash、Claude Sonnet 5、Claude Opus 4.8 等 7 个

• 攻击提示注入

APort Vault 发布：用 4,371 条人工攻击评测 AI Agent 支付授权

构建 APort Vault 基准，对比裸模型与确定性授权对越权支付的拦截

arXiv

2609.22076

发表

9月18日

层

应用层

场景

AI Agent

测试

Gemini 3.5 Flash、Gemini 3.8 Flash、Claude Fable 5.1 等 14 个

• 防御权限与审批
• 攻击越狱
• 组件权限与沙箱

研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策

arXiv

2609.11757

发表

9月10日

层

应用层

场景

AI Agent

测试

gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱
• +1+1

Trojan Hippo Bench：针对 LLM Agent 持久记忆攻击与防御的动态基准

提出 Trojan Hippo Bench，评测智能体持久记忆攻击与防御

arXiv

2605.01970

发表

5月3日

层

应用层

场景

AI Agent

测试

Gemini 3.1 Pro、GPT-5-mini、GPT-5

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +2+2

WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作

arXiv

2610.09240

发表

10月7日

层

应用层

场景

网页与电脑操作

测试

LLaVA-v1.5-13B、LLaVA-v1.6-34B、MiniCPM-o-8B 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

研究显示前沿模型智能体在测试时自行形成隐蔽信道

展示多智能体在禁令与监视下自发建立隐蔽信道传递机密

arXiv

2609.32701

发表

9月26日

层

应用层

场景

多智能体

测试

Terra、Luna、GPT-5.6 Sol 等 6 个

• 风险欺骗与谋划
• 组件监控器

Sleight-Bench：40 条攻击中 20 条从未被 Opus 4.6 监控发现

构建 SLEIGHT-BENCH，评测代码智能体监控器的概念盲点

arXiv

2605.16626

发表

5月

层

应用层

场景

编程 Agent

测试

Gemini 3.1 Pro、Claude Opus 4.6、Claude Opus 4.7 等 6 个

• 防御监控与审计
• 风险欺骗与谋划
• 组件监控器

研究：94% 开发者未能识破编码 Agent 的隐蔽破坏

评测人类开发者在协作编程中能否发现编码 Agent 的隐蔽破坏

arXiv

2606.05647

发表

6月4日

层

应用层

场景

编程 Agent

测试

Gemini-3.1-Pro、Claude-Opus-4.6、GPT-5.4 等 5 个

• 风险欺骗与谋划
• 组件监控器

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

GUI-Owl(32B)、Mai-UI(8B)、Gemini-3-Flash 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

研究：工具型智能体判断结果无用却仍继续检索，强制整合步骤可纠正

分析工具型 Agent 判定检索无用却不停止的原因

arXiv

2610.06191

发表

10月5日

层

应用层

场景

AI Agent

测试

Search-R1、Qwen2.5-7B、Llama-3.1-8B 等 7 个