红队 · 论文

研究者提出对抗性重新包装：不改科学内容仅调整表述即可拉高 AI 审稿分数

提出对抗重构，仅改表述以拉高 AI 审稿分数

arXiv

2606.13044

发表

6月11日

层

应用层

场景

LLM 应用

测试

Claude Sonnet 4、Claude Sonnet 4.5、GPT-5-mini

• 技术自动化搜索
• 组件护栏与评审

CredLeak-Bench

提出 CredLeak-Bench，评测智能体在钓鱼场景下的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 5、Claude Opus 4.8、Gemini 3.6 Flash 等 7 个

MMPIBench：多模态提示注入对六种 Agent 框架的跨框架评测

用 MMPIBench 评测智能体框架的多模态提示注入

arXiv

2609.09404

发表

9月9日

层

应用层

场景

AI Agent

测试

Claude Opus 4.8、GPT-5.4、Gemini 3.1 Pro 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

CMU 研究：分片判断可避免 LLM 监督失效并抵御对抗利用

提出分片监督，将评判标准拆至独立调用以改善一致性并抵御展示攻击

arXiv

2608.06422

发表

8月6日

层

应用层

场景

LLM 应用

攻击者

黑盒

测试

Claude Opus 4.8、Claude Sonnet 4.6、Claude Opus 4.6 等 5 个

• 防御检测与过滤
• 攻击检测规避
• 组件护栏与评审

MisKnow-Agent 评测

提出 MisKnow-Agent，评测深度研究智能体是否采纳误导性检索知识

arXiv

2607.20891

发表

7月23日

层

应用层

场景

AI Agent

测试

Gemini Deep Research、DeepSeek-V4 Pro、Qwen3.5-397B 等 4 个

• 攻击投毒与后门
• 组件RAG

研究将间接提示注入重新表述为测试时搜索问题

提出 Search Harness，把间接提示注入做成测试时搜索

arXiv

2609.04495

发表

9月4日

层

应用层

场景

AI Agent

测试

Claude Opus 4.8、GPT-5.5、GLM-5.2

• 攻击提示注入
• 技术自动化搜索

特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

提出爆炸提示词，用条件触发的间接注入延迟诱发恶意工具调用

arXiv

2609.22510

发表

9月19日

层

应用层

场景

AI Agent

测试

Llama-3.1-8B-Instruct、Llama-3.1-70B-Instruct、Qwen2.5-32B-Instruct 等 14 个

• 防御检测与过滤
• 攻击提示注入
• 技术潜伏触发
• 组件护栏与评审

AgentXploit：面向 AI Agent 的仓库到运行时自动化红队系统

提出 AgentXploit 红队系统，分离仓库攻击路径发现与运行时利用

arXiv

2609.31318

发表

9月25日

层

应用层

场景

AI Agent

测试

gpt-5.1-codex、GPT-4.1

• 攻击提示注入
• 技术自动化搜索

AdaLCPI：让 Agent 从长上下文碎片中重建间接提示注入

提出 AdaLCPI，把间接提示注入拆成片段嵌入工具返回并自适应优化

arXiv

2609.36576

发表

9月29日

层

应用层

场景

AI Agent

测试

GPT-4.1、GPT-5.1、GPT-5.6-Luna 等 7 个

• 攻击提示注入
• 技术编码与混淆
• +1+1