Agent 安全 · 论文

CredLeak-Bench

提出 CredLeak-Bench，评测智能体在钓鱼场景下的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Llama-3.1-8B-Instruct、Claude Sonnet 5、Claude Opus 4.8 等 7 个

COPEX：面向 MCP 智能体的受控攻击评测基准发布

用 COPEX 基准在固定协议栈下评测智能体抵御 MCP 攻击的能力

arXiv

2610.04378

发表

10月3日

层

应用层

场景

AI Agent

测试

Llama-3.2:3b、Claude Opus 4.7、Claude Sonnet 4.6 等 9 个

• 攻击提示注入
• 组件MCP 与技能

Uber 提出 ADR 企业级 Agent 检测系统，在 7200 台主机部署十个月

提出企业级智能体检测系统 ADR，检测提示注入与恶意 MCP

arXiv

2605.17380

发表

5月

层

应用层

场景

编程 Agent

测试

Llama Guard 3-8B、GPT-4o、Claude Sonnet 4 等 4 个

• 防御检测与过滤
• 攻击提示注入
• 组件MCP 与技能
• +1+1

研究：跨通道碎片化攻击可绕过 MCP 单通道防御

提出跨通道分段攻击，借 MCP 多通道隐式信任外发敏感数据

arXiv

2609.18217

发表

9月16日

层

应用层

场景

编程 Agent

测试

Llama-3.3-70B、GPT-4o、GPT-4o-mini 等 15 个

• 攻击提示注入
• 技术编码与混淆
• 组件MCP 与技能
• +2+2

MMPIBench：多模态提示注入对六种 Agent 框架的跨框架评测

用 MMPIBench 评测智能体框架的多模态提示注入

arXiv

2609.09404

发表

9月9日

层

应用层

场景

AI Agent

测试

Llama 4 Maverick、Claude Opus 4.8、GPT-5.4 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

Janus：面向长时程智能体安全的前瞻性潜在风险预测框架

提出 Janus，用 CoAA-RL 训练前瞻守卫，在长程智能体有害动作执行前拦截

arXiv

2607.19913

发表

7月22日

层

应用层

场景

AI Agent

测试

Llama-Guard-3-8B、LlamaFirewall、Vanguard 等 8 个

• 防御监控与审计
• 攻击提示注入
• 风险Agent 危险操作
• 组件监控器
• +1+1

SecOPD 用同策略蒸馏把自适应提示注入攻击成功率降至 9.0%

提出 SecOPD 同策略蒸馏微调，降低模型对自适应提示注入的顺从

arXiv

2608.21500

发表

8月22日

层

应用层

场景

AI Agent

测试

Meta-SecAlign、Qwen3.6-27B (Undefended)、SecOPD

• 防御模型加固
• 攻击提示注入

SkillGuard：面向间接提示注入的 LLM Agent 能力限制机制

提出 SkillGuard，用可达性切断污染后通往禁止状态的技能调用

arXiv

2608.30041

发表

8月31日

层

应用层

场景

AI Agent

测试

Llama3.3-70B、Gemini 2.5 Flash

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱

ISM：通过语义匹配隐式操纵 LLM Agent 的技能选择

提出 ISM，协同改写技能描述与提示词以隐式操纵技能选择

arXiv

2609.02035

发表

9月2日

层

应用层

场景

AI Agent

测试

Llama-2-7B、Llama-3-8B、Llama-3.1-8B 等 8 个

• 攻击投毒与后门
• 技术诱导选用
• 组件MCP 与技能

Mind the Gap：检测 DAO 治理中的描述-执行不匹配攻击

提出 DEMI 检测框架，在执行前识别 DAO 提案描述与执行载荷的不匹配

arXiv

2609.13601

发表

9月12日

层

应用层

场景

LLM 应用

测试

Llama-3.3-70B、GPT-4o、Claude 4.5 Sonnet 等 8 个

• 防御检测与过滤
• 组件护栏与评审

研究显示 Claude Code、Codex 等本地智能体可轻易篡改自身执行轨迹

测量编程智能体被诱导或为奖励而篡改自身执行轨迹

arXiv

2609.30266

发表

9月25日

层

应用层

场景

编程 Agent

测试

Muse Spark 1.3、GPT-5.6-Sol、GPT-6-Sol 等 11 个

• 攻击提示注入
• 风险奖励作弊
• 组件监控器
• +3+3

SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化

提出 SYNCHAIN，以定向微调诱导智能体自合成跨任务潜伏工件

arXiv

2608.06862

发表

8月7日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

Llama-3.1-8B、Qwen3.5-9B、Ministral-3-8B 等 5 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件MCP 与技能
• +3+3

ContextLeak：通过恶意工具窃取 LLM Agent 运行时上下文

提出 ContextLeak，用强化学习生成恶意工具描述以诱导 Agent 外泄上下文

arXiv

2608.27800

发表

8月28日

层

应用层

场景

AI Agent

测试

Llama-3-8B-Instruct、Meta-SecAlign、Qwen-3-8B 等 11 个

• 攻击提示注入
• 技术诱导选用
• 组件MCP 与技能
• +1+1

LongPIBench：面向长上下文提示注入的评测基准

提出 LongPIBench，评测长文档场景下的提示注入攻击与防御

arXiv

2608.28411

发表

8月28日

层

应用层

场景

LLM 应用

测试

Llama-3.1-8B-Instruct、Llama-3.2-3B-Instruct、MetaSecAlign 8B 等 11 个

• 攻击提示注入

ActGuard：面向 LLM Agent 间接提示注入的执行前动作审计框架

提出 ActGuard，在执行前审计并遮盖诱发动作偏离的间接注入

arXiv

2609.14987

发表

9月14日

层

应用层

场景

AI Agent

测试

Llama-3.1-8B-Instruct、Meta-Llama-3.1-8B-Instruct、GPT-4o-mini 等 7 个

• 防御监控与审计
• 攻击提示注入
• 组件监控器
• +2+2

Provenance-Aware Transformers：用来源感知架构分离可信边界以防御间接提示注入

提出 Provenance-Aware Transformers，隔离不可信来源防御间接提示注入

arXiv

2609.21088

发表

9月18日

层

应用层

场景

LLM 应用

测试

LLaMA-3-8B-Instruct、SmolLM2-360M-Instruct、Qwen2.5-7B-Instruct 等 4 个

• 防御指令与数据隔离
• 攻击提示注入
• +1+1

特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

提出爆炸提示词，用条件触发的间接注入延迟诱发恶意工具调用

arXiv

2609.22510

发表

9月19日

层

应用层

场景

AI Agent

测试

Llama-3.1-8B-Instruct、Llama-3.1-70B-Instruct、Llama-3.3-70B-Instruct 等 14 个

• 防御检测与过滤
• 攻击提示注入
• 技术潜伏触发
• 组件护栏与评审

研究提出 ACE 语料库，评估内核级证据对 Agent 安全检测的有效性

构建 ACE 语料并比较内核与应用层证据的攻击检测效果

arXiv

2609.28915

发表

9月24日

层

应用层

场景

编程 Agent

测试

Llama-3.1-8B、AdaBoost、XGBoost 等 13 个

• 防御监控与审计
• 攻击提示注入
• 组件监控器
• +2+2

研究审计 Agent 安全评测缺陷：工具调用中介在间接提示注入下的有效评测框架

提出卡点评测框架，以实参级谓词审计间接提示注入评测的测量偏差

arXiv

2609.32691

发表

9月26日

层

应用层

场景

AI Agent

测试

llama3.1:8b、gpt-5.6-terra、gemma4:12b 等 4 个

• 攻击提示注入
• 组件权限与沙箱