Agent 安全 · 论文

CredLeak-Bench

提出 CredLeak-Bench，评测智能体在钓鱼场景下的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Gemini 3.6 Flash、Claude Sonnet 5、Claude Opus 4.8 等 7 个

Trojan Hippo Bench：针对 LLM Agent 持久记忆攻击与防御的动态基准

提出 Trojan Hippo Bench，评测智能体持久记忆攻击与防御

arXiv

2605.01970

发表

5月3日

层

应用层

场景

AI Agent

测试

Gemini 3.1 Pro、GPT-5-mini、GPT-5

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +2+2

MMPIBench：多模态提示注入对六种 Agent 框架的跨框架评测

用 MMPIBench 评测智能体框架的多模态提示注入

arXiv

2609.09404

发表

9月9日

层

应用层

场景

AI Agent

测试

Gemini 3.1 Pro、Claude Opus 4.8、GPT-5.4 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

SkillGuard：面向间接提示注入的 LLM Agent 能力限制机制

提出 SkillGuard，用可达性切断污染后通往禁止状态的技能调用

arXiv

2608.30041

发表

8月31日

层

应用层

场景

AI Agent

测试

Gemini 2.5 Flash、Llama3.3-70B

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱

研究者用控制 token 注入删除 gpt-oss-20b 推理链并绕过思维链监控

提出控制标记注入，清空工具智能体推理链以绕过思维链监控

arXiv

2609.27542

发表

9月23日

层

应用层

场景

AI Agent

测试

google/gemma-4-26B-A4B-it、openai/gpt-oss-20b、deepseek-ai/DeepSeek-R1-Distill-Qwen-7B 等 4 个

• 攻击提示注入
• 技术对话结构操控
• 组件推理链
• +2+2

Memetic Trojans：利用社交传染在 LLM Agent 网络中传播对抗载荷

提出 memetic trojans，把对抗载荷嵌入智能体自发转发的社会传染内容

arXiv

2610.00430

发表

10月2日

层

应用层

场景

多智能体

测试

gemma2-27B、gpt-oss-120B、deepseek-v4.1-flash 等 5 个

• 攻击投毒与后门
• 组件MCP 与技能

特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

提出爆炸提示词，用条件触发的间接注入延迟诱发恶意工具调用

arXiv

2609.22510

发表

9月19日

层

应用层

场景

AI Agent

测试

Gemini-2.5-flash、Google Gemini CLI、Llama-3.1-8B-Instruct 等 14 个

• 防御检测与过滤
• 攻击提示注入
• 技术潜伏触发
• 组件护栏与评审

研究审计 Agent 安全评测缺陷：工具调用中介在间接提示注入下的有效评测框架

提出卡点评测框架，以实参级谓词审计间接提示注入评测的测量偏差

arXiv

2609.32691

发表

9月26日

层

应用层

场景

AI Agent

测试

gemma4:12b、gpt-5.6-terra、llama3.1:8b 等 4 个

• 攻击提示注入
• 组件权限与沙箱