全部论文

CredLeak-Bench

提出 CredLeak-Bench，评测智能体在钓鱼场景下的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Llama-3.1-8B-Instruct、Claude Sonnet 5、Claude Opus 4.8 等 7 个

Uber 提出 ADR 企业级 Agent 检测系统，在 7200 台主机部署十个月

提出企业级智能体检测系统 ADR，检测提示注入与恶意 MCP

arXiv

2605.17380

发表

5月

层

应用层

场景

编程 Agent

测试

Llama Guard 3-8B、GPT-4o、Claude Sonnet 4 等 4 个

• 防御检测与过滤
• 攻击提示注入
• 组件MCP 与技能
• +1+1

MMPIBench：多模态提示注入对六种 Agent 框架的跨框架评测

用 MMPIBench 评测智能体框架的多模态提示注入

arXiv

2609.09404

发表

9月9日

层

应用层

场景

AI Agent

测试

Llama 4 Maverick、Claude Opus 4.8、GPT-5.4 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

Janus：面向长时程智能体安全的前瞻性潜在风险预测框架

提出 Janus，用 CoAA-RL 训练前瞻守卫，在长程智能体有害动作执行前拦截

arXiv

2607.19913

发表

7月22日

层

应用层

场景

AI Agent

测试

Llama-Guard-3-8B、LlamaFirewall、Vanguard 等 8 个

• 防御监控与审计
• 攻击提示注入
• 风险Agent 危险操作
• 组件监控器
• +1+1

SecOPD 用同策略蒸馏把自适应提示注入攻击成功率降至 9.0%

提出 SecOPD 同策略蒸馏微调，降低模型对自适应提示注入的顺从

arXiv

2608.21500

发表

8月22日

层

应用层

场景

AI Agent

测试

Meta-SecAlign、Qwen3.6-27B (Undefended)、SecOPD

• 防御模型加固
• 攻击提示注入

SkillGuard：面向间接提示注入的 LLM Agent 能力限制机制

提出 SkillGuard，用可达性切断污染后通往禁止状态的技能调用

arXiv

2608.30041

发表

8月31日

层

应用层

场景

AI Agent

测试

Llama3.3-70B、Gemini 2.5 Flash

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱

TTMark：超越单 token 熵的成对无失真水印

提出成对无失真水印 TTMARK，增强低熵下的机器文本检测

arXiv

2609.36372

发表

9月29日

层

模型层

场景

模型与 API

测试

Llama3.2-3B-Instruct、Mistral-v0.3-7B-Instruct、Qwen2.5-7B-Instruct 等 4 个

• 防御水印与溯源
• 攻击检测规避

互补 LLM 水印如何追踪来源并检测篡改

提出 Cocktail 水印，共嵌稳健与脆弱信号以溯源并发现篡改

arXiv

2608.12713

发表

8月13日

层

模型层

场景

模型与 API

测试

Llama-3.2-1B、Gemma-3-4B

• 防御水印与溯源
• 攻击检测规避

LongPIBench：面向长上下文提示注入的评测基准

提出 LongPIBench，评测长文档场景下的提示注入攻击与防御

arXiv

2608.28411

发表

8月28日

层

应用层

场景

LLM 应用

测试

Llama-3.1-8B-Instruct、Llama-3.2-3B-Instruct、MetaSecAlign 8B 等 11 个

• 攻击提示注入

ActGuard：面向 LLM Agent 间接提示注入的执行前动作审计框架

提出 ActGuard，在执行前审计并遮盖诱发动作偏离的间接注入

arXiv

2609.14987

发表

9月14日

层

应用层

场景

AI Agent

测试

Llama-3.1-8B-Instruct、Meta-Llama-3.1-8B-Instruct、GPT-4o-mini 等 7 个

• 防御监控与审计
• 攻击提示注入
• 组件监控器
• +2+2

Provenance-Aware Transformers：用来源感知架构分离可信边界以防御间接提示注入

提出 Provenance-Aware Transformers，隔离不可信来源防御间接提示注入

arXiv

2609.21088

发表

9月18日

层

应用层

场景

LLM 应用

测试

LLaMA-3-8B-Instruct、SmolLM2-360M-Instruct、Qwen2.5-7B-Instruct 等 4 个

• 防御指令与数据隔离
• 攻击提示注入
• +1+1

特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

提出爆炸提示词，用条件触发的间接注入延迟诱发恶意工具调用

arXiv

2609.22510

发表

9月19日

层

应用层

场景

AI Agent

测试

Llama-3.1-8B-Instruct、Llama-3.1-70B-Instruct、Llama-3.3-70B-Instruct 等 14 个

• 防御检测与过滤
• 攻击提示注入
• 技术潜伏触发
• 组件护栏与评审

研究提出 ACE 语料库，评估内核级证据对 Agent 安全检测的有效性

构建 ACE 语料并比较内核与应用层证据的攻击检测效果

arXiv

2609.28915

发表

9月24日

层

应用层

场景

编程 Agent

测试

Llama-3.1-8B、AdaBoost、XGBoost 等 13 个

• 防御监控与审计
• 攻击提示注入
• 组件监控器
• +2+2

研究审计 Agent 安全评测缺陷：工具调用中介在间接提示注入下的有效评测框架

提出卡点评测框架，以实参级谓词审计间接提示注入评测的测量偏差

arXiv

2609.32691

发表

9月26日

层

应用层

场景

AI Agent

测试

llama3.1:8b、gpt-5.6-terra、gemma4:12b 等 4 个

• 攻击提示注入
• 组件权限与沙箱