全部论文

研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题

提出利用路由元数据推断敏感话题的侧信道攻击

arXiv

2610.09981

发表

10月7日

层

基础设施层

场景

LLM 应用

测试

RouteLLM (BERT router)、notdiamond-0001、Vela (vLLM Semantic Router) 等 6 个

• 攻击提取与窃取
• 技术侧信道

研究：多向量视觉文档索引可被反演还原页面内容

提出流匹配逆向框架，从多向量视觉文档索引重构页面

arXiv

2610.09920

发表

10月7日

层

应用层

场景

LLM 应用

测试

Tomoro-ColQwen3-8B、ColQwen3.5-4.5B、Tomoro-colqwen3-embed-4b 等 13 个

• 攻击提取与窃取
• 组件嵌入
• +2+2

COPEX：面向 MCP 智能体的受控攻击评测基准发布

用 COPEX 基准在固定协议栈下评测智能体抵御 MCP 攻击的能力

arXiv

2610.04378

发表

10月3日

层

应用层

场景

AI Agent

测试

Claude Opus 4.7、Claude Sonnet 4.6、GPT-5.5 等 9 个

• 攻击提示注入
• 组件MCP 与技能

TranScope：利用 CPU 性能计数器对 Transformer 做成员推断攻击

提出 TRANSCOPE，用 CPU 硬件计数器推断训练集成员

arXiv

2610.06848

发表

10月5日

层

基础设施层

场景

模型与 API

攻击者

黑盒

测试

BERT (4.4M-340M)、ViT (22M-307M)、Pythia (70M-2.8B) 等 5 个

• 攻击提取与窃取
• 技术侧信道

研究者披露 LiteLLM 网关跨租户干扰攻击 Cooldown Landmines

提出 Cooldown Landmines 跨租户冷却干扰攻击并设计租户隔离

arXiv

2610.05089

发表

10月4日

层

基础设施层

场景

LLM 应用

测试

Qwen1.5-MoE-A2.7B-Chat、DeepSeek-MoE-16B-Chat

• 防御权限与审批
• 攻击拒绝服务

研究者提出闭环偏见注入攻击

提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见

arXiv

2610.05894

发表

10月5日

层

模型层

场景

模型与 API

攻击者

灰盒

测试

LLaDA-8B-Instruct、Dream-v0-Instruct-7B、LLaDA-MoE-7B-A1B-Instruct

• 攻击模型篡改
• 技术梯度与表征优化

HDI 攻击：篡改 GraphRAG 辅助结构可致 88–94% 攻击成功率

提出 HDI 攻击以篡改 GraphRAG 辅助结构破坏检索

arXiv

2610.02373

发表

10月1日

层

应用层

场景

LLM 应用

测试

Microsoft GraphRAG、HippoRAG2、text-embedding-3-small 等 4 个

• 攻击投毒与后门
• 组件RAG

MisKnow-Agent 评测

提出 MisKnow-Agent，评测深度研究智能体是否采纳误导性检索知识

arXiv

2607.20891

发表

7月23日

层

应用层

场景

AI Agent

测试

Gemini Deep Research、DeepSeek-V4 Pro、Qwen3.5-397B 等 4 个

• 攻击投毒与后门
• 组件RAG

Counter-GEO-Bench：现有护栏难挡 GEO 虚假信息

构建 COUNTER-GEO-BENCH，评测生成式搜索对信息扭曲 GEO 的防御

arXiv

2609.02316

发表

9月2日

层

应用层

场景

LLM 应用

测试

Gemma-4-31B-IT、Qwen-3.5-35B-A3B、Llama-4-Scout-17B-16E 等 11 个

• 防御检测与过滤
• 攻击投毒与后门
• 组件RAG
• +1+1

CodePoisonRAG：针对检索增强代码生成的知识投毒攻击

提出 CodePoisonRAG，对检索增强代码生成的知识库投毒以植入漏洞

arXiv

2609.02774

发表

9月3日

层

应用层

场景

LLM 应用

测试

Qwen 3.5 9B、Code Llama 13B、DeepSeek-Coder-V2 16B 等 4 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件RAG

PMA 攻击：针对隐私保护 LLM 中嵌入到嵌入混淆的语义流形对齐方法

提出 PMA，用流形对齐从 E2EO 混淆向量恢复明文

arXiv

2609.06749

发表

9月7日

层

模型层

场景

模型与 API

测试

BERT-base、RoBERTa-base、T5-base 等 6 个

• 攻击提取与窃取
• 组件嵌入

面向 AI-SOC 的神经符号防御框架：用 SIEM 解码器与 NeMo Guardrails 阻断日志投毒提示注入

提出神经符号纵深架构，阻断 AI-SOC 的日志投毒与间接提示注入

arXiv

2609.10707

发表

9月10日

层

应用层

场景

LLM 应用

测试

Gemma 3 (12B)

• 防御检测与过滤
• 攻击提示注入
• 组件护栏与评审
• +1+1

MADBench：多智能体辩论安全性评测基准发布

发布 MADBench，评测多智能体辩论会吸收还是放大对抗影响

arXiv

2609.39146

发表

9月30日

层

应用层

场景

多智能体

测试

gpt-4o、GPT-5、GPT-6 Astra

• 攻击提示注入
• 组件RAG
• +1+1

推理层安全：防御对抗性推理与基础设施滥用

用 SCM 合成会话并训练检测器识别推理层滥用

arXiv

2609.38239

发表

9月29日

层

基础设施层

场景

模型与 API

测试

gradient-boosted detector (GBDT/XGBoost)

• 防御检测与过滤
• 攻击越狱
• +1+1

多智能体 LLM 流水线中的信任传播与结构隔离

提出任务绑定令牌与策略预言机，在多智能体流水线中拦截未授权执行

arXiv

2609.17648

发表

9月15日

层

应用层

场景

多智能体

测试

gemma4:31b-cloud

• 防御权限与审批
• 攻击投毒与后门
• 组件权限与沙箱
• +2+2

Provenance-Aware Transformers：用来源感知架构分离可信边界以防御间接提示注入

提出 Provenance-Aware Transformers，隔离不可信来源防御间接提示注入

arXiv

2609.21088

发表

9月18日

层

应用层

场景

LLM 应用

测试

SmolLM2-360M-Instruct、LLaMA-3-8B-Instruct、Qwen2.5-7B-Instruct 等 4 个

• 防御指令与数据隔离
• 攻击提示注入
• +1+1

DUMA-Bench：评估 LLM Agent 安全的双控多智能体基准

提出双控多智能体基准 DUMA-Bench，评测 Agent 策略违反

arXiv

2609.24662

发表

9月21日

层

应用层

场景

多智能体

测试

GPT-5、GPT-5-mini、GPT-5-nano 等 14 个

• 攻击提示注入

OllamaDrama：用蜜罐测量暴露 LLM 基础设施遭受的攻击

部署蜜罐测量针对暴露 LLM 基础设施的攻击

arXiv

2609.29757

发表

9月24日

层

基础设施层

场景

模型与 API