供应链安全 · 论文

研究者披露 LiteLLM 网关跨租户干扰攻击 Cooldown Landmines

提出 Cooldown Landmines 跨租户冷却干扰攻击并设计租户隔离

arXiv

2610.05089

发表

10月4日

层

基础设施层

场景

LLM 应用

测试

Qwen1.5-MoE-A2.7B-Chat、DeepSeek-MoE-16B-Chat

• 防御权限与审批
• 攻击拒绝服务

A2M：针对 MCP 生态的两阶段 Agent 劫持框架

提出两阶段框架 A2M，优化 MCP 工具元数据与返回载荷以劫持智能体

arXiv

2609.26761

发表

9月23日

层

应用层

场景

AI Agent

测试

GLM-4.6、Qwen3-Max、DeepSeek-V3.1 等 5 个

• 攻击提示注入
• 技术诱导选用
• 组件MCP 与技能
• +2+2

研究者提出 Agent 检查点回滚的五类安全失效，并在 Hermes、Cline、LangGraph 上实现三种攻击

提出破坏执行连续性的回滚攻击，揭示检查点恢复的安全故障

arXiv

2608.29381

发表

8月30日

层

应用层

场景

AI Agent

测试

DeepSeek-v4

• 风险Agent 危险操作
• 组件权限与沙箱

研究者对 Google AP2 v0.2 做系统安全分析，识别 48 项威胁

系统分析智能体支付协议 AP2，揭示合法签名无法阻止前置上下文操纵

arXiv

2608.23858

发表

8月25日

层

应用层

场景

AI Agent

测试

gpt-5.3、gpt-5.5

• 攻击提示注入
• 组件MCP 与技能
• +1+1

PACE：面向工具调用 LLM Agent 的来源感知能力强制执行

提出 PACE，在工具调用前对 Agent 做路径隔离与效果授权

arXiv

2610.01349

发表

10月2日

层

应用层

场景

AI Agent

测试

gpt-5.6-luna、DeepSeek-V4-Flash、Qwen-3.8-27B

• 防御指令与数据隔离
• 攻击提示注入
• 组件MCP 与技能
• +1+1

研究提出面向企业 MCP 的零信任授权与工具发现方案

提出企业 MCP 的零信任授权扩展，拒绝提示注入下的越权工具调用

arXiv

2609.22573

发表

9月19日

层

应用层

场景

AI Agent

测试

gpt-5、claude-sonnet-4-6、claude-opus-4-7 等 6 个

• 防御权限与审批
• 攻击提示注入
• 组件MCP 与技能
• +1+1

面向 AI-SOC 的神经符号防御框架：用 SIEM 解码器与 NeMo Guardrails 阻断日志投毒提示注入

提出神经符号纵深架构，阻断 AI-SOC 的日志投毒与间接提示注入

arXiv

2609.10707

发表

9月10日

层

应用层

场景

LLM 应用

测试

Gemma 3 (12B)

• 防御检测与过滤
• 攻击提示注入
• 组件护栏与评审
• +1+1

推理层安全：防御对抗性推理与基础设施滥用

用 SCM 合成会话并训练检测器识别推理层滥用

arXiv

2609.38239

发表

9月29日

层

基础设施层

场景

模型与 API

测试

gradient-boosted detector (GBDT/XGBoost)

• 防御检测与过滤
• 攻击越狱
• +1+1

论文提出持久计费状态概念，揭示工具调用 LLM Agent 的拒绝钱包攻击与防御

提出工具调用 Agent 的拒绝钱包攻击及主机侧计费约束

arXiv

2609.28585

发表

9月23日

层

应用层

场景

AI Agent

测试

GPT-4o、GPT-4o-mini、Mistral-Large 等 9 个

• 防御指令与数据隔离
• 攻击拒绝服务

OllamaDrama：用蜜罐测量暴露 LLM 基础设施遭受的攻击

部署蜜罐测量针对暴露 LLM 基础设施的攻击

arXiv

2609.29757

发表

9月24日

层

基础设施层

场景

模型与 API