防御arXiv 2609.117579月10日
研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御
提出 A-VIP，将购物意图绑定到支付授权以阻断商户文本操控
arXiv
2609.11757
发表
9月10日
层
应用层
场景
AI Agent
测试
gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
深度解读完整解读
防御arXiv 2610.0564010月5日
研究揭示 CaMeL 防护在多智能体系统中失效并提出 multi-CaMeL
提出 multi-CaMeL，在多智能体调用边界隔离可信指令与不可信数据
arXiv
2610.05640
发表
10月5日
层
应用层
场景
多智能体
测试
Gemini 2.5 Pro、Gemini 2.5 Flash Lite、Claude Fable 5 等 6 个
- 防御指令与数据隔离
- 攻击提示注入
摘要论文针对多智能体中单体防御不组合的边界清洗问题，提出 multi-CaMeL 协议彻底阻断了 MultiAgentDojo 上的注入攻击。
深度解读完整解读
攻击arXiv 2609.182179月16日
研究：跨通道碎片化攻击可绕过 MCP 单通道防御
提出跨通道分段攻击，借 MCP 多通道隐式信任外发敏感数据
arXiv
2609.18217
发表
9月16日
层
应用层
场景
编程 Agent
测试
Gemini 2.5 Flash、GPT-4o、GPT-4o-mini 等 15 个
- 攻击提示注入
- 技术编码与混淆
- 组件MCP 与技能
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
深度解读完整解读
防御arXiv 2608.300418月31日
SkillGuard：面向间接提示注入的 LLM Agent 能力限制机制
提出 SkillGuard，用可达性切断污染后通往禁止状态的技能调用
arXiv
2608.30041
发表
8月31日
层
应用层
场景
AI Agent
测试
Gemini 2.5 Flash、Llama3.3-70B
- 防御权限与审批
- 攻击提示注入
- 组件权限与沙箱
深度解读完整解读
评测与基准arXiv 2609.326919月26日
研究审计 Agent 安全评测缺陷：工具调用中介在间接提示注入下的有效评测框架
提出卡点评测框架，以实参级谓词审计间接提示注入评测的测量偏差
arXiv
2609.32691
发表
9月26日
层
应用层
场景
AI Agent
测试
gemma4:12b、gpt-5.6-terra、llama3.1:8b 等 4 个
- 攻击提示注入
- 组件权限与沙箱
摘要论文揭示了 IPI 评测中导致指标虚高的系统性缺陷，通过构建有效评测框架纠正了多项安全与模型能力结论。
深度解读完整解读
攻击arXiv 2609.336289月27日
用课程强化学习对前沿模型做提示注入红队测试
提出跨目标课程强化学习，生成间接提示注入以劫持智能体
arXiv
2609.33628
发表
9月27日
层
应用层
场景
AI Agent
测试
Gemini-3.6-flash、Qwen3-4B-Instruct-2507、GPT-4o-mini 等 14 个
- 攻击提示注入
- 技术自动化搜索
摘要提出跨目标模型课程强化学习，攻破前沿模型冷启动瓶颈并实现跨模型迁移。
该研究针对强化学习自动化提示注入红队在攻击前沿大模型时的冷启动问题，提出了一种基于目标模型鲁棒性递进的课程强化学习方法。
深度解读完整解读

已经到底了

提示注入 · 论文

攻击类型

攻击技术

防御类型

影响

系统形态

攻击面/入口

层

系统组件

被测模型厂商

研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

研究揭示 CaMeL 防护在多智能体系统中失效并提出 multi-CaMeL

研究：跨通道碎片化攻击可绕过 MCP 单通道防御

SkillGuard：面向间接提示注入的 LLM Agent 能力限制机制

研究审计 Agent 安全评测缺陷：工具调用中介在间接提示注入下的有效评测框架

用课程强化学习对前沿模型做提示注入红队测试