供应链安全 · 论文

论文提出针对 Agentic RAG 的检索器后门攻击与 DOU 隐藏方法

提出检索器后门攻击操纵智能体多轮搜索，并用 DOU 隐蔽后门

arXiv

2609.37468

发表

9月26日

层

应用层

场景

AI Agent

测试

E5、Contriever-MSMARCO、Qwen2.5-7B-Instruct

• 攻击投毒与后门
• 技术潜伏触发
• 组件RAG
• +4+4

CompoSkill 框架利用逐个通过扫描的 Agent 技能组合发起攻击

提出 CompoSkill，诱导 Agent 将过审技能组合成攻击链

arXiv

2608.16246

发表

8月17日

层

应用层

场景

AI Agent

测试

GPT-5.4、Gemini-3.1-flash、DeepSeek-V4 等 4 个

• 攻击提示注入
• 技术针对防御
• 组件MCP 与技能
• +1+1

研究者披露 LiteLLM 网关跨租户干扰攻击 Cooldown Landmines

提出 Cooldown Landmines 跨租户冷却干扰攻击并设计租户隔离

arXiv

2610.05089

发表

10月4日

层

基础设施层

场景

LLM 应用

测试

Qwen1.5-MoE-A2.7B-Chat、DeepSeek-MoE-16B-Chat

• 防御权限与审批
• 攻击拒绝服务

研究者提出 Agent 检查点回滚的五类安全失效，并在 Hermes、Cline、LangGraph 上实现三种攻击

提出破坏执行连续性的回滚攻击，揭示检查点恢复的安全故障

arXiv

2608.29381

发表

8月30日

层

应用层

场景

AI Agent

测试

DeepSeek-v4

• 风险Agent 危险操作
• 组件权限与沙箱

研究提出面向企业 MCP 的零信任授权与工具发现方案

提出企业 MCP 的零信任授权扩展，拒绝提示注入下的越权工具调用

arXiv

2609.22573

发表

9月19日

层

应用层

场景

AI Agent

测试

gpt-5、claude-sonnet-4-6、claude-opus-4-7 等 6 个

• 防御权限与审批
• 攻击提示注入
• 组件MCP 与技能
• +1+1

推理层安全：防御对抗性推理与基础设施滥用

用 SCM 合成会话并训练检测器识别推理层滥用

arXiv

2609.38239

发表

9月29日

层

基础设施层

场景

模型与 API

测试

gradient-boosted detector (GBDT/XGBoost)

• 防御检测与过滤
• 攻击越狱
• +1+1

Akrasia：针对推理型代码 LLM 的隐蔽后门攻击

提出 AKRASIA 推断期后门，用代码级触发器与伪装推理操纵代码模型

arXiv

2609.01023

发表

9月1日

层

提示层

场景

编程 Agent

测试

Claude-Sonnet-5、GPT-5.5、Gemini-3.5-flash 等 7 个

• 攻击提示注入
• 技术潜伏触发
• 组件推理链
• +1+1

去中心化联邦学习中的拜占庭节点放置优化

提出 BPI 选点算法，增强去中心化联邦学习中的模型与数据投毒

arXiv

2609.01495

发表

9月2日

层

训练与数据层

场景

模型与 API

• 攻击投毒与后门

OllamaDrama：用蜜罐测量暴露 LLM 基础设施遭受的攻击

部署蜜罐测量针对暴露 LLM 基础设施的攻击

arXiv

2609.29757

发表

9月24日

层

基础设施层

场景

模型与 API

基于加密绑定身份验证能力令牌协调分布式 AI 智能体的提案

提出身份绑定且只收窄的能力令牌，用上下文外钱包约束智能体

arXiv

2609.30824

发表

9月25日

层

应用层

场景

多智能体

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱
• +1+1

研究：众包微调数据投毒可放大专有指令抽取

提出主题锚点投毒，放大众包微调后的专有指令提取

arXiv

2609.33985

发表

9月28日

层

训练与数据层

场景

模型与 API

攻击者

黑盒

测试

Qwen2.5-7B-Instruct、Qwen2.5-14B-Instruct、Llama-3.1-8B-Instruct 等 6 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重
• +1+1