跳到正文
10月9日 · 周五

供应链安全 · 论文

找到 21 篇
筛选4

攻击类型

越狱1提示注入5投毒与后门9模型篡改1提取与窃取2检测规避1拒绝服务1

攻击技术

梯度与表征优化1自动化搜索1编码与混淆1推理链操控1针对防御4潜伏触发7

防御类型

检测与过滤1指令与数据隔离2权限与审批3

影响

越权操作6数据与隐私泄露6输出被操纵4可用性与可靠性2

系统形态

模型与 API8LLM 应用1AI Agent12编程 Agent4网页与电脑操作1多智能体1具身与机器人1

攻击者权限

黑盒1

攻击面/入口

用户输入9网页与界面1文档与消息2工具返回7工具与技能描述13代码仓库与依赖4检索语料2记忆写入6Agent 间消息3图像与音视频1训练数据2权重与梯度9分发渠道13推理服务与硬件3

层

提示层1模型层1应用层11训练与数据层6基础设施层2

系统组件

MCP 与技能5记忆2RAG2护栏与评审1推理链1权限与沙箱3微调与开源权重7音频1嵌入1多模态1

被测模型厂商

OpenAI9Qwen（阿里）9Google8DeepSeek6Meta5其他14
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 38 篇还没打标签，不在筛选结果里。
攻击面/入口：用户输入攻击面/入口：网页与界面攻击面/入口：代码仓库与依赖攻击面/入口：权重与梯度话题：供应链安全清除全部

另有 38 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2609.37468

    论文提出针对 Agentic RAG 的检索器后门攻击与 DOU 隐藏方法

    提出检索器后门攻击操纵智能体多轮搜索，并用 DOU 隐蔽后门

    arXiv
    2609.37468
    发表
    层
    应用层
    场景
    AI Agent
    测试
    E5、Contriever-MSMARCO、Qwen2.5-7B-Instruct

    摘要论文展示了通过恶意检索器操纵智能体多轮搜索并利用诱饵重塑表征隐蔽后门的可行性与系统风险。

    深度解读完整解读
  2. 攻击arXiv 2608.16246

    CompoSkill 框架利用逐个通过扫描的 Agent 技能组合发起攻击

    提出 CompoSkill，诱导 Agent 将过审技能组合成攻击链

    arXiv
    2608.16246
    发表
    层
    应用层
    场景
    AI Agent
    测试
    GPT-5.4、Gemini-3.1-flash、DeepSeek-V4 等 4 个

    摘要论文分析了智能体技能组合风险，指出单包安全认证状态不具备可组合性，需转向路径级防护。

    深度解读完整解读
  4. 攻击arXiv 2610.09819

    FAB 攻击：给 HuBERT/WavLM 植入后门，背景警笛声即可让下游语音任务失灵

    提出 FAB 攻击，向声学基础模型植入可由环境声触发的后门

    arXiv
    2610.09819
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    HuBERT-base、WavLM-base

    摘要论文提出了针对声学基模的 FAB 后门攻击，在弱威胁模型下实现了任务无关、物理可触发的后门植入。

    深度解读完整解读
  5. 攻击arXiv 2610.07510

    PersistBD：攻击者可在发布前强化后门，使其在开发者 SFT 与 RL 后仍保持高攻击成功率

    提出 PERSISTBD，发布前强化后门以穿透良性 SFT 与 RL

    arXiv
    2610.07510
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Qwen2.5-Coder-3B-Instruct、Qwen2.5-Coder-7B-Instruct、Qwen3-Coder-30B-A3B-Instruct
    摘要总结了论文关于后门在 SFT/RL 中存活的发现、两因子机制、PERSISTBD 方法与核心数字。

    本文研究第三方 LLM 智能体在开发者进行良性监督微调（SFT）和强化学习（RL）后训练时的后门持久性风险。

    深度解读完整解读
  8. 攻击arXiv 2609.02774

    CodePoisonRAG：针对检索增强代码生成的知识投毒攻击

    提出 CodePoisonRAG，对检索增强代码生成的知识库投毒以植入漏洞

    arXiv
    2609.02774
    发表
    层
    应用层
    场景
    LLM 应用
    测试
    Qwen 3.5 9B、Code Llama 13B、DeepSeek-Coder-V2 16B 等 4 个

    摘要CodePoisonRAG 展示了 RACG 外部知识库的新攻击面，在较低投毒率下可定向诱发指定漏洞并部分抵御防御。

    深度解读完整解读
  9. 防御arXiv 2610.01349

    PACE：面向工具调用 LLM Agent 的来源感知能力强制执行

    提出 PACE，在工具调用前对 Agent 做路径隔离与效果授权

    arXiv
    2610.01349
    发表
    层
    应用层
    场景
    AI Agent
    测试
    gpt-5.6-luna、DeepSeek-V4-Flash、Qwen-3.8-27B
    摘要PACE 在工具边界做路径割与效果核验。

    PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。

    深度解读完整解读
  10. 分析与理论arXiv 2609.05241

    10a Labs 测绘无审查开源模型生态：3,471 个原始模型与 8,164 次再分发

    测绘去安全开源模型的生产与重分发留存链路

    arXiv
    2609.05241
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    Qwen、Llama、Gemma 等 10 个

    摘要论文测绘了去安全开源大模型供应链，作者指出高集中度的重分发层赋能模型持久留存与部署扩散。

    深度解读完整解读
  11. 防御arXiv 2609.22573

    研究提出面向企业 MCP 的零信任授权与工具发现方案

    提出企业 MCP 的零信任授权扩展，拒绝提示注入下的越权工具调用

    arXiv
    2609.22573
    发表
    层
    应用层
    场景
    AI Agent
    测试
    gpt-5、claude-sonnet-4-6、claude-opus-4-7 等 6 个
    摘要同一份按工具声明同时管 MCP 的发现、列表和调用，使注入不能扩大已有凭证的权限。

    作者把零信任放在 MCP 工具调用边界：智能体即使被提示注入，也不能调用其凭证范围之外的工具。问题来自三点部署性质。调用意图会随不可信上下文改变。

    深度解读完整解读
  12. 攻击arXiv 2609.10117

    研究揭示基于混淆的端侧 LLM 保护方案的安全边界

    提出 Collapse，从端侧混淆暴露视图抽取高效用替代模型

    arXiv
    2609.10117
    发表
    层
    模型层
    场景
    模型与 API
    测试
    BERT-Base、ViT-Base、Qwen2.5-0.5B 等 4 个
    摘要Oprior 是四原语复合的安全边界，Collapse 利用列方向泄漏抽取替代模型，Oext 只被同一攻击评测。

    这篇工作用代数原语统一若干 TEE 卸载混淆，给出该族的典范边界，再说明该边界挡不住一种分阶段模型抽取。。

    深度解读完整解读
  14. 攻击arXiv 2608.06862

    SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化

    提出 SYNCHAIN，诱导计算机使用 Agent 自合成潜伏技能并跨任务触发

    arXiv
    2608.06862
    发表
    层
    应用层
    场景
    网页与电脑操作、编程 Agent
    测试
    Qwen3.5-9B、Llama-3.1-8B、Ministral-3-8B 等 5 个

    摘要论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。

    深度解读完整解读
  15. 攻击arXiv 2609.01023

    Akrasia：针对推理型代码 LLM 的隐蔽后门攻击

    提出推断期后门攻击 AKRASIA，用代码触发器与伪装推理篡改代码输出

    arXiv
    2609.01023
    发表
    层
    提示层
    场景
    编程 Agent
    测试
    Claude-Sonnet-5、GPT-5.5、Gemini-3.5-flash 等 7 个

    摘要论文针对推理代码大模型提出了隐蔽推断期后门攻击 AKRASIA，揭示了模型思维链可被利用进行欺骗性伪装的安全隐患。

    深度解读完整解读
  16. 攻击arXiv 2609.01495

    去中心化联邦学习中的拜占庭节点放置优化

    提出 BPI 选点算法，增强去中心化联邦学习中的模型与数据投毒

    arXiv
    2609.01495
    发表
    层
    训练与数据层
    场景
    模型与 API
    摘要BPI 用有限轮 gossip 暴露选拜占庭集合。

    作者把 DFL 中“破坏哪 m 个节点”写成攻击者在固定预算下的优化问题，并用 BPI 近似有限轮内诚实节点受到的拜占庭暴露。

    深度解读完整解读
  17. 攻击arXiv 2609.07051

    TrojanWorld：通过想象引导对世界模型智能体植入后门

    提出 TrojanWorld，通过想象引导给世界模型智能体植入供应链后门

    arXiv
    2609.07051
    发表
    层
    训练与数据层
    场景
    具身与机器人
    测试
    TD-MPC2、DreamerV3、R2-Dreamer

    摘要TrojanWorld 揭示了世界模型智能体的供应链后门风险，通过在世界模型中操纵想象可实现对闭环动作的持续控制。

    深度解读完整解读
  19. 防御arXiv 2609.30824

    基于加密绑定身份验证能力令牌协调分布式 AI 智能体的提案

    提出身份绑定且只收窄的能力令牌，用上下文外钱包约束智能体

    arXiv
    2609.30824
    发表
    层
    应用层
    场景
    多智能体
    摘要用只衰减的身份绑定令牌和上下文外钱包，约束代表人类行动的分布式智能体。

    代表人类行动的分布式智能体，需要一种不把密钥放进语言模型上下文的授权方式。

    深度解读完整解读
  20. 防御arXiv 2609.20532

    面向旧款 GPU 的可验证差分隐私训练框架：用 CPU 侧 TEE 校验 GPU 梯度

    AI 导读论文提出一种在旧款 GPU 上实现可验证差分隐私（DP）训练的框架，用 CPU 侧 TEE 配合不受信任的 GPU 完成校验。

    arXiv
    2609.20532
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    5-layer MLP、WideResNet、GPT-2-medium 等 4 个
    摘要CPU TEE 概率抽查不可信 GPU 上的 DP-SGD，以小开销约束频繁偏离。

    TEE-Certified DP 用已部署的 CPU TEE 监视不可信旧 GPU 上的 DP-SGD，使监管方能在不看训练数据的情况下检查声明的隐私机制是否被执行。

    深度解读完整解读
加载更多