全部论文

论文提出针对 Agentic RAG 的检索器后门攻击与 DOU 隐藏方法

提出检索器后门攻击操纵智能体多轮搜索，并用 DOU 隐蔽后门

arXiv

2609.37468

发表

9月26日

层

应用层

场景

AI Agent

测试

E5、Contriever-MSMARCO、Qwen2.5-7B-Instruct

• 攻击投毒与后门
• 技术潜伏触发
• 组件RAG
• +4+4

CompoSkill 框架利用逐个通过扫描的 Agent 技能组合发起攻击

提出 CompoSkill，诱导 Agent 将过审技能组合成攻击链

arXiv

2608.16246

发表

8月17日

层

应用层

场景

AI Agent

测试

GPT-5.4、DeepSeek-V4、LongCat-2.0 等 4 个

• 攻击提示注入
• 技术针对防御
• 组件MCP 与技能
• +1+1

研究者提出 SkillClone，仅凭正常提问即可克隆 LLM Agent 隐藏技能功能

提出 SKILLCLONE，仅凭良性任务交互重构 Agent 隐藏技能功能

arXiv

2608.04192

发表

8月5日

层

应用层

场景

AI Agent

攻击者

黑盒

测试

DeepSeek-Flash、DeepSeek-Pro、GPT-5.6-Luna 等 6 个

• 攻击提取与窃取
• 技术自动化搜索
• 组件MCP 与技能

CredLeak-Bench

提出 CredLeak-Bench，评测 Agent 在钓鱼登录与收件箱中的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 5、Claude Opus 4.8、GPT-5-mini 等 7 个

• 攻击提示注入

APort Vault 发布：用 4,371 条人工攻击评测 AI Agent 支付授权

构建 APort Vault 基准，对比裸模型与确定性授权对越权支付的拦截

arXiv

2609.22076

发表

9月18日

层

应用层

场景

AI Agent

测试

Claude Fable 5.1、Claude Sonnet 5、Claude Haiku 4.5 等 14 个

• 防御权限与审批
• 攻击越狱
• 组件权限与沙箱

P-VMI：对抗图像经 KV cache 持续影响多轮对话

提出持久视觉记忆注入，使对抗图像经缓存在触发时操控输出

arXiv

2610.09027

发表

10月7日

层

基础设施层

场景

模型与 API

测试

Qwen3-8B、Qwen3-VL-8B-Instruct、Qwen2.5-32B 等 4 个

• 攻击提示注入
• 技术潜伏触发
• 组件视觉
• +1+1

PatchBench 提出激活补丁局部评测协议，揭示越狱修复的附带损伤

提出 PatchBench 局部协议，评测激活补丁修复越狱的附带损伤

arXiv

2610.10276

发表

10月7日

层

模型层

场景

模型与 API

测试

Qwen2.5-3B-Instruct、Qwen2.5-14B-Instruct、gemma-3-4b-it 等 8 个

• 防御推理时干预
• 攻击越狱
• 风险拒答失当

SLIP：无需外部攻击模型的多轮自我越狱

提出无外部攻击模型的多轮自我越狱方法 SLIP

arXiv

2601.02670

发表

1月6日

层

提示层

场景

模型与 API

攻击者

黑盒

测试

GPT-5.1、GPT-4o、Claude-Sonnet-4.5 等 11 个

• 攻击越狱
• 技术多轮渐进
• +1+1

论文实测 Agent 工具调用门控栈的失败相关性

提出 nmult 指标，测量智能体动作门禁堆叠的错误相关性与等效层数

arXiv

2610.07359

发表

10月6日

层

应用层

场景

AI Agent

测试

GPT-5.5 (gpt55)、claude-haiku-4-5-20251001、claude-sonnet-5 等 6 个

• 组件护栏与评审
• +1+1

研究者提出统一滥用监控基准，覆盖分解攻击与提示注入约 6200 条轨迹

构建统一滥用监视基准，评测分解攻击与提示注入轨迹

arXiv

2610.07089

发表

10月5日

层

应用层

场景

AI Agent

测试

Qwen3.6 27B、Qwen3.5 27B、Qwen3.5 9B 等 12 个

• 攻击越狱
• 组件监控器
• +1+1

研究者提出答案侧后门：让模型自生成触发词绕过安全拒答

提出回答端后门，让模型自生成触发词以在干净有害请求下绕过拒答

arXiv

2610.07723

发表

10月6日

层

训练与数据层

场景

模型与 API

测试

DeepSeek-R1、Llama-2-7B-chat-hf、Mistral-7B-Instruct-v0.3 等 4 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重
• +2+2

MemLeak 研究：多租户 Agent 共享向量记忆库存在跨用户记忆泄露

评估多租户智能体共享向量记忆的跨用户泄露与主动桥接

arXiv

2610.04195

发表

10月3日

层

应用层

场景

AI Agent

测试

Claude Sonnet 4.5、text-embed-3-small、Gemini 2.5 Flash 等 5 个

• 攻击提取与窃取
• 技术诱导选用
• 组件记忆
• +2+2

论文提出 VAL 框架：相同 ASR 的 LLM Agent 防御可能对应不同安全保证

提出 VAL 框架并用确认门与参数沙箱约束高风险工具调用

arXiv

2610.04504

发表

10月3日

层

应用层

场景

AI Agent

测试

DeepSeek-chat、Meta Llama 3.1 8B、Kimi

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱

BazaarBench：评估 LLM Agent 在去中心化 C2C 市场中的代理安全

构建 BazaarBench，评测去中心化交易智能体的违规与失信

arXiv

2610.06748

发表

10月5日

层

应用层

场景

多智能体

测试

GPT-5.5、GPT-5.4、GPT-5.4-mini 等 5 个

• 攻击恶意使用
• 风险Agent 危险操作
• +1+1

StegoMemory 红队测试：智能体持久记忆可被用作跨会话隐蔽信道

用 StegoMemory 测试智能体持久记忆作为跨会话隐写信道的可行性

arXiv

2610.04589

发表

10月3日

层

应用层

场景

AI Agent

测试

Claude 3.5 Sonnet、GPT-4o、o3 等 13 个

• 攻击投毒与后门
• 技术编码与混淆
• 组件记忆
• +1+1

AgentDoxx：联网搜索 Agent 对匿名访谈文本的再识别评测

用 AGENTDOXX 评测搜索 Agent 对匿名访谈的再识别

arXiv

2610.05586

发表

10月5日

层

应用层

场景

AI Agent

测试

GPT-5.6 Terra、GPT-5 Mini、GPT-4.1 Mini 等 10 个

• 攻击恶意使用

AgentHazard：评估计算机使用智能体有害行为的基准

提出 AgentHazard 基准，评测计算机使用智能体的执行层有害行为

arXiv

2604.02947

发表

4月3日

层

应用层

场景

网页与电脑操作、编程 Agent

测试

Qwen2.5-72B-Instruct、Qwen2.5-Coder-32B-Instruct、Qwen3-32B 等 12 个

• 攻击恶意使用

研究者提出可认证机制编辑：在连续输入区域上证明技能移除与保留

提出机理编辑形式化认证，证明连续输入区域上的技能移除与保留

arXiv

2610.03502

发表

10月3日

层

模型层

场景

模型与 API

测试

Toy MLP (separated)、Toy MLP (entangled)、Deep MLP (3-12-8-2) 等 6 个

MLCommons 发布 Jailbreak Benchmark v1.0

构建 MLCommons 越狱基准以测量模型的单轮越狱韧性

arXiv

2610.02827

发表

10月2日

层

提示层

场景

模型与 API

测试

LFM2-24B-A2B、Qwen 2.5 7B Instruct Turbo、DeepSeek-V4-Pro 等 8 个

• 攻击越狱

TACIT：从 LLM 内部状态检测 Agent 轨迹危害

提出 TACIT，读取冻结隐藏状态以检测智能体有害轨迹

arXiv

2609.33039

发表

9月27日

层

应用层

场景

AI Agent

测试

Qwen3Guard-4B、AgentDoG-4B、Qwen3-4B 等 9 个

• 防御检测与过滤
• 攻击提示注入
• 风险Agent 危险操作
• 组件护栏与评审