提出条件触发的爆炸提示词，并设计摄入期检测器 DeFuse
论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。
提出跨通道分段攻击，利用 MCP 隐式信任外发敏感文件
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
提出 MAFIA，以探测放置与事实伪装对带审计 Agent 做查询式记忆投毒
提出 CFD 跨会话分解攻击，利用工件来源缺口绕过工具型 Agent 的本地检查
CFD针对工具型 LLM 智能体：利用 artifact 来源不被跟踪这一部署失败模式，把有害目标拆开后延迟组合。
构造可通过计费审计的 token 虚报，使服务商系统性超收
不透明 LLM 的按 token 计费里，现有审计核验的是提供方可控的证据，不诚实提供方可以虚报并通过检查。。
提出 TIP，用树搜索为 MCP 响应生成隐蔽注入载荷
TIP 是面向 MCP 工具响应的 black-box 间接提示注入，目标是在不改工具元数据的情况下生成语义连贯的 JSON 载荷。
提出 TFA 与 SVA，抑制 ensemble 后门指纹验证
TFA 与 SVA 是针对后门式 LLM 指纹的 ensemble 抑制攻击，不改模型参数。所有者用 SFT 写入秘密对，只通过 API 验证版权。攻击者未授权取得模型，不知道触发和指纹，却要把每个模型的验证变成失败，同时让 ensemble 至少不差于性能最高的单模型。
提出自适应攻击框架，击穿越狱与提示注入防御
提出 RL-Hammer，从零训练攻击模型经工具输出实施提示注入
RL-Hammer 是一个无需热启动数据、基于 GRPO 算法从零训练的黑盒提示注入对抗攻击框架。现有针对大语言模型智能体的提示注入防御（如 Instruction Hierarchy 与 SecAlign）主要在静态或弱攻击下测试，在面对自动化强力攻击时的真实防御能力缺乏充分检验。方法的核心机制包括。