Agent 安全 · 论文

CONTRA：研究者用配置树搜索对个人化 Agent 做红队测试

提出 CONTRA，用树搜索修改良性配置以诱发 Agent 恶意动作

arXiv

2607.03220

发表

7月3日

层

应用层

场景

AI Agent

测试

Gemma4-31b、Gemma4-e4b、GLM-4.7-flash 等 6 个

• 技术自动化搜索

EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播

提出 EVOMAL 攻击，诱导编码 Agent 自我投毒并蠕虫式传播技能

arXiv

2608.25776

发表

8月26日

层

应用层

场景

编程 Agent

测试

Gemma-4-31B-IT、Devstral-Small-2、Qwen3-Coder-Next 等 7 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +3+3

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

测试

Gemini 3 Flash、GPT-4o、Claude Sonnet 4 等 7 个

• 攻击提示注入
• 技术自动化搜索

CredLeak-Bench

提出 CredLeak-Bench，评测智能体在钓鱼场景下的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Gemini 3.6 Flash、Claude Sonnet 5、Claude Opus 4.8 等 7 个

Trojan Hippo Bench：针对 LLM Agent 持久记忆攻击与防御的动态基准

提出 Trojan Hippo Bench，评测智能体持久记忆攻击与防御

arXiv

2605.01970

发表

5月3日

层

应用层

场景

AI Agent

测试

Gemini 3.1 Pro、GPT-5-mini、GPT-5

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +2+2

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

Gemini-3-Flash、Qwen2.5-VL(32B)、Qwen3-VL(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

MemLeak 研究：多租户 Agent 共享向量记忆库存在跨用户记忆泄露

评估多租户智能体共享向量记忆的跨用户泄露与主动桥接

arXiv

2610.04195

发表

10月3日

层

应用层

场景

AI Agent

测试

Gemini 2.5 Flash、Claude Sonnet 4.5、all-MiniLM-L6-v2 等 5 个

• 攻击提取与窃取
• 技术诱导选用
• 组件记忆
• +2+2

研究揭示 CaMeL 防护在多智能体系统中失效并提出 multi-CaMeL

提出 multi-CaMeL，在多智能体调用边界隔离可信指令与不可信数据

arXiv

2610.05640

发表

10月5日

层

应用层

场景

多智能体

测试

Gemini 2.5 Pro、Gemini 2.5 Flash Lite、Claude Fable 5 等 6 个

• 防御指令与数据隔离
• 攻击提示注入

StegoMemory 红队测试：智能体持久记忆可被用作跨会话隐蔽信道

用 StegoMemory 测试智能体持久记忆作为跨会话隐写信道的可行性

arXiv

2610.04589

发表

10月3日

层

应用层

场景

AI Agent

测试

Gemini 1.5 Pro、Gemini 2.0 Flash、Llama 3.1 405B 等 13 个

• 攻击投毒与后门
• 技术编码与混淆
• 组件记忆
• +1+1

研究者提出上下文权限提升攻击，12 款 Agent 框架均受影响

提出上下文特权提升攻击，借助记忆、技能与仓库内容操纵编程智能体

arXiv

2609.01222

发表

9月1日

层

应用层

场景

编程 Agent

测试

Gemini-2.5-Flash、Gemini-2.5-Pro、GPT-5.5 等 7 个

• 攻击提示注入
• 技术潜伏触发
• 组件记忆
• +3+3

研究者提出 SkillMisevo-Bench，量化自改进 Agent 的技能误演化风险

构建 SKILLMISEVO-BENCH，评测自进化编程智能体的技能误演化风险

arXiv

2608.12851

发表

8月13日

层

应用层

场景

编程 Agent

测试

Gemini-3-Flash、Claude Code、Codex 等 6 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆

SkillGuard：面向间接提示注入的 LLM Agent 能力限制机制

提出 SkillGuard，用可达性切断污染后通往禁止状态的技能调用

arXiv

2608.30041

发表

8月31日

层

应用层

场景

AI Agent

测试

Gemini 2.5 Flash、Llama3.3-70B

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱

VirusCascade：劫持 LLM 推荐智能体的协同反思机制

提出 VirusCascade，劫持推荐智能体协同反思以定向推广物品

arXiv

2609.38270

发表

9月29日

层

应用层

场景

多智能体

测试

Gemini-2.5-Flash、GPT-4o-mini、AgentCF 等 8 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

ActGuard：面向 LLM Agent 间接提示注入的执行前动作审计框架

提出 ActGuard，在执行前审计并遮盖诱发动作偏离的间接注入

arXiv

2609.14987

发表

9月14日

层

应用层

场景

AI Agent

测试

Gemini-2.5-Flash、Gemini-3.1-Flash-Lite、GPT-4o-mini 等 7 个

• 防御监控与审计
• 攻击提示注入
• 组件监控器
• +2+2

Emergence World：对长时程多智能体系统开展对抗压力测试

构建 Emergence World，评测长时程多智能体对抗韧性与群体失效

arXiv

2609.17320

发表

9月15日

层

应用层

场景

多智能体

测试

Gemini 3.5 Flash、Gemini 3.1 Flash Lite、Claude Opus 4.8 等 9 个

• 攻击提示注入
• 风险失准与价值偏离
• 组件记忆

多智能体 LLM 流水线中的信任传播与结构隔离

提出任务绑定令牌与策略预言机，在多智能体流水线中拦截未授权执行

arXiv

2609.17648

发表

9月15日

层

应用层

场景

多智能体

测试

gemma4:31b-cloud

• 防御权限与审批
• 攻击投毒与后门
• 组件权限与沙箱
• +2+2

可验证行动卡片 VAC：为智能体浏览器提供可信人在回路确认

提出 VAC，用真实操作参数与来源隔离保护智能体浏览器确认

arXiv

2609.18411

发表

9月16日

层

应用层

场景

网页与电脑操作

测试

Gemini-2.5-Flash、gpt-oss-120b、GPT-4.1 等 6 个

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱
• +1+1

特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

提出爆炸提示词，用条件触发的间接注入延迟诱发恶意工具调用

arXiv

2609.22510

发表

9月19日

层

应用层

场景

AI Agent

测试

Gemini-2.5-flash、Google Gemini CLI、Llama-3.1-8B-Instruct 等 14 个

• 防御检测与过滤
• 攻击提示注入
• 技术潜伏触发
• 组件护栏与评审

用课程强化学习对前沿模型做提示注入红队测试

提出跨目标课程强化学习，生成间接提示注入以劫持智能体

arXiv

2609.33628

发表

9月27日

层

应用层

场景

AI Agent

测试

Gemini-3.6-flash、Qwen3-4B-Instruct-2507、GPT-4o-mini 等 14 个

• 攻击提示注入
• 技术自动化搜索