跳到正文
10月9日 · 周五

Agent 安全 · 论文

找到 29 篇
筛选4

攻击类型

越狱1提示注入23投毒与后门14检测规避1

攻击技术

自动化搜索8编码与混淆1跨模态载荷1针对防御3潜伏触发4诱导选用4

模型自身风险

Agent 危险操作1

防御类型

检测与过滤4指令与数据隔离2权限与审批2监控与审计2

影响

越权操作21数据与隐私泄露3输出被操纵3可用性与可靠性1监督失效1

系统形态

LLM 应用1AI Agent28编程 Agent11网页与电脑操作3多智能体1

攻击者权限

黑盒2灰盒1

攻击面/入口

用户输入23网页与界面9文档与消息16工具返回17工具与技能描述19代码仓库与依赖5检索语料3记忆写入13Agent 间消息3图像与音视频2训练数据1分发渠道10

层

应用层29

系统组件

MCP 与技能17记忆4RAG1护栏与评审3监控器3权限与沙箱6视觉1多模态1

被测模型厂商

OpenAI55Qwen（阿里）39Anthropic32DeepSeek29Google24智谱 GLM21Kimi（月之暗面）18Meta16Mistral10xAI6MiniMax6Microsoft5其他17
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 259 篇还没打标签，不在筛选结果里。
攻击面/入口：网页与界面攻击面/入口：工具与技能描述攻击面/入口：代码仓库与依赖被测模型厂商：DeepSeek话题：Agent 安全清除全部

另有 259 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2608.09732

    ColluSkill 用跨技能组合绕过 Agent 技能扫描器

    提出 ColluSkill 跨技能组合攻击，拆分恶意载荷以绕过技能扫描器

    arXiv
    2608.09732
    发表
    层
    应用层
    场景
    编程 Agent
    攻击者
    黑盒、灰盒
    测试
    DeepSeek-V4-Pro、GPT-5.5、GLM-5.2

    摘要论文揭示了单技能孤立扫描的盲区，提出多技能链攻击 ColluSkill 与上下文防御 ChainGuard 并验证了有效性。

    深度解读完整解读
  2. 攻击arXiv 2608.25776

    EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播

    提出 EVOMAL 攻击，诱导编码 Agent 自我投毒并蠕虫式传播技能

    arXiv
    2608.25776
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    DeepSeek-V4-Pro、Devstral-Small-2、Gemma-4-31B-IT 等 7 个

    摘要论文指出了自演化智能体模仿检索代码的自我毒化漏洞，提出 EVOMAL 攻击与防御，阐明了供应链新风险。

    深度解读完整解读
  3. 攻击arXiv 2608.04741

    LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

    提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

    arXiv
    2608.04741
    发表
    层
    应用层
    场景
    网页与电脑操作
    测试
    DeepSeek-V3.2、GPT-4o、Gemini 3 Flash 等 7 个

    摘要揭示网络智能体在黑盒网页下的登录诱导风险，利用模糊测试生成话术并跨骨干和架构验证了隐私泄露威胁。

    深度解读完整解读
  7. 防御arXiv 2610.06001

    AgentSpy：在系统调用层观测 AI Agent 行为并检测技能注入攻击

    提出 AgentSpy，在系统调用层观测 Agent 并检测技能注入

    arXiv
    2610.06001
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    deepseek-v4-flash、gpt-5.6-terra、glm-5.3-flash 等 4 个
    摘要提出了系统级智能体监控框架 AgentSpy，揭示出通过测试背后的非预期行为与注入风险。

    本研究提出了面向 AI 智能体的系统级外部监控与行为分析框架 AgentSpy。

    深度解读完整解读
  9. 攻击arXiv 2609.18217

    研究：跨通道碎片化攻击可绕过 MCP 单通道防御

    提出跨通道分段攻击，利用 MCP 隐式信任诱导外发敏感文件

    arXiv
    2609.18217
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    DeepSeek-V3、GPT-4o、GPT-4o-mini 等 15 个

    摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。

    深度解读完整解读
  13. 评测与基准arXiv 2608.09476

    ActBench：面向协作智能体行为安全的自演化基准

    提出自演化基准 ActBench，评测协作智能体的操作级行为安全

    arXiv
    2608.09476
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Deepseek-v4-Pro、Deepseek-v4-Flash、Claude-Opus-4.8 等 15 个

    摘要ActBench 通过自演化搜索与双证据重构评测轨迹行为安全，揭示基础模型决策差异主导了协同智能体的操作风险。

    深度解读完整解读
  17. 攻击arXiv 2609.02774

    CodePoisonRAG：针对检索增强代码生成的知识投毒攻击

    提出 CodePoisonRAG，对检索增强代码生成的知识库投毒以植入漏洞

    arXiv
    2609.02774
    发表
    层
    应用层
    场景
    LLM 应用
    测试
    DeepSeek-Coder-V2 16B、Qwen 3.5 9B、Code Llama 13B 等 4 个

    摘要CodePoisonRAG 展示了 RACG 外部知识库的新攻击面，在较低投毒率下可定向诱发指定漏洞并部分抵御防御。

    深度解读完整解读
  19. 防御arXiv 2610.01349

    PACE：面向工具调用 LLM Agent 的来源感知能力强制执行

    提出 PACE，在工具调用前对 Agent 做路径隔离与效果授权

    arXiv
    2610.01349
    发表
    层
    应用层
    场景
    AI Agent
    测试
    DeepSeek-V4-Flash、gpt-5.6-luna、Qwen-3.8-27B
    摘要PACE 在工具边界做路径割与效果核验。

    PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。

    深度解读完整解读
  20. 评测与基准arXiv 2609.19140

    AgentLSD：在对抗性任务污染下评测 AI 安全 Agent

    用 AgentLSD 评测安全 Agent 在对抗任务污染下的解题与开销

    arXiv
    2609.19140
    发表
    层
    应用层
    场景
    网页与电脑操作
    测试
    DeepSeek-V4 Flash、Gemma-4 31B、GPT-OSS 120B 等 6 个
    摘要AgentLSD 用配对 web CTF 表明，欺骗性环境证据会改变安全智能体的解题率与工作量。

    AgentLSD 是一个对照框架，用来测量安全智能体在任务本身不变时，对对抗性任务污染的反应。

    深度解读完整解读
加载更多