红队 · 论文

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

测试

GPT-4o、Gemini 3 Flash、Claude Sonnet 4 等 7 个

• 攻击提示注入
• 技术自动化搜索

CredLeak-Bench

提出 CredLeak-Bench，评测智能体在钓鱼场景下的凭据泄露

arXiv

2610.08871

发表

10月6日

层

应用层

场景

网页与电脑操作

测试

Claude Sonnet 5、Claude Opus 4.8、Gemini 3.6 Flash 等 7 个

WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作

arXiv

2610.09240

发表

10月7日

层

应用层

场景

网页与电脑操作

测试

LLaVA-v1.5-13B、LLaVA-v1.6-34B、MiniCPM-o-8B 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

研究者训练出按多智能体拓扑触发的代码后门模型

微调植入拓扑条件后门，使代码模型在推断多智能体部署时插入隐蔽漏洞

arXiv

2610.05793

发表

10月5日

层

训练与数据层

场景

编程 Agent

测试

Qwen2.5-7B-Instruct、Qwen2.5-Coder-7B-Instruct

• 攻击投毒与后门
• 风险欺骗与谋划
• 技术潜伏触发
• 组件微调与开源权重

COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构

提出 COBRA 双 LLM 架构，防御计算机使用智能体的分支转向攻击

arXiv

2610.03089

发表

10月2日

层

应用层

场景

网页与电脑操作

测试

gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等 6 个

• 防御指令与数据隔离
• 组件权限与沙箱
• +2+2

SCOPE：训练有能力且安全的计算机使用智能体

提出 SCOPE 联合后训练计算机使用智能体的任务执行与安全决策

arXiv

2609.22178

发表

8月27日

层

应用层

场景

网页与电脑操作

测试

Qwen3.5-9B、SCOPE-mid-checkpoint、SCOPE-Capability-Safety 等 14 个

• 防御模型加固
• 攻击提示注入

BadAction：通过动作引导触发器对交互式视频生成模型实施后门攻击

提出 BadAction，通过动作触发器给交互式视频生成植入后门

arXiv

2609.39047

发表

9月30日

层

训练与数据层

场景

模型与 API

测试

Astra (Wan2.1-T2V-1.3B)

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重
• +1+1

SoK 论文提出 FARSIGHT 框架，评测 15 个学术金融 LLM 交易 Agent 的鲁棒性与安全失败

用 FARSIGHT 方案级评测金融 LLM 交易 Agent 的稳健性与安全

arXiv

2609.19705

发表

9月17日

层

应用层

场景

AI Agent

测试

GPT-4、GPT-4o、GPT-4o-mini 等 7 个

• 攻击提示注入
• 风险Agent 危险操作
• 组件记忆
• +1+1

特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

提出爆炸提示词，用条件触发的间接注入延迟诱发恶意工具调用

arXiv

2609.22510

发表

9月19日

层

应用层

场景

AI Agent

测试

Llama-3.1-8B-Instruct、Llama-3.1-70B-Instruct、Qwen2.5-32B-Instruct 等 14 个

• 防御检测与过滤
• 攻击提示注入
• 技术潜伏触发
• 组件护栏与评审

用课程强化学习对前沿模型做提示注入红队测试

提出跨目标课程强化学习，生成间接提示注入以劫持智能体

arXiv

2609.33628

发表

9月27日

层

应用层

场景

AI Agent

测试

Qwen3-4B-Instruct-2507、GPT-4o-mini、GPT-5-nano 等 14 个

• 攻击提示注入
• 技术自动化搜索