Anthropic · 论文

SLIP：无需外部攻击模型的多轮自我越狱

提出无外部攻击模型的多轮自我越狱方法 SLIP

arXiv

2601.02670

发表

1月6日

层

提示层

场景

模型与 API

攻击者

黑盒

测试

DeepSeek-V3、GPT-5.1、GPT-4o 等 11 个

• 攻击越狱
• 技术多轮渐进
• +1+1

HarnessSecurity-Bench 横向评测六款编码智能体框架的安全机制

提出 HarnessSecurity-Bench，横向评测编码智能体框架的安全机制

arXiv

2610.07639

发表

10月6日

层

应用层

场景

编程 Agent

测试

DeepSeek V4 Flash、GLM-5.2、Qwen3.8-27B 等 4 个

• 攻击提示注入
• 组件权限与沙箱
• +1+1

犯罪学框架测试生成式 AI 的奖励作弊

测量编码智能体在压力下的奖励作弊及口头承诺与行为的差距

arXiv

2610.04793

发表

10月4日

层

应用层

场景

编程 Agent

测试

DeepSeek V4 Pro、Claude Opus 5.5、Claude Sonnet 5.5 等 7 个

• 风险奖励作弊

EvoRiskBench：面向工作区 Agent 运行时安全风险的演化基准

提出 EvoRiskBench，评测工作区智能体的运行时安全风险

arXiv

2610.03153

发表

10月2日

层

应用层

场景

编程 Agent、多智能体

测试

DeepSeek-V4-Pro-0813、GPT-5.6 Sol、Claude Opus 5

• 攻击提示注入
• 组件MCP 与技能

Concept2Scenario：用 SAE 概念归因发现可迁移的越狱场景

提出 Concept2Scenario，借助内部概念归因发现可迁移的越狱场景

arXiv

2607.23496

发表

7月26日

层

提示层

场景

模型与 API

攻击者

白盒、黑盒

测试

deepseek-v3-huawei-910b、Qwen3.5-9B、Llama-3.1-8B 等 10 个

• 攻击越狱
• 技术梯度与表征优化
• +1+1

微软发布 Thinkingbox 沙盒与 507 任务基准，评估有状态业务流程中的 Agent 可靠性

构建 THINKINGBOX 沙盒与基准，评测有状态业务工作流中智能体的执行稳定性

arXiv

2608.19741

发表

8月20日

层

应用层

场景

AI Agent

测试

DeepSeek-V4-Pro、Claude Opus 5、GPT-5.4 等 14 个

研究者利用加密推理块跨模型兼容性窃取专有 LLM 推理链

利用加密思维块的跨模型重放，诱导弱模型逐字转写专有推理链

arXiv

2608.09867

发表

8月11日

层

提示层

场景

模型与 API

攻击者

黑盒

测试

DeepSeek-V4-Flash、Claude Opus 4.8、Claude Sonnet 4.6 等 15 个

• 攻击提取与窃取
• 技术推理链操控
• 组件推理链
• +1+1

研究者提出上下文权限提升攻击，12 款 Agent 框架均受影响

提出上下文特权提升攻击，借助记忆、技能与仓库内容操纵编程智能体

arXiv

2609.01222

发表

9月1日

层

应用层

场景

编程 Agent

测试

DeepSeek-V4-Flash、GPT-5.5、GPT-5.4 mini 等 7 个

• 攻击提示注入
• 技术潜伏触发
• 组件记忆
• +3+3

研究：内容不变的风格包装可翻转 LLM 安全评判器的判定

提出内容不变样式包装，翻转安全评审器的判定

arXiv

2609.08236

发表

9月8日

层

提示层

场景

模型与 API

攻击者

无盒、黑盒

测试

DeepSeek-Chat、Keyword (rulebased)、GPT-4o-mini (gpt4o) 等 12 个

• 攻击检测规避
• 技术角色扮演与说服
• 组件护栏与评审
• +1+1

PMPA：针对 OpenClaw 与 Claude Code 的持久记忆投毒攻击

提出 PMPA，诱导智能体把外部恶意指令写入持久记忆并跨会话泄露隐私

arXiv

2609.13889

发表

9月12日

层

应用层

场景

编程 Agent

测试

DeepSeek-V4-Flash、DeepSeek-V4-Pro、Qwen3-Max

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

输出前缀攻击瞄准推理模型

提出推理通道预填与输出前缀组合攻击以越狱推理模型

arXiv

2609.29775

发表

9月24日

层

提示层

场景

模型与 API

攻击者

黑盒

测试

DeepSeek V4 Flash、Gemini 3 Flash Preview、Claude Haiku 4.5

• 攻击越狱
• 技术推理链操控
• 组件推理链
• +1+1

EvasionBench：普通任务压力下智能体出现工具性监控规避

提出 EvasionBench，测量任务压力下智能体对同步监控的规避

arXiv

2609.30217

发表

9月25日

层

应用层

场景

AI Agent

测试

DeepSeek V4 Flash、GLM 5.2、Muse Spark 1.3 等 12 个

• 防御监控与审计
• 风险欺骗与谋划
• 组件监控器

研究者提出针对黑盒 LLM 的实用密钥提取框架

提出用扰动蒸馏本地代理并离线过滤来提取黑盒模型凭据

arXiv

2609.36941

发表

9月29日

层

模型层

场景

模型与 API

攻击者

黑盒

测试

DeepSeek-Coder-7B、LLaMA-3-8B、Qwen2.5-Coder-7B 等 8 个

• 攻击提取与窃取