攻击arXiv 2609.18217
研究：跨通道碎片化攻击可绕过 MCP 单通道防御
提出跨通道分段攻击，借 MCP 多通道隐式信任外发敏感数据
- arXiv
- 2609.18217
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 测试
- GLM-5、GPT-4o、GPT-4o-mini 等 15 个
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
提示注入 · 论文
另有 51 篇论文还没打上分类标签，暂不在筛选结果里。
- 攻击arXiv 2608.09867
研究者利用加密推理块跨模型兼容性窃取专有 LLM 推理链
利用加密思维块的跨模型重放，诱导弱模型逐字转写专有推理链
- arXiv
- 2608.09867
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- GLM-5.2、Claude Opus 4.8、Claude Sonnet 4.6 等 15 个
摘要论文揭示了客户端加密思维块跨模型互换漏洞，提出了低成本提取方法并给出防御方案。
- 攻击arXiv 2610.00392
A2A-TIBA：针对 A2A 协议 LLM 智能体的间接提示注入攻击与三层同构攻防模型
提出 A2A-TIBA 间接提示注入，诱导智能体部署常驻回调并外传数据
- arXiv
- 2610.00392
- 发表
- 层
- 应用层
- 测试
- glm-5.3、MiniMax-M3、deepseek-v4-pro 等 8 个
摘要A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。
A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
- 分析与理论arXiv 2609.27263
GitHub Agentic Workflows 的智能体工作流规范与维护实证研究
实证分析 gh-aw Markdown 的结构、维护与指令防护
- arXiv
- 2609.27263
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 测试
- GLM-5.2、Gemini 3.1 Pro、gpt-oss
摘要gh-aw 指令又长又常改，任务和约束很常见，显式注入防护很少，LLM 标注与人工标签大体一致。
这是一项对 GitHub Agentic Workflows Markdown 的仓库挖掘，目标是描述开发者如何规定并维护会反复执行的智能体工作。
- 攻击arXiv 2609.04495
研究将间接提示注入重新表述为测试时搜索问题
提出 Search Harness，把间接提示注入做成测试时搜索
- arXiv
- 2609.04495
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GLM-5.2、Claude Opus 4.8、GPT-5.5
- 防御arXiv 2609.07529
CoER：用对抗协同演化与精炼防御自适应间接提示注入
提出 CoER，用对抗共进化与精炼训练智能体抵御自适应间接提示注入
- arXiv
- 2609.07529
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GLM-5.2-Thinking、Qwen3.5-9B、MAGIC (Qwen2.5-7B) 等 9 个
- 防御arXiv 2608.17829
LeakGauge：用行为探针在解码前检测上下文泄露攻击信号
提出 LeakGauge，用行为后缀的 prefill 对数概率检测上下文泄露
- arXiv
- 2608.17829
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 攻击者
- 黑盒
- 测试
- GLM-5.2、Gemma-4-E4B-it、Gemma-4-31B-it 等 11 个
- 防御arXiv 2609.05903
EvoSafeHarness：为 Agent 自动演化模型与领域专属安全护栏
提出 EvoSafeHarness，为冻结模型与目标域自动搜索安全 harness
- arXiv
- 2609.05903
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GLM-5、GLM-5.2、Sonnet 4.6 等 10 个
- 评测与基准arXiv 2609.33401
论文评估 System One 模型在 Agent 安全决策中的可靠性、校准与选择性自动化
评测 System One 模型对 Agent 安全输入的分类可靠性与校准
- arXiv
- 2609.33401
- 发表
- 层
- 提示层
- 场景
- LLM 应用
- 测试
- GLM-5.3-Flash、GLM-5.3、Jev 1.13 等 14 个
摘要离线评测表明，安全判定的总体分数和校准不能代替分组误差和带预算的自动决策检查。
Liu 离线评测 System One 模型能否为智能体安全输入给出可自动化的概率决策。问题是分类是否可靠，以及概率能否在指定漏检和误拦上限内支持放行、拦截或复核。
- 攻击arXiv 2609.33628
用课程强化学习对前沿模型做提示注入红队测试
提出跨目标课程强化学习，生成间接提示注入以劫持智能体
- arXiv
- 2609.33628
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GLM-5.3-flash、Qwen3-4B-Instruct-2507、GPT-4o-mini 等 14 个
摘要提出跨目标模型课程强化学习，攻破前沿模型冷启动瓶颈并实现跨模型迁移。
该研究针对强化学习自动化提示注入红队在攻击前沿大模型时的冷启动问题，提出了一种基于目标模型鲁棒性递进的课程强化学习方法。
- 防御arXiv 2609.34463
CoDeL：用协同演化防御抵御 LLM 智能体的间接提示注入
提出协同演化防御 CoDeL，抵御智能体工具观测中的间接提示注入
- arXiv
- 2609.34463
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GLM-5.2、Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct
- 防御arXiv 2609.36603
SED：面向 LLM 智能体的免训练持续安全策略学习框架
提出免训练框架 SED，把智能体有害轨迹蒸馏成可检索安全策略
- arXiv
- 2609.36603
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GLM-5.2、DeepSeek-V4-Flash、Kimi K3
- 防御arXiv 2609.35932
同字节不同权限：保留 token 表示如何放大聊天模板提示注入
证明保留词元表示放大模板注入并验证分词缓解
- arXiv
- 2609.35932
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- GLM-4.5、Qwen3-8B、Qwen3-32B 等 6 个
摘要对话模板注入的权威性主要来自保留词元的学得向量而非文本语法，推理具有补偿作用，现有分词防御遗留工具协议漏洞。
已经到底了