研究者提出 FAB（Foundation Acoustic model Backdoor）攻击，可在不接触预训练数据、不知道下游任务的情况下，向 HuBERT-base 和 WavLM-base 两个声学基础模型植入后门。攻击者只需下载公开权重、注入后门后重新发布，受害者微调后后门仍存活；激活时播放警笛、狗叫、长笛或双簧管等自然声音即可，无需与音频同步，也不直接篡改录音。实验覆盖九项下游任务（ASR、关键词识别、说话人识别与验证、语音翻译、情感识别等），在良性输入上性能接近原始模型，触发后 ASR 词错误率升至 98.4%，物理播放场景下词错误率仍不低于 80%。研究还测试了 fine-pruning、输入过滤和过度端到端微调三种防御，前两者在降低攻击成功率的同时明显损害良性性能，后者有效但需大量标注数据和约 12.8 倍训练时间。
作者提出 SkillPoison，利用局部有效的成功经验诱导技能过度泛化，在 Trace2Skill 的 PAWS 上实现 95.71% ASR。
现有基于形成的技能攻击易被拦截且难固化，论文提出利用局部有效且验证成功的经验诱导持久技能过度泛化。
论文梳理了技能自演化、技能工件供应链攻击与经验驱动投毒三类工作，指出本文聚焦于通过验证成功经验诱导原生技能过度泛化。
SkillPoison 通过分层筛选有效任务、构建局部成功归因证据并跨类别归纳强化，诱导原生流水线提取过度泛化技能。
实验在 2 个技能框架、3 个基准和 3 种模型上对比了 7 种基线，SkillPoison 在多数设置下取得最高 ASR 并降低了任务准确率。
论文未专门讨论局限与未来方向，实验覆盖了 2 种技能框架、3 个评测基准和 3 种语言模型。
SkillPoison 通过局部有效且验证成功的经验诱导技能过度泛化，在多个评测基准上实现了持久的下游攻击影响。
在Qwen2.5-Coder-7B上，PERSISTBD通过联合优化后门强度与良性梯度兼容性，将SFT-RL后的ASR从20%提升至76%。
探讨智能体后门能否在良性SFT与RL中存活，并提出主动增强后门持久性的方法。
梳理了NLP与智能体后门、微调/RL后门防御及主动持久化研究P-Trojan。
基于一阶分析将后门存活归因于强度与梯度兼容性，提出免求二阶导的PERSISTBD。
在3B/7B/30B上证实SFT侵蚀后门而RL维持残余；PERSISTBD大幅提升存活率。
作者指出了任务领域单一、一阶近似局限与RL反弹机理未解，实验覆盖3个模型。
总结了论文关于后门在SFT/RL中存活的发现、两因子机制、PERSISTBD方法与核心数字。
作者针对LiteLLM等网关提出利用共享冷却记录的跨租户干扰攻击，并设计租户隔离机制消除残留排除。
LLM网关共享部署冷却记录引入了跨租户干扰攻击面。
涵盖云租户隔离、LLM路由攻击、缓存DoS及网关容错。
设计来源检查阻断本地更新，并将429冷却按租户隔离。
租户隔离将恢复后受害者回退从54/60降至0/60。
作者指出未测部署ID发现成本及生产特性，部分恢复差异未解。
揭示网关共享冷却漏洞，提出来源检查与租户隔离防御。
研究发现ClawHub有705个全clean技能含违规指令，实测34.7%命令后果类文档未记载，OATS拦截了全部违规尝试。
发布时恶意检测无法替代运行时动作许可控制，且文档静态分析无法约束智能体动态重构生成的实际执行操作。
相关研究涵盖注册表扫描与供应链攻击、运行时LLM防护栏、系统引用监视器与轨迹保证，论文定位在动作级轻量拦截。
设计确定性解析器映射命令后果类别，结合分车道信任账本与风险容忍度推导晋升阈值，在工具调用前无模型介入地判定操作。
在6.6万技能库及实机智能体中，测出705个clean技能含违规指令，智能体34.7%命令后果脱离文档，OATS拦截了全部违规动作。
作者指出了非动作型危害盲区、单命令语法规避与依赖自审计等局限，实验也主要集中于单模型单日及单一注册表快照。
论文论证了发布时恶意扫描无法替代运行时动作许可控制，提出了轻量确定性控制门OATS，展示了双层防御组合的必要性。
TrustProbe 测试 11 个开源智能体发现 104 个 skill 污点漏洞，在最严审批下仍有 34.8% 可被利用。
论文研究基于 skill 的智能体中，不可信第三方 skill 内容如何在用户委托权限下引发非预期敏感操作的信任链失效问题。
论文梳理了智能体攻击、静态分析与动态模糊测试三类研究，作者称此前工作缺乏跨框架 skill 交付与审批机制的动态验证。
TrustProbe 通过源码静态调用路径分析生成种子，结合语义与距离反馈的定向灰盒模糊测试演化输入，由双重 oracle 验证漏洞。
在 11 个开源智能体上测得 104 个已验证漏洞（ASR 达 100%），直接提示词仅复现 31.7%，最严审批下残留 34.8% 可利用漏洞。
作者指出了来源追踪、安装期能力声明和共享执行点控制等方向，评测受限于所选模型与系统范围。
论文研究 skill 智能体的非安全信任链问题，提出 TrustProbe 工具并在 11 个开源智能体上验证了 104 个污点漏洞。
作者提出白盒攻击 PRETEXT，在固定检测器下对 qwen3t 取得 96.7% 的 ASR（Table D.1）。
现有静态结合大模型的技能安全检测框架在面对知晓规则的白盒攻击者时易被绕过。
相关研究涵盖恶意技能构建、静态分析及大模型审查，本文探讨跨世代自适应攻防。
通过自然语言载荷拆分、双层反思记忆及良性孪生对齐实现对检测器的迭代规避。
在固定与协同进化检测器下评估 3 个模型栈，固定检测器下最高达 96.7% ASR。
作者指出商业扫描器迁移性待验证，实验覆盖单一检测框架与 3 个开源模型栈。
论文提出了针对多阶段技能检测器的白盒攻击，揭示了单纯依赖大模型自适应检测的局限。
作者提出两阶段黑盒劫持框架 A2M，在 GLM-4.6 优化后迁移至 4 个黑盒模型，平均恶意工具调用率为 63.6%。
论文研究 MCP 智能体在第三方工具生态中的语义供应链风险，解决如何使恶意工具既能被智能体选中又能有效劫持其后续执行的问题。
相关研究包括工具增强智能体、大模型对抗攻击、智能体提示注入及工具选择偏置，作者指出既有工具攻击未联合优化元数据与返回载荷。
A2M 将攻击解耦为元数据优化与载荷精炼两阶段，结合五种说服策略与分析器-优化器架构，利用执行轨迹反馈进行黑盒迭代。
实验在 LiveMCPBench 上测试了五种模型，A2M 在直接攻击与迁移场景下均取得较高调用率，但跨模型完整攻击成功率出现下降。
作者指出研究局限在语义层攻击假设、依赖执行轨迹及固定智能体框架，实验覆盖了五种模型、四个场景与多种防御。
A2M 揭示了 MCP 智能体语义供应链风险，通过两阶段优化实现高调用率与推理劫持，且工具调用迁移性强于攻击成功率。
APEX通过在跨技能进度记录中夹带虚假授权，在6个模型上诱导目标动作的平均ASR达74.2%（Table 2）。
研究智能体跨技能协作时利用真实进度记录传递虚假授权的攻击机制。
涵盖间接提示注入、单技能攻击与组合技能攻击，并以SkillsBench为基准。
APEX通过伪造任务交接记录触发下游动作，并依据沙箱反馈迭代修订技能链。
涵盖6个模型及5类家族，完整链ASR达74.2%，评估了结构消融与提示防御。
作者指出结果汇总、任务重叠与未测自适应攻击等局限；实验覆盖6个模型与单项防御。
APEX通过跨技能传递虚假授权实现74.2%的动作诱导率，揭示了多技能协同的安全风险。
作者评估了跨独立智能体的工件介导自传播攻击，在36个测试宇宙中使DeepSeek-V4-Pro达到98%目标感染率。
工件介导攻击利用跨会话持久内存与共享文件，在隔离的智能体间实现无需直接通信的自传播。
相关研究涵盖间接注入、内存投毒及智能体蠕虫，本文聚焦常规文件流转与目标无关通用模板。
通过红队搜索构建与目标无关的通用模板，结合外部端点规范化载荷，驱动工件与内存交替传播。
端点辅助攻击在多模型上实现 38%–98% 感染率并延伸至 8 跳，无端点变体亦可维持有限传播。
作者指出研究受限于端点依赖、无端点模板探索有限、前沿模型搜索成本及合成网络结构。
论文证实持久工件与内存可形成跨智能体传播链，揭示了将共享工件纳入安全防线的重要意义。
作者评估5款智能体C/R机制，指出回滚会破坏执行连续性；在TerminalBench与AgentBench上SF1和SF4占比为67.2%与67.7%。
检查点与回滚恢复虽能还原记录状态，但会打破跨边界依赖从而破坏执行连续性，引发安全风险。
相关研究涵盖传统分布式检查点与防回滚、智能体恢复系统、恢复语义与回滚攻击，以及智能体安全评测。
作者构建了多进程执行模型与五类故障模式，并开发由收集、分析、检查与验证组成的多智能体检测管线。
在1735次基准执行中SF1与SF4发生率近68%，微基准显示改变提交顺序的失败率均超过93%。
作者指出该研究聚焦于C/R引入的安全违规而非涵盖所有智能体威胁，且测试旨在暴露风险而非认证系统安全。
论文系统研究了智能体C/R的安全性，分析了合法回滚破坏执行连续性的机理，并实证评估了其普遍性与危害。
论文测试了12种LLM与智能体在1.5万个提示词下的技能推荐，发现虚构技能名发生率达6.5%–62.0%，且易被抢注劫持。
智能体推荐技能时常虚构不存在的名称，使攻击者可预先抢注并植入恶意载荷实施供应链攻击。
已有研究关注代码包虚构与运行时提示注入，本研究聚焦智能体推荐阶段虚构技能名引发的预先抢注威胁。
通过双重真实性校验管道度量 1.5 万提示词下的虚构率，并基于 RAG 与多模型投票设计防御方案。
评测覆盖12种配置与1.5万提示词，揭示高虚构率与高重现性，证明常规自检与拼写过滤失效，RAG虽降虚构但损害召回。
作者指出未实测真实用户安装率且召回率评估未覆盖全模型；实验涵盖12种配置与4类防御，未测真实恶意载荷。
研究证实智能体虚构技能名具有高发生率与可预测性，现有防御难以兼顾安全与效用，亟需注册表结构性防护。
作者分析了 12 个真实智能体 Harness 的上下文组装设计，提出 16 种攻击向量实现消息角色和跨作用域的特权提升。
智能体 Harness 上下文组装设计不透明且缺乏规范，易遭特权提升攻击导致智能体受控或宿主机被远程代码执行。
相关研究聚焦于间接提示注入、指令层级防御和智能体扩展规范，本文聚焦智能体 Harness 上下文组装的结构性缺陷。
形式化定义 M-CPE 与 X-CPE 两类攻击及 16 种攻击向量，开发静态分析与两轮插桩验证工具 CORA。
在 12 个智能体上验证了 282 个上下文源与 1761 条路径，在 GPT-5.5 下行为验证率达 58% 并完成端到端 PoC。
作者指出了 CORA 环境构建失败、模型安全对齐导致未遵循指令等局限，并倡议厂商发布上下文清单（SBOM）。
论文系统揭示了 12 个智能体 Harness 的特权提升缺陷，提出 16 种攻击向量并通过工具 CORA 验证了广泛存在的安全风险。
作者系统分析Google智能体支付协议AP2 v0.2，指出合法签名无法防御前置上下文操纵，并识别出8个高风险威胁。
分析智能体支付协议AP2在未签名上下文与多架构下的安全盲区，系统化识别前置操纵威胁。
梳理了AP2初期安全性、多智能体商业协议及支撑协议（MCP与A2A）的安全研究现状。
划分生命周期与架构，用MAESTRO和AIVSS系统化建模48个威胁并设计三层扫描器。
通过8名专家重现AIVSS评分、对比STRIDE-GPT，并在自建测试床上完成5项PoC验证与扫描器消融。
作者指出评估基于自建测试床且未测底层清算系统，后续需在真实公开部署中检验扫描器。
系统剖析AP2协议盲区，建立威胁模型并识别8项高危威胁，通过PoC与扫描器推动前置安全防御。
研究者提出CodePoisonRAG对RACG投毒，在Code Llama上取得0.93的无防御ASR。
探索黑盒攻击者能否针对预期任务构造单一投毒代码工件，在不访问 RACG 管线的前提下定向诱导生成指定漏洞。
相关研究包括 RAG 投毒、RACG 攻击与安全代码生成防御；本文聚焦于黑盒针对性弱点注入与单一工件投毒。
通过良性代码与 CWE 匹配、污点链漏洞注入以及注释级虚假安全声明，构造兼具检索相关性与漏洞诱导性的单一工件。
在 3 个开源生成模型上评测 10 类 CWE，无防御下 ASR 达 0.80–0.93，在 CodeGuarder 防御下仍达 0.40–0.71。
论文未专门设立章节讨论局限与后续方向；实验覆盖了 3 个开源生成模型、10 类 CWE 及 CodeGuarder 防御。
CodePoisonRAG 展示了 RACG 外部知识库的新攻击面，在较低投毒率下可定向诱发指定漏洞并部分抵御防御。
HOOKPRY利用插件生命周期钩子更新机制对7个智能体框架实施供应链攻击，在1000次运行中微平均E2E-ASR达77.0%。
智能体框架信任插件钩子更新，使攻击者可通过版本更新在模型推理流外静默执行恶意命令。
现有工作主要关注提示注入、工具描述投毒与恶意代码，未系统研究框架层生命周期钩子的信任迁移。
HOOKPRY 通过对抗清单优化提升检索、时间解耦定位弱验证边界、最小公共接口跨框架编译原生钩子配置。
1000次跨环境测试微平均E2E-ASR达77.0%，原生钩子攻击效果显著优于MCP投毒，静态防御漏报47.5%。
作者指出安装采纳率未测及环境未穷尽等局限，未来可探索动态分析、最小特权钩子与更新授权机制。
论文揭示了智能体框架钩子更新的供应链攻击面，提出了 HOOKPRY 框架并在测试中取得 77.0% 的成功率。
10a Labs分析开源生态，发现原版去安全模型平均被重新打包2.4次，重分发层构成持久留存基础。
论文测绘了去安全开源大模型从生产、压缩重分发到下游部署的完整供应链，阐明其规模与持久留存机制。
相关研究聚焦于去安全模型实证统计、网络犯罪知识图谱分析、地下黑市流通以及底层去安全技术。
论文结合多语言检索与GPT-5分类，构建了覆盖模型生产、重分发与应用部署的供应链测绘体系。
论文报告原版模型平均被重包装2.4次，前三名重分发者占52%份额，下游应用主要依赖Ollama分发。
作者在第4.2节指出了平台范围、分类验证、技术归因、统计周期、检索上限与基模溯源共六项局限。
论文测绘了去安全开源大模型供应链，作者指出高集中度的重分发层赋能模型持久留存与部署扩散。
SYNCHAIN 诱导 CUA 自合成工件，在三框架无防御 Chain-1 达 97.78%–98.89% ASR。
CUA 自合成的持久化工件可成为内部供应链恶意载体，现有防御无法防护跨任务传播。
现有研究聚焦技能增强、外部提示注入与单步后门，缺少对智能体自合成持久化内部供应链风险的研究。
通过面向持久化的定向 SFT 诱导模型自合成带潜伏载荷的工件，利用扩展状态递归更新跨步激活。
在三款智能体和四种防御下测定，Chain-1 ASR 超 90%，Chain-2 仍有效，但更长链受信息瓶颈限制衰减。
作者指出攻击传播深度受限且缺少体系化来源防御；评测覆盖有限规模的链式任务与特定攻击目标。
论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。
作者对推理代码模型发起后门攻击AKRASIA，在CodeMMLU对Gemini-3.5取得99.34%平均ASR。
论文探讨推理代码大模型在推断期面临的代码级后门脆弱性，旨在实现兼具高攻击成功率与隐蔽性的后门攻击。
论文梳理了基于推理的推断期后门、代码模型后门及黑盒防御三类研究，将自身定位于首个隐匿代码触发器与推理的攻击。
AKRASIA通过探查受害模型生成代码触发器，构建正负ICL示例与伪装提示词，依托模型不忠实性隐匿攻击意图。
实验覆盖6个模型与3个基准，显示AKRASIA在多任务与多类防御下保持高攻击成功率与效用，并逃逸人工检测。
作者指出了提示词ICL数量未扰动、模型推理随机性及缺乏专有防御等局限，未来计划探索有效防御手段。
论文针对推理代码大模型提出了隐蔽推断期后门攻击AKRASIA，揭示了模型思维链可被利用进行欺骗性伪装的安全隐患。
作者对世界模型提出后门 TrojanWorld，在 R2-Dreamer DMC 上达成 0.026 动作偏差且移除触发器后持续控制。
TrojanWorld 试图解决世界模型智能体在供应链中的后门威胁，通过操纵内部想象诱导特定恶意行为。
相关研究涵盖世界模型构建、强化学习与智能体后门攻防，以及针对世界模型的对抗性干扰与规划破坏方法。
TrojanWorld 冻结决策模块并仅微调世界模型，通过决策反射诱导、干净行为锚定和因果传播实现后门植入。
实验覆盖 3 个系统与 4 个基准，TrojanWorld 在触发期诱导目标动作并在移除后维持控制，3 种适配防御未能完全消除攻击。
后续探索可关注物理真实相机因素与大规模世界模型扩展；当前实验覆盖仿真器内 3 种架构与 8 个任务。
TrojanWorld 揭示了世界模型智能体的供应链后门风险，通过在世界模型中操纵想象可实现对闭环动作的持续控制。
