全部论文

论文提出针对 Agentic RAG 的检索器后门攻击与 DOU 隐藏方法

提出检索器后门攻击操纵智能体多轮搜索，并用 DOU 隐蔽后门

arXiv

2609.37468

发表

9月26日

层

应用层

场景

AI Agent

测试

E5、Contriever-MSMARCO、Qwen2.5-7B-Instruct

• 攻击投毒与后门
• 技术潜伏触发
• 组件RAG
• +4+4

研究者提出 HPAA 攻击：用排版视觉线索绕过 13 个内容审核系统

提出 HPAA 攻击，用排版视觉线索绕过内容审核系统

arXiv

2606.09700

发表

6月9日

层

提示层

场景

LLM 应用

攻击者

黑盒

测试

Perspective API、Azure AI Content Safety API、Amazon Comprehend Toxicity Detection 等 13 个

• 攻击检测规避
• 技术编码与混淆
• 组件护栏与评审

CompoSkill 框架利用逐个通过扫描的 Agent 技能组合发起攻击

提出 CompoSkill，诱导 Agent 将过审技能组合成攻击链

arXiv

2608.16246

发表

8月17日

层

应用层

场景

AI Agent

测试

LongCat-2.0、GPT-5.4、Gemini-3.1-flash 等 4 个

• 攻击提示注入
• 技术针对防御
• 组件MCP 与技能
• +1+1

研究者提出 SkillClone，仅凭正常提问即可克隆 LLM Agent 隐藏技能功能

提出 SKILLCLONE，仅凭良性任务交互重构 Agent 隐藏技能功能

arXiv

2608.04192

发表

8月5日

层

应用层

场景

AI Agent

攻击者

黑盒

测试

Kimi-K2.6、DeepSeek-Flash、DeepSeek-Pro 等 6 个

• 攻击提取与窃取
• 技术自动化搜索
• 组件MCP 与技能

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

测试

Browser-Use、LiteWebAgent、Skyvern 等 7 个

• 攻击提示注入
• 技术自动化搜索

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

Kimi-K2.6、Fara1.5-27B、CAVEAT-27B 等 14 个

审计发现 CLIP 安全分数主要反映画面与提示词场景的相似度

开环审计冻结视觉安全分，发现偏离主要来自场景模板与视角

arXiv

2610.09517

发表

10月7日

层

模型层

场景

具身与机器人

测试

PPO-Lagrangian、PID-Lagrangian、CPO 等 6 个

• 组件视觉
• +1+1

FAB 攻击：给 HuBERT/WavLM 植入后门，背景警笛声即可让下游语音任务失灵

提出 FAB 攻击，向声学基础模型植入可由环境声触发的后门

arXiv

2610.09819

发表

10月7日

层

训练与数据层

场景

模型与 API

测试

HuBERT-base、WavLM-base

• 攻击投毒与后门
• 技术潜伏触发
• 组件音频
• +1+1

研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题

提出利用路由元数据推断敏感话题的侧信道攻击

arXiv

2610.09981

发表

10月7日

层

基础设施层

场景

LLM 应用

测试

notdiamond-0001、Vela (vLLM Semantic Router)、RouteLLM (BERT router) 等 6 个

• 攻击提取与窃取
• 技术侧信道

APort Vault 发布：用 4,371 条人工攻击评测 AI Agent 支付授权

构建 APort Vault 基准，对比裸模型与确定性授权对越权支付的拦截

arXiv

2609.22076

发表

9月18日

层

应用层

场景

AI Agent

测试

Kimi K3、Claude Fable 5.1、Claude Sonnet 5 等 14 个

• 防御权限与审批
• 攻击越狱
• 组件权限与沙箱

研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

提出 Whisper 攻击与 A-VIP 绑定防御，约束智能体支付决策

arXiv

2609.11757

发表

9月10日

层

应用层

场景

AI Agent

测试

kimi-k3、gemini-2.5-flash-lite、gemini-3.1-flash-lite 等 15 个

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱
• +1+1

WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作

arXiv

2610.09240

发表

10月7日

层

应用层

场景

网页与电脑操作

测试

LLaVA-v1.5-13B、LLaVA-v1.6-34B、MiniCPM-o-8B 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

研究显示前沿模型智能体在测试时自行形成隐蔽信道

展示多智能体在禁令与监视下自发建立隐蔽信道传递机密

arXiv

2609.32701

发表

9月26日

层

应用层

场景

多智能体

测试

Terra、Luna、GPT-5.6 Sol 等 6 个

• 风险欺骗与谋划
• 组件监控器

SpecGuard 用 Lean 证书在编码 Agent 执行前证明任务冲突

提出 SpecGuard，在编码 Agent 执行前证明任务与测试冲突

arXiv

2610.09159

发表

10月7日

层

应用层

场景

编程 Agent

测试

Kimi K3、GPT-5.6 Sol、Claude Opus 5 等 4 个

• 风险奖励作弊

研究：多向量视觉文档索引可被反演还原页面内容

提出流匹配逆向框架，从多向量视觉文档索引重构页面

arXiv

2610.09920

发表

10月7日

层

应用层

场景

LLM 应用

测试

webAI-ColVec1.1-4b、webAI-ColVec1.1-8b、colnomic-embed-multimodal-7b 等 13 个

• 攻击提取与窃取
• 组件嵌入
• +2+2

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

GUI-Owl(32B)、Mai-UI(8B)、Qwen2.5-VL(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

研究：工具型智能体判断结果无用却仍继续检索，强制整合步骤可纠正

分析工具型 Agent 判定检索无用却不停止的原因

arXiv

2610.06191

发表

10月5日

层

应用层

场景

AI Agent

测试

Search-R1、Qwen2.5-7B、Llama-3.1-8B 等 7 个

研究发现类型化决策模型主要按选项标签而非定义作答

揭示类型化决策模型按选项标签而非定义规则作答

arXiv

2610.02586

发表

10月1日

层

提示层

场景

模型与 API

测试

von、Qwen2.5-0.5B、Qwen2.5-1.5B 等 6 个

• 组件护栏与评审

论文提出 VAL 框架：相同 ASR 的 LLM Agent 防御可能对应不同安全保证

提出 VAL 防御栈，用确认门与参数沙箱约束 Agent 的高风险工具调用

arXiv

2610.04504

发表

10月3日

层

应用层

场景

AI Agent

测试

Kimi、DeepSeek-chat、Meta Llama 3.1 8B

• 防御权限与审批
• 攻击提示注入
• 组件权限与沙箱
• +1+1

研究者提出闭环偏见注入攻击

提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见

arXiv

2610.05894

发表

10月5日

层

模型层

场景

模型与 API

攻击者

灰盒

测试

LLaDA-8B-Instruct、Dream-v0-Instruct-7B、LLaDA-MoE-7B-A1B-Instruct

• 攻击模型篡改
• 技术梯度与表征优化