评估应用决策层的输入注入与隐私推断风险
Jev 是 TypeSafe 的 System One 模型，把应用 state 和固定问题变成 Choice、Noul 或 Score 的类型化决策与概率。作者用官方 API 和可改训练的 NanoJev，考察它作为决策层时的操纵、泄露与双重用途。
提出 Persona Guardrail，强制客服智能体守住功能边界
Persona Guardrail 是客服向智能体的同步运行时防御：先写明功能边界，再决定放行或拦截，而不是只检测某一攻击类。
提出 imMRAG 攻击，从多模态 RAG 私有图像库提取内容
提出 DART，用去噪表征转移检测多轮智能体攻击并注入提醒
提出能力洗钱攻击，拆分任务向对齐模型套取能力
摘要作者提出了能力洗钱攻击，发现未对齐编排器分解咨询对齐模型可恢复能力差距，指出需建立跨会话防御。
提出 CIG-MIA，用上下文信息增益推断 RAG 知识库成员身份
CIG-MIA 是针对 RAG 外部知识库的成员推断攻击，同时覆盖灰盒和纯文本黑盒。
提出 SHAQ，用影子查询嵌入替换文档嵌入以抵御嵌入反演
SHAQ 是面向云端向量库 EIA 的防御：不直接改文档嵌入，而用影子查询嵌入替换它们。
提出 RedEvoAgent，演化攻击技能对黑盒智能体做自动红队
RedEvoAgent 是面向产品级 black-box 智能体的自动红队方法，用一份可演化、人类可读的攻击技能编排多个越狱工具。。
提出 LeakGauge，用行为后缀的 prefill 对数概率检测上下文泄露
提出 SkillClone，仅凭良性任务交互重构闭源 Agent 技能
论文从功能保密视角系统研究了大语言模型智能体技能的行为重构威胁。
训练自博弈红队智能体 GPT-Red，规模化生成提示注入与越狱攻击
提出 SigLeak，从黑盒 Agent 执行轨迹推断专有技能
摘要提出了通过良性查询和对照轨迹推断黑盒专有技能的 SigLeak 框架，揭示了智能体执行可见性带来的行为侧信道泄露风险。
提出 AHA 自动科研循环，发现生产 Agent 的可复用漏洞概念
AHA 是一项针对生产级 LLM 智能体自动化红队测试的研究，旨在解决传统方法仅保留具体攻击载荷而缺乏成因解释、导致跨版本复用困难且无法指导修复的问题。
提出嵌入推断攻击 EIA，在黑盒 IR 中识别所用嵌入模型
EIA 是在黑盒 IR 上识别所用嵌入模型的攻击。。
提出软提示防御 AREA，重锚定注意力以缓解系统提示泄露
作者研究真实 LLM 应用中的 system prompt 泄漏，并给出不改权重的缓解方法 AREA。
提出 MEntA，用非模板查询推断文档是否属于 RAG 检索库
提出 SWhisper，用近超声波向语音驱动 LLM 隐蔽注入越狱提示
提出 NeuroFilter，用激活探针过滤智能体多轮隐私攻击
提出 iMIST，用工具伪装和 PPO 迭代越狱大语言模型
iMIST是黑盒越狱方法：把恶意查询伪装成合法工具调用，再用在线强化学习把响应的有害性分数往上推。
提出双重隐写越狱 Odysseus，用图像隐写绕过多模态系统安全过滤器