可解释性arXiv 2610.12361
研究：法律推理模型引用法条不等于依据法条
用依据置换与隐层追踪审计法律思维链是否真正依赖所引法条
- arXiv
- 2610.12361
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-8B、Qwen3-14B、Llama-3.1-8B 等7个
摘要作者通过依据置换反事实与内部承诺追踪发现法律 CoT 裁决对依据依赖度有限，且易受提示注入操纵。
本研究针对法律领域大语言模型思维链推理中引用法律依据的因果真实性展开实证审计。
- 评测与基准arXiv 2610.08571
RAG-PIBench：可信 RAG 系统中提示注入检测的泄漏感知基准
提出 RAG-PIBench，评测 RAG 上下文中提示注入检测器
- arXiv
- 2610.08571
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- DistilBERT-base-uncased、DeBERTa-v3-base、MiniLM
- 评测与基准arXiv 2609.39146
MADBench：多智能体辩论安全性评测基准发布
提出 MADBench，评测多智能体辩论是吸收还是放大对抗影响
- arXiv
- 2609.39146
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- gpt-4o、GPT-5、GPT-6 Astra
摘要MADBench 显示辩论能吸收部分准确率攻击，同时放大未授权读写。
MADBench 是一个评测多智能体辩论安全性的基准，用来看攻击是被辩论吸收还是被放大。
- 防御arXiv 2609.35659
Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统
提出 Tracekit，审计编码 Agent 的意图、推理与动作并检测账本篡改
- arXiv
- 2609.35659
- 发表
- 层
- 应用层
- 被测模型
- Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）
- 防御监控与审计
- 攻击提示注入
- 风险Agent 危险操作
- 组件监控器
摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。
Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。
- 攻击arXiv 2609.27542
研究者用控制 token 注入删除 gpt-oss-20b 推理链并绕过思维链监控
提出控制标记注入，清空工具 Agent 的思维链以绕过推理监控
- arXiv
- 2609.27542
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- openai/gpt-oss-20b、google/gemma-4-26B-A4B-it、deepseek-ai/DeepSeek-R1-Distill-Qwen-7B 等4个
摘要论文阐明控制标记注入可抑制 CoT 使监控失效并促成拒绝绕过，且工具执行受解析器宽容度影响。
- 评测与基准arXiv 2609.02316
Counter-GEO-Bench：现有护栏难挡 GEO 虚假信息
构建 COUNTER-GEO-BENCH，评测生成式搜索中的 GEO 虚假信息防御
- arXiv
- 2609.02316
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Gemma-4-31B-IT、Qwen-3.5-35B-A3B、Llama-4-Scout-17B-16E 等8个
摘要论文构建了针对 GEO 虚假信息的首个防御基准，揭示通用护栏的失效与反作用，并提出了有效的轻量对比检测基线。
- 攻击arXiv 2609.01023
Akrasia：针对推理型代码 LLM 的隐蔽后门攻击
提出隐蔽后门攻击 AKRASIA，在推理代码模型提示中植入触发器并伪装思维链
- arXiv
- 2609.01023
- 发表
- 层
- 提示层
- 被测模型
- Claude-Sonnet-5、GPT-5.5、Gemini-3.5-flash 等7个
摘要论文针对推理代码大模型提出了隐蔽推断期后门攻击 AKRASIA，揭示了模型思维链可被利用进行欺骗性伪装的安全隐患。
- 攻击arXiv 2608.04565
研究者提出 Breadcrumbing 长程攻击，可劫持 DeepResearch 类搜索 Agent 的证据链
提出权威链劫持与轨迹引导策略演化，劫持搜索 Agent 的证据链
- arXiv
- 2608.04565
- 发表
- 层
- 应用层
- 被测模型
- Qwen3.5-9B、Gemma4-31B、DeepResearch 等7个
摘要论文揭示了多步搜索智能体在受限中间人操纵下的脆弱性，提出 ACH 策略与 TGSE 演化方法并完成系统验证。
- 评测与基准arXiv 2607.20891
MisKnow-Agent 评测
用 MisKnow-Agent 评测深度研究智能体是否采纳误导文档结论
- arXiv
- 2607.20891
- 发表
- 层
- 应用层
- 被测模型
- DeerFlow、WebThinker、Gemini Deep Research 等6个
摘要论文通过 MisKnow-Agent 框架评估发现长程研究智能体易采纳误导性知识，且现有防御难以完全消除该现象。
- 攻击arXiv 2607.00422
KidnapRAG：黑盒投毒攻击劫持 Agentic RAG 的推理链
提出 KidnapRAG，用投毒文档黑盒劫持 Agentic RAG 的推理链
- arXiv
- 2607.00422
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Qwen2.5-32B-Instruct、Llama-3.3-70B-Instruct、QwQ-32B 等5个
摘要顺序投毒可把多步推理拖向指定应答，作者称关键在持续引导而非单次注入。
KidnapRAG 是针对 Agentic RAG 的 black-box 语料投毒：攻击者不能访问模型、提示词、检索器或私有轨迹，只能发布可能被检索的文档，并利用公开界面上的推理与搜索查询。
- 攻击arXiv 2606.12716
PaperGuard：针对多模态 AI 同行评审的攻击与防御基准
提出 PaperGuard，用图文注入与梯度扰动抬高自动审稿分数并检测恶意指令
- arXiv
- 2606.12716
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Claude-sonnet-4.5、GPT-4o、GPT-4.1 等11个
摘要PaperGuard 测到提示注入与白盒视觉抬分，并比较分块检索防御。
PaperGuard同时评测并检测多模态 AI 审稿中的评分操纵。
- 攻击arXiv 2605.28074
SilentRetrieval：以语义保持的对抗数据投毒劫持检索增强生成
提出 SilentRetrieval，以语义保持对抗文档投毒劫持 RAG 检索与生成
- arXiv
- 2605.28074
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Llama-2-7B-Chat、Mistral-7B-Instruct-v0.2、Qwen-7B-Chat 等10个
摘要两阶段投毒在单文档协议下兼顾检索劫持、生成操纵与近良性困惑度。
SilentRetrieval 是针对 RAG 的两阶段语料投毒，在每查询一篇、合成目标答案的统一协议下，同时处理检索劫持、生成操纵和流畅度。
- 攻击arXiv 2604.05549
别再执着于提示词：面向 LLM Agent 红队测试的推理劫持与约束收紧
提出 JailAgent，不改用户提示，经推理劫持与记忆投毒操纵 Agent 动作
- arXiv
- 2604.05549
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-3.5-turbo、GPT-4o、GPT-5 等7个
摘要JailAgent 不改提示词，用三阶段操纵推理与检索。
JailAgent 是不修改用户原始提示词的 LLM 智能体红队框架。
- 攻击arXiv 2603.25164
PIDP-Attack：结合提示注入与数据库投毒攻击 RAG 系统
提出 PIDP-Attack，用查询后缀与语料投毒操纵 RAG 回答
- arXiv
- 2603.25164
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- qwen/qwen2.5-7b-instruct、qwen/qwen2-7b-instruct、meta/llama-3.1-8b-instruct 等8个
- 攻击arXiv 2603.17239
LAAF：面向 Agentic 大语言模型系统 LPCI 漏洞的系统化红队方法与自动化攻击框架
提出 LAAF，分阶段自动攻击智能体系统的 LPCI 漏洞
- arXiv
- 2603.17239
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- gemini-2.0-flash-001、claude-3-haiku-20240307、meta-llama/llama-3.1-70b-instruct 等5个
摘要LAAF 以分类加阶段播种做 LPCI 红队。
作者称 LAAF 是专为智能体 LLM 中 LPCI 构建的自动化红队框架。要处理的是：编码、延迟、条件触发的载荷可留在记忆或 RAG 中跨会话重入，而 Garak、PyRIT 不按六阶段用上一轮突破结果播种下一阶段。
- 攻击arXiv 2602.18514
招聘中的特洛伊木马：标准模型与推理模型间接提示注入的红队测试案例研究
用简历中的不可见指令做间接提示注入，操纵招聘推荐
- arXiv
- 2602.18514
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Qwen 3 30B A3B Instruct 2507、Qwen 3 30B A3B Thinking 2507
摘要作者称推理在简单注入下会帮攻击圆谎，在不合逻辑的复杂注入下又会把欺骗漏出来。
- 评测与基准arXiv 2602.16752
LLM 重排序器对提示注入攻击的脆弱性
测量 LLM 重排序器对文档内提示注入的脆弱性
- arXiv
- 2602.16752
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Qwen3-0.6B、Qwen3-1.7B、Qwen3-8B 等16个
摘要复现 DOH/DCH 对 LLM 重排序器的影响，并给出规模、位置、架构和领域上的边界。
- 评测与基准arXiv 2601.10923
Hidden-in-Plain-Text：面向社交网络 RAG 间接提示注入的基准
用 OpenRAG-Soc 评测社交网页 RAG 的间接提示注入与检索投毒
- arXiv
- 2601.10923
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Llama-3-8B-Instruct、Mistral-7B-Instruct、Qwen2.5-14B 等8个
- 攻击arXiv 2507.10457
论文提出 LPCI：针对 Agent 逻辑层与持久记忆的提示控制注入攻击
提出 LPCI，把延迟条件载荷写入记忆与检索库以跨会话触发
- arXiv
- 2507.10457
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- ChatGPT、Claude、LLaMA3 等8个
摘要作者定义 LPCI。
作者把LPCI定义为针对智能体逻辑执行、记忆留存和工具集成的跨阶段漏洞类，而不是单次输入上的提示改写。
- 攻击arXiv 2406.12814
论文提出 ARE 框架，在 VisualWebArena 上评估多模态 Agent 的对抗鲁棒性
提出 ARE 框架与图像文本攻击，评测多模态网页 Agent 的对抗鲁棒性
- arXiv
- 2406.12814
- 发表
- 层
- 应用层
- 被测模型
- GPT-4o、GPT-4V、Claude-3-Opus 等4个
摘要系统评估多模态网页智能体的脆弱性，指出推理时计算组件被攻破会加剧系统风险。
已经到底了