提出义务识别基准 ObligationBench，并训练护栏识别 Agent 未履行的安全义务
作者认为编码智能体的安全不能只靠拦截禁止动作，还要找出终止时仍未做的安全关键动作，并将其称为义务。
提出流匹配逆向框架，从多向量视觉文档索引重构页面
提出红蓝对抗评测平台 ACEA，分开计量攻击强度与防御效果
ACEA 是让可插拔红队和蓝队共享一个目标 LLM 的对打场地，把攻击强度和防御效果分开记分。作者要补三处空缺：双方只能对着固定对手分开练。LLM judge 分不清真实泄露和幻觉，拦截后又看不到攻击有多强。
提出 PMA，用流形对齐从 E2EO 混淆向量恢复明文
提出 SHAQ，用影子查询嵌入替换文档嵌入以抵御嵌入反演
SHAQ 是面向云端向量库 EIA 的防御：不直接改文档嵌入，而用影子查询嵌入替换它们。
提出 CompoSkill，将逐个通过扫描的技能编排为攻击链
摘要论文分析了智能体技能组合风险，指出单包安全认证状态不具备可组合性，需转向路径级防护。
提出嵌入推断攻击 EIA，在黑盒 IR 中识别所用嵌入模型
EIA 是在黑盒 IR 上识别所用嵌入模型的攻击。。
提出 SkillVetBench 评估开源 Agent 技能的多维安全风险
摘要公开排行榜用 LLM-as-Judge 给技能分列 SARS 与 CVSS，并对照市场官方审查。
提出 CFD 跨会话分解攻击，利用工件来源缺口绕过工具型 Agent 的本地检查
CFD针对工具型 LLM 智能体：利用 artifact 来源不被跟踪这一部署失败模式，把有害目标拆开后延迟组合。
测量思维链将提示中 PII 复述进轨迹的泄漏并评测轻量检测器
在“不要复述 PII”的输出策略下，本文用 black-box 协议测量提示词中的 PII 被写回 CoT 与答案的情况，并比较轻量 gatekeeper。
提出 Zero2Text，无需训练地跨域反演文本嵌入
Zero2Text 是一种不训练 decoder、也不使用泄漏文本–向量对的文本 embedding 反演，针对 RAG 向量库在严格黑盒、目标域未知时的还原。