另有240篇论文还没打上分类标签，暂不在筛选结果里。
提出 PyCache Trap，用字节码缓存替换绕过 Agent 技能扫描器
这篇论文研究了智能体技能（Agent Skills）安全扫描中的“审查–执行脱节”问题，并提出了对应的攻击验证与防御方案。
提出 CRIME 框架，组合良性 Agent 技能诱发恶意行为
CRIME 把公共技能库中各自通过审查的技能配成两两组合，看联合执行能否实现指定恶意任务。。
提出 ASA 与 AttestMCP，度量并降低 LLM 对输入序列扰动的敏感
提出 PRETEXT 攻击，迭代改写技能文本绕过技能扫描器并让 Agent 执行木马
PRETEXT 是一项针对基于“静态规则加语义大模型”的智能体技能安全检测框架的白盒攻击与协同进化评估研究。
提出 SkillDRE，用预执行与运行时双阶段反馈演化恶意 Agent 技能
提出面向邮件 Agent 的攻击链提示注入检测框架
这是一项邮件智能体提示注入防御的离线建模与评测研究：作者把攻击文本是否恶意、攻击是否推进到工具操作、最终参数是否达标分开处理。
提出技能级联攻击，把有害目标拆散到多个技能里绕过单技能扫描
摘要论文探讨了多技能智能体系统面临的技能级联攻击风险，提出自动化红队框架与基准集，指出跨技能交互存在安全防护盲区。
提出条件触发的爆炸提示词，并设计摄入期检测器 DeFuse
论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。
提出 DEMI 检测框架，用生命周期模拟和证据映射发现 DAO 提案错配
这是面向 DAO 治理的执行前错配检测研究：攻击者可以提交看似合理的描述，但让获批载荷执行另一种行为，投票描述并不直接约束代码。
提出 ColluSkill，用跨技能组合绕过 Agent 技能扫描器
摘要论文揭示了单技能孤立扫描的盲区，提出多技能链攻击 ColluSkill 与上下文防御 ChainGuard 并验证了有效性。
提出分片监督，将评判标准分配给独立调用以抵御展示攻击
本文系统研究了大语言模型在执行多标准监督与评判时的决策负载瓶颈及其安全风险。
提出 MTGuard，对照 MCP 调用声明与执行痕迹拦截不安全工具调用
提出 SkillVetBench 评估开源 Agent 技能的多维安全风险
摘要公开排行榜用 LLM-as-Judge 给技能分列 SARS 与 CVSS，并对照市场官方审查。
提出针对 Agent 护栏的推理扩展拒绝服务攻击
提出对抗重构，仅改表述以拉高 AI 审稿分数
摘要揭示 AI 审稿系统易受纯表述重构操纵，建议在部署前解耦科学与写作评价。
作者把 LLM-MAS 中“小错变成集体错误共识”做成图上的可测传播，并用只改消息、不改拓扑的插件压低最终感染。
提出 AST-ASIP ，把对抗指令植入编译器忽略区域以劫持代码评分
这篇工作把自动代码评分中的失败称为 Compliance Paradox：评分模型可以离开提交逻辑，转而执行嵌在可编译代码里的隐藏指令。
提出 Tool Obfuscation 并评测函数调用 Agent 的攻防
提出保义释义攻击 PAA，抬高 LLM 审稿评分
PAA 是对 LLM-as-a-Reviewer 的 black-box 攻击：只改写摘要，用评审分做 ICL 搜索，并用 BERTScore 与困惑度限制语义和自然度。
提出 WAInjectBench 评测网页 Agent 的提示注入检测
WAInjectBench 是网页智能体提示注入检测的基准。作者要看现有检测器能否发现这类攻击：攻击者改网页，使智能体执行目标动作，而不是用户任务。作者称这是首个此类综合基准。