评测与基准arXiv 2610.03153
EvoRiskBench：面向工作区 Agent 运行时安全风险的演化基准
构建 EvoRiskBench 评测工作区 Agent 的运行时安全风险
- arXiv
- 2610.03153
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-5.6 Sol、DeepSeek-V4-Pro-0813、Claude Opus 5
摘要论文构建了工作空间智能体运行时风险基准 EvoRiskBench，发现高执行力智能体在 IPI 下面临较高安全风险。
- 防御arXiv 2610.00450
ZoneClaw 用记忆分区防御 OpenClaw 式计算机使用 Agent 的持久记忆攻击
提出 ZoneClaw，用记忆分区防御计算机使用 Agent 的持久记忆攻击
- arXiv
- 2610.00450
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 被测模型
- Claude Sonnet 4.6、GPT-5.5、GLM-5.2 等4个
- 攻击arXiv 2609.38270
VirusCascade：劫持 LLM 推荐智能体的协同反思机制
提出 VirusCascade，联合操纵商品描述与交互轨迹以劫持推荐智能体协同反思
- arXiv
- 2609.38270
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- AgentCF、AgentSEQ、AgentRAG 等4个
摘要作者把反思写回视为推广攻击入口，并用联合操纵和诊断探针研究其持续与传播。
VirusCascade 是针对推荐智能体协作反思的 black-box targeted promotion 攻击研究。 攻击者只改商品描述和少量账号的普通交互，试图让目标商品获得更多良性用户曝光。
- 防御arXiv 2609.36121
Render Before Reading：把不可信内容渲染成图像以防御提示注入
提出 Pictionary，将不可信文本渲染成图像以防御提示注入
- arXiv
- 2609.36121
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude Opus 4.7、Claude Haiku 4.5、GPT-5.5 等12个
- 攻击arXiv 2609.35576
研究提出跨 LLM 助手的记忆跳跃攻击
提出跨独立 Agent 的记忆跳跃攻击，经共享工件在助手间自传播
- arXiv
- 2609.35576
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-5.6 Luna、Kimi-K2.6、GPT-OSS-120B 等6个
摘要论文证实持久工件与内存可形成跨智能体传播链，揭示了将共享工件纳入安全防线的重要意义。
该论文系统研究并量化了通过共享持久工件在具有独立私有内存的 LLM 智能体之间发生自传播的“工件介导传播”攻击风险。
- 评测与基准arXiv 2609.34790
CoSec：面向社区场景的 LLM Agent 安全基准
用 CoSec 评测社区 Agent 是否越界披露受保护信息
- arXiv
- 2609.34790
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- OpenClaw with Gemini 3.1 Pro、OpenClaw with Qwen 3.8 Max、OpenClaw with MiniMax M2.5 等13个
- 评测与基准arXiv 2609.17320
Emergence World：对长时程多智能体系统开展对抗压力测试
提出 Emergence World，对长时程多智能体系统开展对抗压力测试
- arXiv
- 2609.17320
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- Claude Opus 4.8、DeepSeek v4 Pro、Gemini 3.5 Flash 等9个
摘要作者通过长期平行世界实验指出模型对齐不具备可组合性，单模型群体会产生社会奉承、协同退缩及语言不透明等失效。
- 攻击arXiv 2609.13889
PMPA：针对 OpenClaw 与 Claude Code 的持久记忆投毒攻击
提出 PMPA，经外部源向 Agent 持久记忆投毒并跨会话泄露隐私
- arXiv
- 2609.13889
- 发表
- 层
- 应用层
- 被测模型
- DeepSeek-V4-Flash、DeepSeek-V4-Pro、Qwen3-Max
摘要论文提出了持久记忆投毒攻击 PMPA，报告了 harness 智能体在处理外部数据时易受跨会话记忆投毒与隐私泄露的风险。
- 评测与基准arXiv 2609.09404
MMPIBench：多模态提示注入对六种 Agent 框架的跨框架评测
用 MMPIBench 评测多模态提示注入对 Agent 框架的影响
- arXiv
- 2609.09404
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude Opus 4.8、GPT-5.4、Gemini 3.1 Pro 等6个
摘要论文提出 MMPIBench 评测多模态提示注入对智能体的影响，发现模型主导行为、尝试远超完成，音频通道缺乏防护。
- 评测与基准arXiv 2608.09476
ActBench：面向协作智能体行为安全的自演化基准
构建自演化基准 ActBench，评测协作智能体的行为安全
- arXiv
- 2608.09476
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude-Opus-4.8、Claude-Sonnet-4.6、GPT-5.5 等15个
摘要ActBench 通过自演化搜索与双证据重构评测轨迹行为安全，揭示基础模型决策差异主导了协同智能体的操作风险。
- 攻击arXiv 2607.06595
当 Agent 记得太多：针对大语言模型 Agent 的记忆投毒攻击
提出 GhostWriter 记忆投毒，经邮件与日程写入 Agent 长期记忆并跨会话激活
- arXiv
- 2607.06595
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-5.4-mini、DeepSeek-V4-Flash、Gemini-2.5-Flash 等4个
- 攻击arXiv 2607.05189
研究者提出 MemGhost，对持久化个人 Agent 实现隐蔽记忆注入
提出 MEMGHOST，用单封邮件对持久个人 Agent 做跨会话隐蔽记忆注入
- arXiv
- 2607.05189
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-5.4、Claude Sonnet 4.6、Claude Sonnet 4.5 等6个
摘要总结了论文的研究背景、双代理优化方法 MEMGHOST、全周期实验结果以及作者对记忆信任边界的启示。
本文研究了持久化个人智能体面临的隐蔽记忆注入威胁，提出了一套兼顾写入、隐蔽与跨会话生效的自动化生成框架与全周期评测基准。
- 防御arXiv 2606.24322
保护 LLM Agent 长期记忆免受投毒：不可篡改、来源绑定的权限与机器可检验保证
提出 TMA-NM，以写时来源绑定抵御 Agent 长期记忆投毒
- arXiv
- 2606.24322
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- gpt-5-chat、gpt-4o-mini、claude-opus-4.1 等8个
摘要TMA-NM 用来源绑定的行动权限挡住记忆洗白。
TMA-NM 把 LLM 智能体长期记忆的行动权限绑到写时来源，用来挡住跨会话记忆投毒。
- 攻击arXiv 2606.04329
研究者系统研究 LLM 智能体记忆投毒攻击并提出 MPBench 基准
系统研究 LLM 智能体记忆投毒并构建基准 MPBench
- arXiv
- 2606.04329
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Meta-Llama-3.1-70B-Instruct、Deberta-v3-base、Llama-3.1-8B-Instruct 等5个
摘要系统研究了智能体记忆投毒风险，揭示了写入渠道漏洞，构建了 MPBench 基准并指出提示注入防御的局限。
- 攻击arXiv 2605.15338
隐藏于记忆：LLM Agent 的潜伏记忆投毒
提出潜伏记忆投毒，诱导 Agent 把外部文档写成持久伪造记忆
- arXiv
- 2605.15338
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-5.4、GPT-5.5、Claude Sonnet 4.6 等12个
摘要持久记忆成为跨会话攻击面：通用载荷可写入伪造记忆，并在相关后续任务中影响行为。
sleeper memory poisoning 研究带持久记忆的 LLM 助手：外部文档能否让助手存下一则伪造的用户记忆，并在原文档消失后的新会话里被取回、用来改变回复或动作。
- 防御arXiv 2603.12644
揭示自主 Agent 的安全威胁与防御架构：OpenClaw 案例研究
梳理自主 Agent 威胁并提出全生命周期防御蓝图 FASA
- arXiv
- 2603.12644
- 发表
- 层
- 应用层
- 场景
- AI Agent
摘要以 OpenClaw 为例划分三层风险，并用 FASA 描述从输入到系统执行的防御。
这是一份以 OpenClaw 为案例的威胁梳理和防御架构报告，不是带分数的攻击或防御评测。
- 评测与基准arXiv 2602.11510
AgentLeak：面向多智能体 LLM 系统内部通道隐私泄露的基准
提出 AgentLeak 基准，测量多智能体内部通道隐私泄露
- arXiv
- 2602.11510
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- GPT-4o、GPT-4o-mini、Claude-3.5-Sonnet 等5个
- 攻击提示注入
- 风险Agent 危险操作
- 组件记忆
- 评测与基准arXiv 2510.01354
WAInjectBench 系统评测网页 Agent 的提示注入检测方法
提出 WAInjectBench 评测网页 Agent 的提示注入检测
- arXiv
- 2510.01354
- 发表
- 层
- 应用层
- 被测模型
- GPT-4o、Mistral-7B-Instruct-v0.1、Llama-Prompt-Guard-2-86M 等8个
摘要WAInjectBench 比较网页智能体的提示注入检测：显式线索可被部分检出，隐蔽攻击大多漏检。
WAInjectBench 是网页智能体提示注入检测的基准。作者要看现有检测器能否发现这类攻击：攻击者改网页，使智能体执行目标动作，而不是用户任务。作者称这是首个此类综合基准。
已经到底了