防御arXiv 2610.00450
ZoneClaw 用记忆分区防御 OpenClaw 式计算机使用 Agent 的持久记忆攻击
提出 ZoneClaw，用记忆分区防御计算机使用 Agent 的持久记忆攻击
- arXiv
- 2610.00450
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 被测模型
- Claude Sonnet 4.6、GPT-5.5、GLM-5.2 等4个
- 评测与基准arXiv 2609.19705
SoK 论文提出 FARSIGHT 框架，评测 15 个学术金融 LLM 交易 Agent 的鲁棒性与安全失败
用 FARSIGHT 方案级评测金融 LLM 交易 Agent 的稳健性与安全失败
- arXiv
- 2609.19705
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- ChatGPT Deep Research
- 攻击提示注入
- 风险Agent 危险操作
- 组件记忆
- 攻击arXiv 2609.13889
PMPA：针对 OpenClaw 与 Claude Code 的持久记忆投毒攻击
提出 PMPA，经外部源向 Agent 持久记忆投毒并跨会话泄露隐私
- arXiv
- 2609.13889
- 发表
- 层
- 应用层
- 被测模型
- DeepSeek-V4-Flash、DeepSeek-V4-Pro、Qwen3-Max
摘要论文提出了持久记忆投毒攻击 PMPA，报告了 harness 智能体在处理外部数据时易受跨会话记忆投毒与隐私泄露的风险。
- 防御arXiv 2609.02127
论文提出带类型溯源与断言护栏，防止持久化 AI Agent 把不可信输入当作自身历史
提出类型化溯源与断言护栏，约束持久 Agent 释放自传断言
- arXiv
- 2609.02127
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 攻击arXiv 2606.04329
研究者系统研究 LLM 智能体记忆投毒攻击并提出 MPBench 基准
系统研究 LLM 智能体记忆投毒并构建基准 MPBench
- arXiv
- 2606.04329
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Meta-Llama-3.1-70B-Instruct、Deberta-v3-base、Llama-3.1-8B-Instruct 等5个
摘要系统研究了智能体记忆投毒风险，揭示了写入渠道漏洞，构建了 MPBench 基准并指出提示注入防御的局限。
- 攻击arXiv 2605.15338
隐藏于记忆：LLM Agent 的潜伏记忆投毒
提出潜伏记忆投毒，诱导 Agent 把外部文档写成持久伪造记忆
- arXiv
- 2605.15338
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-5.4、GPT-5.5、Claude Sonnet 4.6 等12个
摘要持久记忆成为跨会话攻击面：通用载荷可写入伪造记忆，并在相关后续任务中影响行为。
sleeper memory poisoning 研究带持久记忆的 LLM 助手：外部文档能否让助手存下一则伪造的用户记忆，并在原文档消失后的新会话里被取回、用来改变回复或动作。
- 攻击arXiv 2604.02623
论文提出 eTAMP 攻击：网页内容注入可跨会话污染 Web Agent 记忆
提出 eTAMP，用网页内容跨会话投毒 Web Agent 轨迹记忆并诱导越权操作
- arXiv
- 2604.02623
- 发表
- 层
- 应用层
- 被测模型
- GPT-5-mini、GPT-5.2、GPT-OSS-120B 等6个
摘要论文提出了基于环境注入的跨任务记忆投毒攻击 eTAMP，作者报告智能体在环境压力下易感性增加且能力与安全并不协同。
该论文评估了基于大语言模型的 Web 智能体在利用历史交互轨迹进行记忆增强时的安全脆弱性。
- 防御arXiv 2603.12644
揭示自主 Agent 的安全威胁与防御架构：OpenClaw 案例研究
梳理自主 Agent 威胁并提出全生命周期防御蓝图 FASA
- arXiv
- 2603.12644
- 发表
- 层
- 应用层
- 场景
- AI Agent
摘要以 OpenClaw 为例划分三层风险，并用 FASA 描述从输入到系统执行的防御。
这是一份以 OpenClaw 为案例的威胁梳理和防御架构报告，不是带分数的攻击或防御评测。
- 防御arXiv 2603.11619
驯服 OpenClaw：自主 LLM 智能体威胁的安全分析与缓解
提出对齐五阶段的纵深防御，缓解自主 Agent 跨阶段威胁
- arXiv
- 2603.11619
- 发表
- 层
- 应用层
- 场景
- AI Agent
摘要这是对 OpenClaw 的生命周期威胁分析与分层缓解设计，案例为定性证据。
这是对 OpenClaw 的生命周期威胁分析，并配套一套分层缓解设计。要处理的问题是：自主智能体把即时通讯、持久记忆、第三方插件和高权限执行连在一起之后，攻击不再限于单轮越狱，而会跨初始化到执行的多个阶段复合。作者认为只加固单个接口的防御，挡不住这种跨时间攻击。
- 攻击arXiv 2602.15654
僵尸智能体：通过自强化注入持久控制自演化 LLM 智能体
提出 Zombie Agent 攻击，经网页间接注入将载荷写入长期记忆并跨会话触发
- arXiv
- 2602.15654
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Gemini-2.5-Flash、GLM-4.7-Flash
摘要记忆写入把一次网页间接注入变成跨会话控制。
Zombie Agent 把自进化 LLM 智能体的跨会话记忆当成攻击面：攻击者只发布网页，良性任务读入后，正常记忆更新留下载荷，并在以后无关会话里触发未授权工具行为。
- 评测与基准arXiv 2602.11510
AgentLeak：面向多智能体 LLM 系统内部通道隐私泄露的基准
提出 AgentLeak 基准，测量多智能体内部通道隐私泄露
- arXiv
- 2602.11510
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- GPT-4o、GPT-4o-mini、Claude-3.5-Sonnet 等5个
- 攻击提示注入
- 风险Agent 危险操作
- 组件记忆
- 评测与基准arXiv 2602.08412
从助手到双重间谍：针对个性化本地 AI Agent 的 OpenClaw 攻击形式化与基准测试
提出 PASB，端到端评测 OpenClaw 的系统级攻击
- arXiv
- 2602.08412
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Llama-3.1-70B-Instruct、Qwen2.5-7B-Instruct、GPT-4o-mini
已经到底了