全部论文

这篇论文对工具调用大语言模型智能体的安全监控进行了形式化时序验证研究。

本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。

Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。

Agent MechSuits 是面向多轮 CLI 智能体的白盒、步级表示防御，并配有可执行轨迹基准 MAS。

作者在 AgentDojo 的银行工具调用环境里，检查间接提示注入是否让开源智能体执行攻击者指定动作，以及表面防御和表征检测各自的数字。

作者称 LAAF 是专为智能体 LLM 中 LPCI 构建的自动化红队框架。要处理的是：编码、延迟、条件触发的载荷可留在记忆或 RAG 中跨会话重入，而 Garak、PyRIT 不按六阶段用上一轮突破结果播种下一阶段。

ICON 在推理时检测 IPI 的注意力过聚焦并转向，避免以拒答中止智能体轨迹。

Zombie Agent 把自进化 LLM 智能体的跨会话记忆当成攻击面：攻击者只发布网页，良性任务读入后，正常记忆更新留下载荷，并在以后无关会话里触发未授权工具行为。

LODO 用来检查恶意提示词分类器换成没见过的数据集后，还剩多少检测能力。。

VIGIL 用 verify-before-commit 处理智能体的工具流注入，并配有基准 SIREN。

作者把LPCI定义为针对智能体逻辑执行、记忆留存和工具集成的跨阶段漏洞类，而不是单次输入上的提示改写。