跳到正文
10月13日 · 周二

全部论文

找到 20篇
筛选4

攻击类型

提示注入10投毒与后门9

攻击技术

梯度与表征优化4跨模态载荷5

防御类型

模型加固4检测与过滤3

影响

越权操作6输出被操纵10

系统形态

模型与 API9AI Agent9web agent6网页与电脑操作3

攻击面/入口

用户输入50网页与界面10文档与消息4图像与音视频100训练数据10权重与梯度3分发渠道3

层

应用层10训练与数据层8

系统组件

MCP 与技能7记忆8RAG4护栏与评审11监控器6推理链7权限与沙箱13微调与开源权重37视觉18音频2视频3多模态24
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 227篇还没打标签，不在筛选结果里。
攻击面/入口：网页与界面攻击面/入口：训练数据系统组件：视觉系统组件：音频清除全部

另有227篇论文还没打上分类标签，暂不在筛选结果里。

  2. 防御arXiv 2610.09941

    OrthoPurify 用一步正交投影净化被后门污染的视觉语言模型

    提出 OrthoPurify，用正交投影清除视觉语言模型适配器中的劫持方向

    arXiv
    2610.09941
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    LLaVA-1.5-7B、Qwen3-VL-8B、LLaVA-1.5-13B 等5个
    摘要一次投影去掉劫持方向。

    OrthoPurify 是部署前的 LVLM 后门净化方法，用一次正交投影去掉被劫持的权重更新方向。

    深度解读完整解读
  3. 防御arXiv 2610.09469

    Secure-CUA：约束计算机使用智能体中不可信内容的影响

    提出 Secure-CUA，用动作事务约束计算机使用智能体的不可信影响

    arXiv
    2610.09469
    发表
    层
    应用层
    场景
    web agent
    被测模型
    Claude Opus 5、Gemini 3.8 Flash、GPT-5.6-Sol
    摘要Secure-CUA 用每步事务约束不可信影响，良性 TSR 接近 Vanilla-CUA。

    Secure-CUA 要限制图形界面里不可信内容对 CUA 决策和 GUI 执行的影响，同时保留合法任务所需的不可信信息。

    深度解读完整解读
  4. 攻击arXiv 2610.09240

    WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

    提出 WebMirage，用局部对抗图像劫持视觉网页 Agent 的浏览器操作

    arXiv
    2610.09240
    发表
    层
    应用层
    场景
    web agent
    被测模型
    LLaVA-v1.5-13B、LLaVA-v1.6-34B、MiniCPM-o-8B 等6个
    摘要论文提出了针对网络智能体的端到端视觉红队框架 WebMirage，揭示了从视觉定位到浏览器执行的安全脆弱性。

    WebMirage 是一个面向视觉定位网络智能体的流水线感知端到端红队攻击框架。

    深度解读完整解读
  5. 评测与基准arXiv 2610.06898

    DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

    用 DIBench 评测移动 GUI 智能体被 UI 注入后的决策完整性

    arXiv
    2610.06898
    发表
    层
    应用层
    场景
    网页与电脑操作
    被测模型
    Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等7个

    摘要论文提出移动智能体决策完整性基准 DIBench，发现欺诈 UI 注入诱导目标选择并推高完成率，通用防御收益不稳定。

    深度解读完整解读
  8. 攻击arXiv 2609.07048

    FreqDoor：面向视觉语言模型的频域后门攻击

    提出 FreqDoor，在频域混合振幅并对生成式 VLM 做训练时视觉后门

    arXiv
    2609.07048
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    BLIP-2 (opt-2.7b)、InstructBLIP (flan-t5-xl)、LLaVA (interleave-qwen)
    摘要FreqDoor 用频域振幅混合给三款 VLM 植入仅视觉的训练时后门。

    FreqDoor 是针对生成式 VLM 的仅视觉、训练时后门：在频域混合触发源振幅、保留干净图像相位，使触发在空间上分散。

    深度解读完整解读
  9. 防御arXiv 2609.06346

    面向后门攻击下持续学习的鲁棒动态扩展：净化与选择性恢复

    提出持续学习下的净化与选择性恢复框架，抵御逐任务训练投毒后门

    arXiv
    2609.06346
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    ViT-B/16
    摘要作者报告任务内净化与恢复可配合动态专家防御后门，但保证依赖分离条件。

    这是一项面向持续图像分类的后门防御研究：模型只使用当前任务数据，同时需要保留过去知识并避免学习恶意监督。

    深度解读完整解读
  12. 评测与基准arXiv 2609.05535

    Mind2Web-Injection：面向网页 Agent 视觉提示注入护栏的证据对齐评测

    提出 Mind2Web-Injection 评测网页 Agent 视觉注入护栏

    arXiv
    2609.05535
    发表
    层
    应用层
    场景
    LLM 应用
    被测模型
    GPT-5.6-luna、Qwen3-VL-32B、Qwen3-VL-8B 等6个
    摘要作者称检测、定位和反事实响应在六个 VLM 上可分开。

    Mind2Web-Injection 用来检查网页截图护栏的判决是否对齐到该用的画面证据。。

    深度解读完整解读
  14. 攻击arXiv 2603.16960

    针对现代视觉语言模型的对抗攻击

    对开源视觉购物智能体实施商品图对抗攻击并诱导买错

    arXiv
    2603.16960
    发表
    层
    应用层
    场景
    web agent
    被测模型
    LLaVA-v1.5-7B、Qwen2.5-VL-7B
    摘要作者称 LLaVA 易被三种攻击诱导买错，Qwen 正确购买率仍接近其干净条件。

    作者在自建电商环境里比较两个开源 VLM 购物智能体对图像对抗扰动的鲁棒性。

    深度解读完整解读
  15. 防御arXiv 2602.10915

    盲神与破碎的屏幕：构建安全、以意图为中心的移动 Agent 操作系统

    提出 Aura，用可信内核中介移动 Agent 的身份、感知与动作控制

    arXiv
    2602.10915
    发表
    层
    应用层
    场景
    网页与电脑操作
    被测模型
    Gemini-3-Flash
    摘要Aura 以 Agent Kernel 中介结构化交互。

    Aura 用内核中介的结构化智能体交互，替换以屏幕为接口的移动助手。。

    深度解读完整解读
  17. 评测与基准arXiv 2511.18921

    BackdoorVLM：面向视觉语言模型后门攻击与防御的基准

    提出 BackdoorVLM 基准，评测视觉语言模型微调中的后门攻击与防御

    arXiv
    2511.18921
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    LLaVA-1.5-7B、Qwen2.5-VL-7B
    摘要BackdoorVLM 统一评测 VLM 后门与防御：含文本触发在低投毒率下更易激活，现有防御跨类型不稳定。

    BackdoorVLM 是作者提出的 VLM 后门攻击与防御评测基准，作者称它是首个此类综合基准。

    深度解读完整解读
  18. 评测与基准arXiv 2510.01354

    WAInjectBench 系统评测网页 Agent 的提示注入检测方法

    提出 WAInjectBench 评测网页 Agent 的提示注入检测

    arXiv
    2510.01354
    发表
    层
    应用层
    场景
    web agent
    被测模型
    GPT-4o、Mistral-7B-Instruct-v0.1、Llama-Prompt-Guard-2-86M 等8个
    摘要WAInjectBench 比较网页智能体的提示注入检测：显式线索可被部分检出，隐蔽攻击大多漏检。

    WAInjectBench 是网页智能体提示注入检测的基准。作者要看现有检测器能否发现这类攻击：攻击者改网页，使智能体执行目标动作，而不是用户任务。作者称这是首个此类综合基准。

    深度解读完整解读
  19. 攻击arXiv 2505.11717

    WebInject：通过网页像素扰动对多模态网页 Agent 实施提示注入

    提出 WebInject，用网页像素扰动诱导网页 Agent 执行指定动作

    arXiv
    2505.11717
    发表
    层
    应用层
    场景
    web agent
    被测模型
    UI-TARS-7B-SFT、Phi-4-multimodal-instruct、Llama-3.2-11B-Vision-Instruct 等5个
    摘要WebInject 经源码扰动原始像素。

    WebInject 是对 MLLM 网页智能体的环境提示注入：修改网页源码，使原始像素上的扰动经过显示器映射后，诱导智能体执行攻击者指定动作。

    深度解读完整解读
  20. 攻击arXiv 2406.12814

    论文提出 ARE 框架，在 VisualWebArena 上评估多模态 Agent 的对抗鲁棒性

    提出 ARE 框架与图像文本攻击，评测多模态网页 Agent 的对抗鲁棒性

    arXiv
    2406.12814
    发表
    层
    应用层
    场景
    web agent
    被测模型
    GPT-4o、GPT-4V、Claude-3-Opus 等4个

    摘要系统评估多模态网页智能体的脆弱性，指出推理时计算组件被攻破会加剧系统风险。

    深度解读完整解读
已经到底了