跳到正文
10月13日 · 周二

全部论文

找到 32篇
筛选5

攻击类型

越狱6提示注入12提取与窃取8

攻击技术

侧信道3针对防御3

防御类型

检测与过滤3监控与审计4

影响

越权操作5数据与隐私泄露8输出被操纵7

系统形态

模型与 API24LLM 应用14AI Agent148coding agent8web agent23网页与电脑操作8多智能体7

攻击者权限

黑盒5

攻击面/入口

用户输入307网页与界面3文档与消息14工具返回12工具与技能描述26代码仓库与依赖20检索语料3记忆写入4图像与音视频103训练数据66权重与梯度68分发渠道39推理服务与硬件18

层

提示层3模型层6应用层9基础设施层13

系统组件

监控器6
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 215篇还没打标签，不在筛选结果里。
系统形态：模型与 API系统形态：coding agent攻击面/入口：网页与界面攻击面/入口：工具返回攻击面/入口：推理服务与硬件清除全部

另有215篇论文还没打上分类标签，暂不在筛选结果里。

  3. 攻击arXiv 2610.06848

    TranScope：利用 CPU 性能计数器对 Transformer 做成员推断攻击

    提出 TRANSCOPE，用 CPU 硬件计数器推断训练集成员

    arXiv
    2610.06848
    发表
    层
    基础设施层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    BERT (4.4M-340M)、ViT (22M-307M)、Pythia (70M-2.8B) 等5个

    摘要TRANSCOPE 揭示了分词器在嵌入表引发的硬件访问局部性差异，证实微架构计数器可突破恒定时间与置信度遮蔽防御。

    深度解读完整解读
  4. 攻击arXiv 2610.05894

    研究者提出闭环偏见注入攻击

    提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见

    arXiv
    2610.05894
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    灰盒
    被测模型
    LLaDA-8B-Instruct、Dream-v0-Instruct-7B、LLaDA-MoE-7B-A1B-Instruct

    摘要通过去噪中间概率反馈动态调节残差流转向，证明扩散语言模型在推理服务栈中存在闭环偏见注入脆弱性。

    深度解读完整解读
  5. 防御arXiv 2610.05163

    研究者在 Claude Code 和 Codex 上构造分段提示注入并发布边界动作审计基准

    提出 PAA 方法，在边界动作前审计长流程智能体的分阶段提示注入

    arXiv
    2610.05163
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    Claude Code (v2.1.172, Claude Sonnet 5)、Codex CLI (v0.144.0, GPT-5.5)
    摘要论文针对长流程注入提出边界动作审计与 PAA，在保持低误阻的同时实现高拦截率。

    本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。

    深度解读完整解读
  6. 防御arXiv 2610.03073

    SecJev：为 System One 决策模型引入安全专业知识

    提出 SecJev，用场景加权训练把决策模型适配为安全类型化判断

    arXiv
    2610.03073
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    SecJev-0.8B、SecJev-2B、SecJev-4B 等4个
    摘要SecJev 用共享打分器做安全决策，0.8B 的 task-macro 超过 Kev-9B。

    SecJev 是 0.8B 到 9B 的安全决策模型族，作者称据其所知是首个面向安全的 Jev-like 家族。

    深度解读完整解读
  7. 分析与理论arXiv 2610.02504

    HXAI：分布式能源系统中的分层隐私保护可解释 AI 框架

    提出 HXAI 分层隐私解释框架，本地保留细解释并只发布加噪摘要

    arXiv
    2610.02504
    发表
    层
    基础设施层
    场景
    模型与 API
    被测模型
    gradient-boosted tree regression models
    摘要HXAI 把无噪声局部 SHAP 留在家庭内，只聚合差分隐私摘要。

    HXAI 是面向分布式能源系统的分层隐私保护解释框架，服务规划、监测与诊断，而不是实时控制。

    深度解读完整解读
  10. 防御arXiv 2609.35659

    Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统

    提出 Tracekit，审计编码 Agent 的意图、推理与动作并检测账本篡改

    arXiv
    2609.35659
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）
    摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。

    Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。

    深度解读完整解读
  12. 评测与基准arXiv 2609.29429

    Jev 被用于零样本检测十类对齐失败，中位 AUROC 达 0.886

    提出 RLCDAlignBench，零样本检测多种对齐失败

    arXiv
    2609.29429
    发表
    层
    提示层
    场景
    模型与 API
    被测模型
    Jev (jev-1.13.0)
    摘要一次通用问题已能给多数对齐失败排序，大的误差来自状态和标签。

    RLCDAlignBench 测量用强化学习做校准决策的 Jev，能否当作对齐失败的零样本检测器。

    深度解读完整解读
  13. 评测与基准arXiv 2609.28915

    研究提出 ACE 语料库，评估内核级证据对 Agent 安全检测的有效性

    构建 ACE 语料，评测内核级证据对 Agent 攻击检测的有效性

    arXiv
    2609.28915
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    AdaBoost、XGBoost、TabPFN 等10个
    摘要ACE 用配对的内核与应用层证据表明，syscall 痕迹可判别智能体攻击，两层组合通常更好。

    ACE 是一份把智能体会话的内核 syscall 痕迹与应用层清单、转录配对起来的检测语料和基准。。

    深度解读完整解读
  14. 攻击arXiv 2609.28613

    研究：提示注入可改变 Jev 决策模型的行动概率

    测量间接提示注入对类型化概率决策的动作劫持

    arXiv
    2609.28613
    发表
    层
    应用层
    场景
    模型与 API
    被测模型
    jev-1.13.0
    摘要封闭动作集改变提示注入的表现，但没有去掉概率被不可信内容移动的风险。

    作者在 jev-1.13.0 上研究 decision hijacking：不可信内容能否在用户任务和可选动作都不变时，把类型化决策推向攻击者目标。

    深度解读完整解读
  15. 攻击arXiv 2609.18217

    研究：跨通道碎片化攻击可绕过 MCP 单通道防御

    提出跨通道分段攻击，利用 MCP 隐式信任外发敏感文件

    arXiv
    2609.18217
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    GPT-4o、GPT-4o-mini、GPT-5.4 等15个

    摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。

    深度解读完整解读
  17. 防御arXiv 2608.25431

    GIFT：通过 GPU 信息流追踪在 LLM 服务中实现用户数据隔离

    提出 GIFT，用加密与 GPU 信息流跟踪隔离共享 LLM 服务中的用户数据

    arXiv
    2608.25431
    发表
    层
    基础设施层
    场景
    模型与 API
    被测模型
    Qwen2.5-14B、Qwen2.5-32B、Qwen2.5-72B 等6个
    摘要GIFT 以加密隔离加 GPU 信息流规则，在 vLLM 与 DistServe 上强制用户数据隔离，并报告了吞吐开销。

    GIFT 是作者为共享 LLM serving 做的用户数据隔离系统，并有启用机密计算的 GIFT-CC。作者在结论中称它是该场景的首个 IFT 设计。

    深度解读完整解读
  18. 攻击arXiv 2608.17485

    KeyPooling：测量 LLM API 中继路径在何处瓦解提示缓存隔离

    提出 KeyPooling，测量 API 中继何处瓦解提示缓存隔离

    arXiv
    2608.17485
    发表
    层
    基础设施层
    场景
    模型与 API
    被测模型
    grok-4-fast-non-reasoning、grok-4-1-fast-non-reasoning、grok-3 等11个
    摘要共享上游凭证使中继客户进入同一缓存域，保留身份或独立 principal 可分开。

    KeyPooling测量 LLM API 中继在何处丢掉客户身份，使 prompt cache 不再按下游客户隔离。

    深度解读完整解读
  19. 攻击arXiv 2607.11698

    AHA 用自动研究循环发现生产 Agent 漏洞概念

    提出 AHA 自动科研循环，发现生产 Agent 的可复用漏洞概念

    arXiv
    2607.11698
    发表
    层
    应用层
    场景
    coding agent
    攻击者
    黑盒
    被测模型
    Minimax-M2.7、Kimi-K2.6、Deepseek-V4-Pro 等5个
    摘要论文提出基于可证伪科研循环的 AHA 框架，从生产级智能体中挖掘并沉淀漏洞概念图，提升攻击复用率并指导防御加固。

    AHA 是一项针对生产级 LLM 智能体自动化红队测试的研究，旨在解决传统方法仅保留具体攻击载荷而缺乏成因解释、导致跨版本复用困难且无法指导修复的问题。

    深度解读完整解读
加载更多