防御arXiv 2610.03089
COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构
提出 COBRA 双 LLM 架构，防御计算机使用 Agent 的分支转向攻击
- arXiv
- 2610.03089
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 被测模型
- gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等6个
摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
- 攻击arXiv 2609.28613
研究：提示注入可改变 Jev 决策模型的行动概率
测量间接提示注入对类型化概率决策的动作劫持
- arXiv
- 2609.28613
- 发表
- 层
- 应用层
- 场景
- 模型与 API
- 被测模型
- jev-1.13.0
摘要封闭动作集改变提示注入的表现，但没有去掉概率被不可信内容移动的风险。
作者在 jev-1.13.0 上研究 decision hijacking：不可信内容能否在用户任务和可选动作都不变时，把类型化决策推向攻击者目标。
- 防御arXiv 2603.14707
视觉混淆代理：利用与防御计算机使用智能体的感知失效
提出进程外双通道对比分类，拦截计算机使用智能体的错误点击
- arXiv
- 2603.14707
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 被测模型
- multi-modal-embed-small
- 防御检测与过滤
- 攻击提示注入
- 风险Agent 危险操作
- 组件护栏与评审
摘要感知错误可被屏幕像素对调利用。
作者把 CUA 的感知失败写成安全漏洞visual confused deputy：智能体按看错的屏幕授权 click(x,y)，真实落点与它以为的元素不一致。
- 评测与基准arXiv 2602.14161
当基准说谎：在真实分布偏移下评估恶意提示分类器
提出 LODO 评测恶意提示探针的跨数据集泛化
- arXiv
- 2602.14161
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B-Instruct、Gemma-3-27B、Qwen-3.5-4B 等5个
摘要作者称 LODO 露出 CV 高估，数据集身份与安全方向部分重叠，标准域泛化干预关不上。
LODO 用来检查恶意提示词分类器换成没见过的数据集后，还剩多少检测能力。。
已经到底了