攻击arXiv 2609.28613
研究：提示注入可改变 Jev 决策模型的行动概率
测量间接提示注入对类型化概率决策的动作劫持
- arXiv
- 2609.28613
- 发表
- 层
- 应用层
- 场景
- 模型与 API
- 被测模型
- jev-1.13.0
摘要封闭动作集改变提示注入的表现，但没有去掉概率被不可信内容移动的风险。
作者在 jev-1.13.0 上研究 decision hijacking：不可信内容能否在用户任务和可选动作都不变时，把类型化决策推向攻击者目标。
- 防御arXiv 2608.24017
WebMCP-Phalanx：为浏览器内 LLM Agent 工具调用建立信任边界
提出 WebMCP-Phalanx，用能力凭证与双智能体隔离浏览器工具调用
- arXiv
- 2608.24017
- 发表
- 层
- 应用层
摘要Phalanx 用浏览器凭证绑定工具所有权，Q/P 分离拦住描述注入，工具名与返回值仍有残留。
WebMCP-Phalanx针对浏览器里的 WebMCP 智能体：在 SOP 下补工具所有权，并把语义检查从有工具权的执行中分开。
- 攻击arXiv 2608.04565
研究者提出 Breadcrumbing 长程攻击，可劫持 DeepResearch 类搜索 Agent 的证据链
提出权威链劫持与轨迹引导策略演化，劫持搜索 Agent 的证据链
- arXiv
- 2608.04565
- 发表
- 层
- 应用层
- 被测模型
- Qwen3.5-9B、Gemma4-31B、DeepResearch 等7个
摘要论文揭示了多步搜索智能体在受限中间人操纵下的脆弱性，提出 ACH 策略与 TGSE 演化方法并完成系统验证。
- 评测与基准arXiv 2602.14161
当基准说谎：在真实分布偏移下评估恶意提示分类器
提出 LODO 评测恶意提示探针的跨数据集泛化
- arXiv
- 2602.14161
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B-Instruct、Gemma-3-27B、Qwen-3.5-4B 等5个
摘要作者称 LODO 露出 CV 高估，数据集身份与安全方向部分重叠，标准域泛化干预关不上。
LODO 用来检查恶意提示词分类器换成没见过的数据集后，还剩多少检测能力。。
- 防御arXiv 2511.20597
BrowseSafe：研究者构建浏览器 Agent 提示注入基准并评测现有防御
提出 BrowseSafe，在工具输出边界检测并拦截浏览器 Agent 提示注入
- arXiv
- 2511.20597
- 发表
- 层
- 应用层
- 被测模型
- Qwen3-30B-A3B-Instruct-2507、Qwen3-8B、PromptGuard-2 (22M) 等10个
已经到底了