评测与基准arXiv 2610.09944
AgentTime 基准测试智能体时长遵循能力，GPT-6 Astra 出现 14 次做完后休眠
提出 AgentTime 基准，评测智能体按时长工作与估时能力
- arXiv
- 2610.09944
- 发表
- 层
- 应用层
- 被测模型
- Fable 5.1、GPT-5.6 Sol、GPT-6 Astra 等7个
摘要作者把完成任务和管理所用时间分开。
AgentTime 是对智能体时间自控的评测：预测任务耗时、按要求时长工作、事后估计已用时间。
- 攻击arXiv 2610.09264
研究者提出 PackHallu：经规则文件提示注入对编码 Agent 发起包幻觉攻击
提出 PackHallu，经规则文件提示注入诱导编码 Agent 换用攻击者指定包
- arXiv
- 2610.09264
- 发表
- 层
- 应用层
- 被测模型
- Qwen2.5-Coder-7B、Qwen3-Coder-30B、Devstral-Small-2-24B 等19个
摘要PackHallu 诱导规则文件换包。
PackHallu 研究一种针对编程智能体规则文件的提示注入：让智能体在本应使用合法依赖时，改导入攻击者指定并控制的包。
- 评测与基准arXiv 2610.08662
ParanoiaEval：编码智能体不必要风险处置评测基准发布
提出 ParanoiaEval 评测编码智能体的不必要风险处置
- arXiv
- 2610.08662
- 发表
- 层
- 应用层
- 被测模型
- Opus-5、Sonnet-5、Sonnet-4.6 等8个
摘要作者用证据受控任务对评测风险处置，称其普遍、独立于任务能力并降低满意度。
作者提出 ParanoiaEval，并称它是编码智能体风险处置能力的首个统一基准。要解决的问题是：证据已经确定风险应如何处置之后，智能体仍可能扩大验证、增加保护或备份，而现有评测要么只看功能正确性，要么把相关行为拆开研究。做法是把 NIST 的 ATMA 落到仓库任务。
- 评测与基准arXiv 2610.08240
研究评测 32 个 LLM 的代码功能与安全差距：新模型更安全但无一消除差距
在 CWEval 上跟踪代码生成的功能-安全差距
- arXiv
- 2610.08240
- 发表
- 层
- 模型层
- 被测模型
- Gemini 1.5 Pro、Gemini 2.5 Pro、Gemini 3.1 Pro 等20个
摘要绝对安全性上升且差距仍在，开放权重并不分开各家族的轨迹。
- 评测与基准arXiv 2610.06193
SWE-CC 基准：编码 Agent 功能正确仍违反 43.1% 仓库贡献规范
提出 SWE-CC 基准，评测编码 Agent 对仓库贡献策略的遵守
- arXiv
- 2610.06193
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.6 Luna、Gemini 3.7 Flash、DeepSeek V4 Flash 0731 等4个
摘要SWE-CC 中功能正确仍可能违规。
SWE-CC 评测编码智能体是否遵守仓库贡献策略，而不只看补丁能否通过测试。
- 其他arXiv 2610.05831
长时程轨迹监督如何影响终端智能体训练的可靠性与成本
提出选择性长时程精炼，筛选轨迹以提升终端智能体训练可靠性
- arXiv
- 2610.05831
- 发表
- 被测模型
- Qwen/Qwen3-8B
摘要中间长度的监督更均衡。
这项工作研究终端智能体模仿学习里，教师轨迹应保留多少 token。
- 攻击arXiv 2610.05793
研究者训练出按多智能体拓扑触发的代码后门模型
提出拓扑条件后门，使代码模型在推断多智能体部署时植入漏洞
- arXiv
- 2610.05793
- 发表
- 被测模型
- Qwen2.5-7B-Instruct、Qwen2.5-Coder-7B-Instruct
摘要论文证实了拓扑条件后门的可训练性与泛化性，展示了常规评测盲区，并提出差异化拓扑审计作为检测防御方向。
- 分析与理论arXiv 2610.06163
SAGE：定位 LLM Agent 修复中最早偏离安全意图的环节
提出 SAGE，定位代码修复 Agent 最早偏离安全意图的轮次
- arXiv
- 2610.06163
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.5、Claude Opus 4.8、Gemini 3.1 Pro 等6个
摘要SAGE 在已通过检查的修复轨迹上定位静默失败的最早偏离，类型比轮次更稳定。
SAGE 在已通过语法和功能检查、但仍含确认安全缺陷的智能体修复轨迹上，定位最早可归因的安全意图偏离。。
- 攻击arXiv 2610.05139
研究揭示代码注释中的上下文注入攻击面
提出推理时上下文注入，用代码注释诱导补全生成含弱点的代码
- arXiv
- 2610.05139
- 发表
- 层
- 提示层
- 被测模型
- StarCoderBase、DeepSeek-Coder-base、Qwen2.5-base 等10个
- 攻击提示注入
- 攻击arXiv 2610.03857
研究者提出 EviLLM 攻击：通过被入侵账号向 AI 代码生成流程注入漏洞
提出 EviLLM，经账户指令或插件向代码生成流程注入漏洞
- arXiv
- 2610.03857
- 发表
- 层
- 应用层
- 被测模型
- GPT-4o、Llama 3.2 (3B)
- 防御arXiv 2610.00850
AuraForge：为训练安全编码 Agent 扩展安全监督
提出 AuraForge，从漏洞修复合成安全测试并训练编码 Agent
- arXiv
- 2610.00850
- 发表
- 被测模型
- Qwen3.5-4B、GLM 4.7 Flash、Qwen3-Coder-Next 等7个
- 防御模型加固
- 风险Agent 危险操作
摘要AuraForge 用攻击效果测试和防泄露环境做成 AuraGym，合成监督的误拒更低，训出的 4B 模型增益高于人工测试。
AuraForge 把真实仓库的历史漏洞修复变成可执行训练任务，用来监督编程智能体同时满足功能请求和隐含的安全要求。
- 攻击arXiv 2609.17817
论文：用投毒基准污染自改进编码 Agent，令其后续版本写出漏洞代码
提出基准投毒攻击，使自修改编码 Agent 跨代写出含漏洞代码
- arXiv
- 2609.17817
- 发表
- 层
- 应用层
- 被测模型
- Claude Sonnet 4.5、Qwen3.5-397B、gpt-oss-120b 等5个
- 攻击投毒与后门
摘要论文报告了恶意基准能污染自修改代码智能体的进化过程并持续输出漏洞，警示系统设计需纳入安全约束。
- 评测与基准arXiv 2609.02095
READY：面向企业 Agent 部署的可靠性资格认证框架
提出 READY 框架，认证企业 Agent 在人工监督下能否达到规定可靠性
- arXiv
- 2609.02095
- 发表
- 层
- 应用层
- 被测模型
- Opus 5、Sonnet 5、GPT-5.6-Sol 等15个
摘要READY 把工作流证据转成可检验的可靠性–监督–成本部署画像。
READY 把“智能体能否自主完成工作”改写成“哪个人机监督策略能在留出证据上达到规定可靠性，以及要付多少运营成本”。。
- 攻击arXiv 2609.01023
Akrasia：针对推理型代码 LLM 的隐蔽后门攻击
提出隐蔽后门攻击 AKRASIA，在推理代码模型提示中植入触发器并伪装思维链
- arXiv
- 2609.01023
- 发表
- 层
- 提示层
- 被测模型
- Claude-Sonnet-5、GPT-5.5、Gemini-3.5-flash 等7个
摘要论文针对推理代码大模型提出了隐蔽推断期后门攻击 AKRASIA，揭示了模型思维链可被利用进行欺骗性伪装的安全隐患。
- 攻击arXiv 2608.21929
SkillBloat：通过技能注入对编码 Agent 发起 token 放大攻击
提出 SKILLBLOAT，改写技能文档放大编码 Agent token 消耗
- arXiv
- 2608.21929
- 发表
- 层
- 应用层
- 被测模型
- GLM-4.7-Flash、GLM-5、GPT-5.4 Mini 等4个
- 其他arXiv 2608.14380
AgentRewind：面向长周期 LLM Agent 的可恢复执行框架
提出 AgentRewind，支持长程 Agent 回退对齐检查点并继续执行
- arXiv
- 2608.14380
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.4、GPT-5.4 mini、Qwen3.7-Max 等7个
- 风险行为arXiv 2608.10218
研究者用进化算法构造多智能体 LLM 系统中的自我传播“思维病毒”
用演化算法构造 mind virus 并测量其在多智能体中的传播
- arXiv
- 2608.10218
- 发表
- 层
- 应用层
- 被测模型
- Claude Haiku 4.5、Claude Sonnet 4.6、Gemini 3 Flash 等7个
- 评测与基准arXiv 2605.19722
研究用 30 项漏洞分析任务评测自主安全智能体的安全对齐效果
评测自主安全智能体在授权漏洞分析中的对齐拒答效应
- arXiv
- 2605.19722
- 发表
- 层
- 应用层
- 被测模型
- Gemma 4 31B official instruction-tuned model、TrevorJS Gemma 4 31B uncensored GGUF、Gemma 4 26B A4B official instruction-tuned model 等8个
- 风险拒答失当
摘要轨迹级评测把拒答、接地、工具接口分开。
这项工作把安全对齐效应测成自主安全智能体的轨迹属性，而不是单轮拒答率。
- 评测与基准arXiv 2605.17062
研究复现五个前沿模型的包名幻觉：跨模型共同幻觉 127 个包名，53 个仍可被注册
复评前沿模型代码生成中的包名幻觉与抢注攻击面
- arXiv
- 2605.17062
- 发表
- 层
- 模型层
- 被测模型
- Claude Sonnet 4.6、Claude Haiku 4.5、GPT-5.4-mini 等5个
- 风险幻觉与编造
摘要评估显示前沿模型包幻觉率收窄但威胁仍在，作者识别出跨模型通用攻击面并呼吁联合防御。
- 防御arXiv 2605.08382
SecureForge 通过提示词优化发现并减少 LLM 生成代码漏洞
提出 SecureForge，在推理时优化系统提示以减少编码智能体的代码弱点
- arXiv
- 2605.08382
- 发表
- 层
- 应用层
- 被测模型
- Qwen 2.5 Coder 7B、Qwen 2.5 Coder 14B、Qwen3 30B-A3B 等10个
- 防御指令与数据隔离
摘要SecureForge 审计良性 CWE 失败并优化系统提示词。
SecureForge是一条只用 API 和静态分析、在推理时加固编码模型的流水线。