攻击arXiv 2610.08098
CORSA：面向技能路由器的技能注入攻击可跨路由器与 LLM 迁移
提出 CORSA，按任务簇优化技能注入的检索与执行
- arXiv
- 2610.08098
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.4、DeepSeek-V4-Pro、Qwen3.8-27B 等5个
全部论文
另有201篇论文还没打上分类标签，暂不在筛选结果里。
- 评测与基准arXiv 2609.35912
MMSkillRisk：多模态技能图像中的隐藏指令可诱导 Agent 执行未授权操作
提出 MMSkillRisk 基准，评测多模态技能图像中的隐藏指令诱导 Agent 越权操作
- arXiv
- 2609.35912
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.6-sol、Kimi-K2.6、Kimi-K3 等6个
摘要论文提出 MMSkillRisk 基准与 NCVA 攻击，揭示多模态技能中教学图像潜藏指令可引发未授权操作并与良性任务共存。
- 攻击arXiv 2609.18217
研究：跨通道碎片化攻击可绕过 MCP 单通道防御
提出跨通道分段攻击，利用 MCP 隐式信任外发敏感文件
- arXiv
- 2609.18217
- 发表
- 层
- 应用层
- 被测模型
- GPT-4o、GPT-4o-mini、GPT-5.4 等15个
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
- 攻击arXiv 2608.25776
EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播
提出 EVOMAL，诱导自演化编码 Agent 在创建技能时自我投毒并蠕虫传播
- arXiv
- 2608.25776
- 发表
- 层
- 应用层
- 被测模型
- Devstral-Small-2、Gemma-4-31B-IT、Qwen3-Coder-Next 等7个
摘要论文指出了自演化智能体模仿检索代码的自我毒化漏洞，提出 EVOMAL 攻击与防御，阐明了供应链新风险。
- 攻击arXiv 2608.06862
SynChain：诱导计算机使用 Agent 自建攻击链并跨任务持久化
提出 SYNCHAIN，诱导计算机使用 Agent 自建跨任务持久攻击链
- arXiv
- 2608.06862
- 发表
- 层
- 应用层
- 被测模型
- Qwen3.5-9B、Llama-3.1-8B、Ministral-3-8B
摘要论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。
- 攻击arXiv 2607.14493
LogInject 框架披露 LLM 日志分析中的被动提示注入
提出 LogInject 框架，评测日志分析中的被动提示注入及缓解
- arXiv
- 2607.14493
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- GPT-4o、Claude 3.5 Sonnet、Llama-3-70B-Instruct
摘要论文评估了 LLM 日志分析中的上下文污染风险，提出分片拼接等攻击与三层防御，指出必须结合架构隔离与人工介入。
- 攻击arXiv 2607.12340
研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击
提出技能名称抢注攻击，利用 Agent 虚构技能名实施供应链劫持
- arXiv
- 2607.12340
- 发表
- 层
- 应用层
- 被测模型
- GLM-4.5-Air、GPT-5.4-mini、Claude Sonnet 4.6 等12个
摘要研究证实智能体虚构技能名具有高发生率与可预测性，现有防御难以兼顾安全与效用，亟需注册表结构性防护。
本研究系统揭示了大模型智能体技能推荐场景下的虚构技能名称安全风险，将其形式化为一种新型供应链抢注攻击。
- 攻击arXiv 2606.12716
PaperGuard：针对多模态 AI 同行评审的攻击与防御基准
提出 PaperGuard，用图文注入与梯度扰动抬高自动审稿分数并检测恶意指令
- arXiv
- 2606.12716
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Claude-sonnet-4.5、GPT-4o、GPT-4.1 等11个
摘要PaperGuard 测到提示注入与白盒视觉抬分，并比较分块检索防御。
PaperGuard同时评测并检测多模态 AI 审稿中的评分操纵。
- 攻击arXiv 2606.11265
论文提出 CRCP 投毒框架，揭示 RAG 分块与重排序下的投毒失效问题
提出 CRCP 框架，优化分块与重排下的 RAG 语料投毒
- arXiv
- 2606.11265
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- GPT-4o、DeepSeek-R1、Qwen3-Max 等11个
摘要CRCP 把投毒做成多阶段一致性问题。
CRCP 研究的是带分块和重排的 RAG 语料投毒，而不是只提高文档级检索分数。
- 攻击arXiv 2606.09700
研究者提出 HPAA 攻击：用排版视觉线索绕过 13 个内容审核系统
提出 HPAA 攻击，用排版视觉线索绕过内容审核系统
- arXiv
- 2606.09700
- 发表
- 层
- 提示层
- 场景
- LLM 应用
- 攻击者
- 黑盒
- 被测模型
- Llama-Guard-3-8B、Perspective API、ShieldGemma-2B 等13个
摘要揭示了排版视觉线索与分词差异带来的审核盲区，HPAA 以极低查询实现近乎完全规避。
这篇论文研究了人类视觉感知与大模型分词处理机制之间的差异所导致的内容审核漏洞。
- 攻击arXiv 2605.28074
SilentRetrieval：以语义保持的对抗数据投毒劫持检索增强生成
提出 SilentRetrieval，以语义保持对抗文档投毒劫持 RAG 检索与生成
- arXiv
- 2605.28074
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Llama-2-7B-Chat、Mistral-7B-Instruct-v0.2、Qwen-7B-Chat 等10个
摘要两阶段投毒在单文档协议下兼顾检索劫持、生成操纵与近良性困惑度。
SilentRetrieval 是针对 RAG 的两阶段语料投毒，在每查询一篇、合成目标答案的统一协议下，同时处理检索劫持、生成操纵和流畅度。
- 攻击arXiv 2605.22258
CITA：面向中文隐式毒性的攻击与防御数据生成框架
提出 CITA 三阶段框架，生成可绕过毒性检测器的中文隐式毒性文本
- arXiv
- 2605.22258
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Tencent、Baidu、Gemini 3.1 Pro 等11个
- 攻击arXiv 2605.10253
针对医疗多模态检索增强生成的知识投毒攻击
提出 M3 Att，在不知查询时投毒医学多模态 RAG 并误导临床决策
- arXiv
- 2605.10253
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- GPT-4o、GPT-5 Chat、Gemini-2.5-Flash 等8个
- 攻击arXiv 2604.03081
针对 LLM 编码 Agent 技能生态的供应链投毒攻击
提出 PoisonedSkills，评测编码 Agent 技能生态的文档投毒
- arXiv
- 2604.03081
- 发表
- 层
- 应用层
- 被测模型
- Claude Sonnet 4.6、GLM-4.7、MiniMax-M2.5 等5个
摘要作者称技能文档可成为系统操作攻击入口，但结果只评估加载后的阶段。
PoisonedSkills 研究编码智能体的技能供应链投毒，重点是文档内容如何进入实际系统操作。。
- 攻击arXiv 2603.25164
PIDP-Attack：结合提示注入与数据库投毒攻击 RAG 系统
提出 PIDP-Attack，用查询后缀与语料投毒操纵 RAG 回答
- arXiv
- 2603.25164
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- qwen/qwen2.5-7b-instruct、qwen/qwen2-7b-instruct、meta/llama-3.1-8b-instruct 等8个
- 攻击arXiv 2603.13847
SWhisper 用近超声隐蔽声学通道对语音驱动 LLM 实现黑盒越狱
提出 SWhisper，用近超声波向语音驱动 LLM 隐蔽注入越狱提示
- arXiv
- 2603.13847
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 攻击者
- 黑盒
- 被测模型
- Meta-Llama-3.1-8B-Instruct、Gemma-3-4B、Qwen2.5-7B-Instruct 等9个
- 攻击arXiv 2602.18514
招聘中的特洛伊木马：标准模型与推理模型间接提示注入的红队测试案例研究
用简历中的不可见指令做间接提示注入，操纵招聘推荐
- arXiv
- 2602.18514
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Qwen 3 30B A3B Instruct 2507、Qwen 3 30B A3B Thinking 2507
摘要作者称推理在简单注入下会帮攻击圆谎，在不合逻辑的复杂注入下又会把欺骗漏出来。
- 攻击arXiv 2602.14211
SkillJect：为技能型 Agent 自动生成基于技能的提示注入
提出 SkillJect，自动生成投毒 skill 诱导代码 Agent 执行隐藏脚本
- arXiv
- 2602.14211
- 发表
- 层
- 应用层
- 被测模型
- Claude-4.6-Sonnet、GPT-5-mini、GLM-4.7 等10个
摘要SkillJect 用双通道和闭环精炼投毒 skill。
SkillJect 是针对可安装 agent skill 的自动化提示注入框架。作者要解决的是：公开或手工放入 skill 的恶意指令常常被拒绝或忽略，而 skill 一旦安装就会被反复当作可信指导加载。
- 攻击arXiv 2602.05484
遮蔽镜像：针对基于 LLM 的钓鱼检测的隐蔽提示注入攻击
提出隐蔽提示注入攻击 LLM 钓鱼检测器，并给出防御 InjectDefuser
- arXiv
- 2602.05484
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- OpenAI GPT-5、xAI Grok 4 Fast (Non-Reasoning)、Meta Llama 4 Maverick 等4个
- 攻击arXiv 2602.00979
GradingAttack：揭示基于 LLM 的教育评分智能体安全漏洞
提出 GradingAttack，用梯度后缀与角色扮演操纵教育评分智能体判定
- arXiv
- 2602.00979
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Qwen2.5-7B、Qwen2.5-7B-Instruct、Qwen2.5-14B-Instruct 等8个