跳到正文
10月13日 · 周二

全部论文

找到 54篇
筛选6

攻击类型

提示注入43投毒与后门5检测规避4

攻击技术

梯度与表征优化7自动化搜索4编码与混淆5角色扮演与说服5跨模态载荷5

防御类型

模型加固3检测与过滤9指令与数据隔离11权限与审批4

影响

越权操作20数据与隐私泄露4输出被操纵26

系统形态

LLM 应用25AI Agent105coding agent7web agent22网页与电脑操作7多智能体9

攻击者权限

黑盒3

攻击面/入口

用户输入36网页与界面37文档与消息25工具返回8工具与技能描述3代码仓库与依赖3检索语料26记忆写入3图像与音视频14

层

应用层54

系统组件

RAG7护栏与评审11权限与沙箱4视觉11多模态11
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 201篇还没打标签，不在筛选结果里。
系统形态：LLM 应用系统形态：web agent系统形态：网页与电脑操作攻击面/入口：网页与界面攻击面/入口：文档与消息层：应用层清除全部

另有201篇论文还没打上分类标签，暂不在筛选结果里。

  2. 攻击arXiv 2610.11932

    复旦团队测量 AI 搜索引用脆弱性：普通发帖可进入引用与答案文本

    测量 AI 搜索引用脆弱性，证明普通公开发帖可进入引用与回答

    arXiv
    2610.11932
    发表
    层
    应用层
    场景
    LLM 应用
    被测模型
    Grok、Doubao、ChatGPT 等10个

    摘要作者称论文量化了 AI 搜索因引用偏好与低发帖门槛形成的漏洞，测试显示公开网络发帖可渗透 AI 引用，呼吁审计引用供应链。

    深度解读完整解读
  3. 防御arXiv 2610.11634

    LTBD：用可学习信任边界分隔符防御提示注入

    提出 LTBD，用可学习分隔符隔离可信指令与不可信数据

    arXiv
    2610.11634
    发表
    层
    应用层
    场景
    LLM 应用
    被测模型
    Llama3-8B-Instruct、Llama3.1-8B-Instruct、Falcon3-7B-Instruct 等4个
    摘要LTBD 只训练四个分隔符嵌入。

    LTBD 是一种不改基座权重的提示注入防御：只学习用来标出可信指令与不可信数据边界的四个 token 嵌入。

    深度解读完整解读
  4. 防御arXiv 2610.09469

    Secure-CUA：约束计算机使用智能体中不可信内容的影响

    提出 Secure-CUA，用动作事务约束计算机使用智能体的不可信影响

    arXiv
    2610.09469
    发表
    层
    应用层
    场景
    web agent
    被测模型
    Claude Opus 5、Gemini 3.8 Flash、GPT-5.6-Sol
    摘要Secure-CUA 用每步事务约束不可信影响，良性 TSR 接近 Vanilla-CUA。

    Secure-CUA 要限制图形界面里不可信内容对 CUA 决策和 GUI 执行的影响，同时保留合法任务所需的不可信信息。

    深度解读完整解读
  5. 攻击arXiv 2610.09240

    WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

    提出 WebMirage，用局部对抗图像劫持视觉网页 Agent 的浏览器操作

    arXiv
    2610.09240
    发表
    层
    应用层
    场景
    web agent
    被测模型
    LLaVA-v1.5-13B、LLaVA-v1.6-34B、MiniCPM-o-8B 等6个
    摘要论文提出了针对网络智能体的端到端视觉红队框架 WebMirage，揭示了从视觉定位到浏览器执行的安全脆弱性。

    WebMirage 是一个面向视觉定位网络智能体的流水线感知端到端红队攻击框架。

    深度解读完整解读
  8. 防御arXiv 2610.03089

    COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构

    提出 COBRA 双 LLM 架构，防御计算机使用 Agent 的分支转向攻击

    arXiv
    2610.03089
    发表
    层
    应用层
    场景
    网页与电脑操作
    被测模型
    gpt-5、UI-TARS-1.5-7B、claude-sonnet-5 等6个

    摘要提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。

    深度解读完整解读
  10. 评测与基准arXiv 2610.06898

    DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

    用 DIBench 评测移动 GUI 智能体被 UI 注入后的决策完整性

    arXiv
    2610.06898
    发表
    层
    应用层
    场景
    网页与电脑操作
    被测模型
    Qwen2.5-VL(32B)、Qwen3-VL(32B)、GUI-Owl(32B) 等7个

    摘要论文提出移动智能体决策完整性基准 DIBench，发现欺诈 UI 注入诱导目标选择并推高完成率，通用防御收益不稳定。

    深度解读完整解读
  13. 攻击arXiv 2609.19722

    ALIBI：向二进制注入虚假安全叙事可让 LLM 恶意软件分析器误判

    提出 ALIBI，向恶意二进制注入不执行掩护叙事使分析器误判为良性

    arXiv
    2609.19722
    发表
    层
    应用层
    场景
    LLM 应用
    攻击者
    黑盒
    被测模型
    Gemini 2.5 Pro、GPT-5.5 Pro、Claude Opus 4.7
    摘要ALIBI 用二进制内的掩护叙事重释可疑静态证据，Gemini 上翻转多，另两模型主要为降级。

    ALIBI 是针对 LLM 恶意软件分诊的语义掩护叙事攻击：不覆盖系统指令，而把仍可见的可疑静态证据重释成良性安全产品的预期行为。

    深度解读完整解读
  14. 评测与基准arXiv 2609.19140

    AgentLSD：在对抗性任务污染下评测 AI 安全 Agent

    评测安全 Agent 在对抗性任务污染下的解题成功与开销

    arXiv
    2609.19140
    发表
    层
    应用层
    场景
    web agent
    被测模型
    Gemma-4 31B、DeepSeek-V4 Flash、GPT-OSS 120B 等6个
    摘要AgentLSD 用配对 web CTF 表明，欺骗性环境证据会改变安全智能体的解题率与工作量。

    AgentLSD 是一个对照框架，用来测量安全智能体在任务本身不变时，对对抗性任务污染的反应。

    深度解读完整解读
  16. 防御arXiv 2609.13601

    Mind the Gap：检测 DAO 治理中的描述-执行不匹配攻击

    提出 DEMI 检测框架，用生命周期模拟和证据映射发现 DAO 提案错配

    arXiv
    2609.13601
    发表
    层
    应用层
    场景
    LLM 应用
    被测模型
    GPT-4o、GPT-4o-mini、GPT-4.1 等9个
    摘要作者把 DAO 错配检测做成执行前审计层，主张逐动作证据映射与风险复核是关键。

    这是面向 DAO 治理的执行前错配检测研究：攻击者可以提交看似合理的描述，但让获批载荷执行另一种行为，投票描述并不直接约束代码。

    深度解读完整解读
  17. 攻击arXiv 2609.12448

    GraphProfiler 用个人知识图谱推断敏感属性并溯源到具体帖子

    提出 GraphProfiler，用个人知识图谱从帖子历史推断敏感属性并溯源

    arXiv
    2609.12448
    发表
    层
    应用层
    场景
    LLM 应用
    摘要GraphProfiler 用源链接个人知识图谱做属性推断，准确率接近文本基线，并把证据定位到少量源帖。

    GraphProfiler 是一个可审计的 LLM 敏感属性画像器：用源链接个人知识图谱，把推断落到具体帖子。

    深度解读完整解读
  18. 防御arXiv 2609.08394

    Windows 恶意软件检测器作为复合 AI 系统：准确率、效率与对抗鲁棒性的权衡

    提出 OBELISK 三级流水线，权衡恶意软件检测的准确率、开销与鲁棒性

    arXiv
    2609.08394
    发表
    层
    应用层
    场景
    LLM 应用
    攻击者
    白盒、黑盒
    被测模型
    GBDT-ALL、GBDT-YARA、NEBULA-ALL 等4个
    摘要三级过滤以不大的检测损失换速度，同一机制扩大攻击面，部署应按约束选配置。

    OBELISK 把 Windows PE 恶意软件检测做成 YARA、EMBER-GBDT 与 Nebula 的顺序流水线，用来同时看检出、计算开销和对抗鲁棒性。

    深度解读完整解读
  19. 评测与基准arXiv 2609.02316

    Counter-GEO-Bench：现有护栏难挡 GEO 虚假信息

    构建 COUNTER-GEO-BENCH，评测生成式搜索中的 GEO 虚假信息防御

    arXiv
    2609.02316
    发表
    层
    应用层
    场景
    LLM 应用
    被测模型
    Gemma-4-31B-IT、Qwen-3.5-35B-A3B、Llama-4-Scout-17B-16E 等8个

    摘要论文构建了针对 GEO 虚假信息的首个防御基准，揭示通用护栏的失效与反作用，并提出了有效的轻量对比检测基线。

    深度解读完整解读
  20. 评测与基准arXiv 2609.05535

    Mind2Web-Injection：面向网页 Agent 视觉提示注入护栏的证据对齐评测

    提出 Mind2Web-Injection 评测网页 Agent 视觉注入护栏

    arXiv
    2609.05535
    发表
    层
    应用层
    场景
    LLM 应用
    被测模型
    GPT-5.6-luna、Qwen3-VL-32B、Qwen3-VL-8B 等6个
    摘要作者称检测、定位和反事实响应在六个 VLM 上可分开。

    Mind2Web-Injection 用来检查网页截图护栏的判决是否对齐到该用的画面证据。。

    深度解读完整解读
加载更多