跳到正文
10月13日 · 周二

全部论文

找到 131篇
筛选4

攻击类型

越狱5提示注入36投毒与后门17提取与窃取15拒绝服务6恶意使用3

攻击技术

自动化搜索11多轮渐进3编码与混淆3针对防御4潜伏触发9诱导选用4

模型自身风险

欺骗与谋划3Agent 危险操作13危险能力14拒答失当3

防御类型

模型加固4检测与过滤5指令与数据隔离9权限与审批12监控与审计5

影响

有害内容32越权操作212数据与隐私泄露71输出被操纵157可用性与可靠性45监督失效54滥用能力提升15

系统形态

LLM 应用20AI Agent110coding agent28science agent3web agent10多智能体10

攻击者权限

黑盒13

攻击面/入口

用户输入28网页与界面11文档与消息11工具返回12工具与技能描述14代码仓库与依赖4检索语料3记忆写入10Agent 间消息6图像与音视频4分发渠道10

层

提示层22模型层48应用层131训练与数据层43基础设施层11

系统组件

MCP 与技能23记忆17RAG13护栏与评审8监控器7权限与沙箱12视觉6嵌入3多模态7
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 201篇还没打标签，不在筛选结果里。
影响：数据与隐私泄露影响：可用性与可靠性影响：滥用能力提升层：应用层清除全部

另有201篇论文还没打上分类标签，暂不在筛选结果里。

  3. 其他arXiv 2610.12756

    硬件位翻转如何影响 LLM 智能体：安全与对齐行为可变

    测量随机权重位翻转对 LLM 智能体安全与对齐行为的影响

    arXiv
    2610.12756
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    Qwen3.6-27B、Qwen3.8-27B、Granite4.1-30B
    摘要两位权重故障在闭环中可被部分修复，但会提高输出 token，并在特定模型与场景中改变安全或对齐行为。

    随机两位权重故障进入 LLM 智能体后，模型级损坏会变成可恢复、成本上升、微妙语义错误，以及安全或对齐行为变化。。

    深度解读完整解读
  4. 评测与基准arXiv 2610.11773

    研究提出 Agent 安全新维度：识别未履行的安全义务

    提出义务识别基准 ObligationBench，并训练护栏识别 Agent 未履行的安全义务

    arXiv
    2610.11773
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    ObligationGuard、Claude-Opus-4.8、GPT-5.6-Sol 等17个
    摘要义务是护栏缺口。

    作者认为编码智能体的安全不能只靠拦截禁止动作，还要找出终止时仍未做的安全关键动作，并将其称为义务。

    深度解读完整解读
  5. 评测与基准arXiv 2610.11647

    多装一个技能：编码 Agent 中共同安装的技能如何发生冲突

    评测编码 Agent 中相似技能共同安装对已装技能核心功能的替代

    arXiv
    2610.11647
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    claude-sonnet-4-6、claude-haiku-4-5-20251001、claude-opus-5 等6个
    摘要冲突藏在任务成功后面。

    作者对共同安装、做同一件事的良性 skill 做实证研究，用核心功能是否还在，而不是任务过不过，来看冲突。。

    深度解读完整解读
  6. 评测与基准arXiv 2610.11561

    Workerville：迈向 Agent 安全的组织行为学解释

    构建 Workerville 基准，测量组织条件如何改变 Agent 的安全行为

    arXiv
    2610.11561
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    GPT-5.2、Claude-Sonnet-4.6、Gemini-3.1-Pro 等6个
    摘要作者用 ACB 与 Workerville 测量组织条件对智能体安全的影响，并称结果支持可量化的组织行为框架。

    Workerville 用组织行为测量智能体安全如何随监督、同伴和记忆条件变化。。要处理的缺口是：持续运行的 LLM 智能体同时接收用户指令、同伴消息和长期记忆，但既有安全评测多把这些通道拆开，没有统一的定量测量。

    深度解读完整解读
  7. 攻击arXiv 2610.12524

    对 AI Agent 系统攻击的探索

    重测并扩展对 AI Agent 的提示注入，并用 Agent Card 欺骗操纵 A2A 选择

    arXiv
    2610.12524
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    Ollama Mistral 0.9.5、llama3-8b-8192、gemini-2.0-flash-lite 等5个
    摘要单智能体过滤与分类可被格式或措辞绕过，A2A 选卡还会偏向名称和描述。

    作者在自建的 LangChain、AutoGen 和 A2A 系统上重测提示注入，并改 Agent Card 看选择是否偏移。摘要称试验主要凸显单智能体弱点，同时把攻击扩到多智能体。

    深度解读完整解读
  8. 防御arXiv 2610.10833

    研究：Agent 准时停机不等于有效使用时间预算

    用时钟 harness 和预算塑形 GRPO 改善 Agent 的按时返回

    arXiv
    2610.10833
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    Qwen3.6-27B、Qwen3-4B、Qwen3.5-9B 等4个
    摘要作者比较提示词、harness 与 GRPO：按时性可改善，但额外时间仍未变成更好解。

    作者研究小规模 LLM 智能体在显式 wall-clock 预算下能否按时返回，并把更多时间换成更好的解。

    深度解读完整解读
  9. 评测与基准arXiv 2610.10062

    研究：Agent 更依赖工具报错通道

    测量工具调用 Agent 对显式报错与静默损坏的检测和恢复

    arXiv
    2610.10062
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    claude-haiku-4.5-thinking、claude-haiku-4.5、deepseek-r1 等6个
    摘要作者称智能体看错误通道而非返回内容，静默损坏更少被当作问题。

    作者在 BFCL 多轮可执行环境上注入一次工具层故障，把注意到、改计划、恢复和重复分开记分，而不是只看任务有没有做完。

    深度解读完整解读
  10. 评测与基准arXiv 2610.09944

    AgentTime 基准测试智能体时长遵循能力，GPT-6 Astra 出现 14 次做完后休眠

    提出 AgentTime 基准，评测智能体按时长工作与估时能力

    arXiv
    2610.09944
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    Fable 5.1、GPT-5.6 Sol、GPT-6 Astra 等7个
    摘要作者把完成任务和管理所用时间分开。

    AgentTime 是对智能体时间自控的评测：预测任务耗时、按要求时长工作、事后估计已用时间。

    深度解读完整解读
  13. 评测与基准arXiv 2610.08662

    ParanoiaEval：编码智能体不必要风险处置评测基准发布

    提出 ParanoiaEval 评测编码智能体的不必要风险处置

    arXiv
    2610.08662
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    Opus-5、Sonnet-5、Sonnet-4.6 等8个
    摘要作者用证据受控任务对评测风险处置，称其普遍、独立于任务能力并降低满意度。

    作者提出 ParanoiaEval，并称它是编码智能体风险处置能力的首个统一基准。要解决的问题是：证据已经确定风险应如何处置之后，智能体仍可能扩大验证、增加保护或备份，而现有评测要么只看功能正确性，要么把相关行为拆开研究。做法是把 NIST 的 ATMA 落到仓库任务。

    深度解读完整解读
  16. 攻击arXiv 2610.07510

    PersistBD：攻击者可在发布前强化后门，使其在开发者 SFT 与 RL 后仍保持高攻击成功率

    提出 PERSISTBD，发布前强化供应链后门使其经良性 SFT 与 RL 后仍外发凭据

    arXiv
    2610.07510
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    Qwen2.5-Coder-3B-Instruct、Qwen2.5-Coder-7B-Instruct、Qwen3-Coder-30B-A3B-Instruct
    摘要总结了论文关于后门在 SFT/RL 中存活的发现、两因子机制、PERSISTBD 方法与核心数字。

    本文研究第三方 LLM 智能体在开发者进行良性监督微调（SFT）和强化学习（RL）后训练时的后门持久性风险。

    深度解读完整解读
  17. 评测与基准arXiv 2610.07309

    论文提出长期记忆智能体的检索可允许性验证框架

    提出检索可采纳性核验框架，评测记忆智能体的记录资格与披露

    arXiv
    2610.07309
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    DeepSeek V4 Pro、Gemini 3.6 Flash、GPT-5.6 Luna 等7个
    摘要作者用三值可采纳性和匹配召回界审计长时记忆检索，并分开报告支持、资格与披露。

    这是一套长时记忆检索的可采纳性核验协议，用来分开检查候选支持、资格、提示词暴露和答案披露，而不是提出新的检索算法。。

    深度解读完整解读
  18. 防御arXiv 2610.07258

    AMU：用派生血缘门控实现企业 AI Agent 列级访问控制

    提出 AMU 按推导图门控企业 Agent 共享记忆的列级访问

    arXiv
    2610.07258
    发表
    层
    应用层
    场景
    AI Agent
    摘要在完整血缘下，AMU 按列权限放行缓存，并标出同名 KPI 冲突。

    AMU 用列级推导门控共享记忆，拦截经缓存流出的无权敏感列，并标出同名 KPI 的定义冲突。

    深度解读完整解读
  20. 评测与基准arXiv 2610.06584

    论文：AI 在非公开漏洞上更帮攻击者还是防御者

    评测 coding agent 在非公开漏洞上的利用生成、修复与后续攻击

    arXiv
    2610.06584
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    Opus 5、GPT-5.6 Sol、GPT-6 Sol 等10个
    摘要攻防孰强随环境、系统和弱点改变。

    作者比较编程智能体在利用生成与漏洞修复上的自主表现，并检查修复之后还能不能被攻破。文中的 help 指自主完成任务，不是提升人类操作者。

    深度解读完整解读
加载更多