攻击arXiv 2610.09027
P-VMI：对抗图像经 KV cache 持续影响多轮对话
提出持久视觉记忆注入，使对抗图像经缓存在触发时操控输出
- arXiv
- 2610.09027
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen3-8B、Qwen3-VL-8B-Instruct、Gemma-4-12B
摘要论文提出 P-VMI，证实对抗输入被掩蔽后仍可经 KV 缓存持久控制模型，强调了保留状态的安全风险。
- 攻击arXiv 2610.03430
JIL：通过对抗后缀操纵 LLM 请求调度优先级
提出 JIL 对抗后缀，压低长度预测以抬高请求调度优先级
- arXiv
- 2610.03430
- 发表
- 场景
- 模型与 API
- 被测模型
- Llama-3-8B-Instruct、Qwen2.5-7B-Instruct、Mistral-7B-Instruct-v0.3 等4个
- 技术梯度与表征优化
摘要JIL 用对抗后缀压低长度预测，在预测式 LLM 调度中提高自身优先级。
JIL 是对预测式 LLM 调度的攻击：用对抗后缀压低长度预测，使请求在 SRPT 式队列里更早得到服务。
- 攻击arXiv 2608.23471
InjecMEM：针对 LLM Agent 记忆系统的记忆注入攻击
提出 InjecMEM，一次注入 Agent 记忆使后续查询输出预设内容
- arXiv
- 2608.23471
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、Mistral-7B-Instruct-v0.3 等6个
- 攻击arXiv 2606.12716
PaperGuard：针对多模态 AI 同行评审的攻击与防御基准
提出 PaperGuard，用图文注入与梯度扰动抬高自动审稿分数并检测恶意指令
- arXiv
- 2606.12716
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Claude-sonnet-4.5、GPT-4o、GPT-4.1 等11个
摘要PaperGuard 测到提示注入与白盒视觉抬分，并比较分块检索防御。
PaperGuard同时评测并检测多模态 AI 审稿中的评分操纵。
- 攻击arXiv 2606.11265
论文提出 CRCP 投毒框架，揭示 RAG 分块与重排序下的投毒失效问题
提出 CRCP 框架，优化分块与重排下的 RAG 语料投毒
- arXiv
- 2606.11265
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- GPT-4o、DeepSeek-R1、Qwen3-Max 等11个
摘要CRCP 把投毒做成多阶段一致性问题。
CRCP 研究的是带分块和重排的 RAG 语料投毒，而不是只提高文档级检索分数。
- 攻击arXiv 2605.28074
SilentRetrieval：以语义保持的对抗数据投毒劫持检索增强生成
提出 SilentRetrieval，以语义保持对抗文档投毒劫持 RAG 检索与生成
- arXiv
- 2605.28074
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Llama-2-7B-Chat、Mistral-7B-Instruct-v0.2、Qwen-7B-Chat 等10个
摘要两阶段投毒在单文档协议下兼顾检索劫持、生成操纵与近良性困惑度。
SilentRetrieval 是针对 RAG 的两阶段语料投毒，在每查询一篇、合成目标答案的统一协议下，同时处理检索劫持、生成操纵和流畅度。
- 攻击arXiv 2605.10253
针对医疗多模态检索增强生成的知识投毒攻击
提出 M3 Att，在不知查询时投毒医学多模态 RAG 并误导临床决策
- arXiv
- 2605.10253
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- GPT-4o、GPT-5 Chat、Gemini-2.5-Flash 等8个
- 攻击arXiv 2603.16960
针对现代视觉语言模型的对抗攻击
对开源视觉购物智能体实施商品图对抗攻击并诱导买错
- arXiv
- 2603.16960
- 发表
- 层
- 应用层
- 被测模型
- LLaVA-v1.5-7B、Qwen2.5-VL-7B
摘要作者称 LLaVA 易被三种攻击诱导买错，Qwen 正确购买率仍接近其干净条件。
作者在自建电商环境里比较两个开源 VLM 购物智能体对图像对抗扰动的鲁棒性。
- 攻击arXiv 2602.00979
GradingAttack：揭示基于 LLM 的教育评分智能体安全漏洞
提出 GradingAttack，用梯度后缀与角色扮演操纵教育评分智能体判定
- arXiv
- 2602.00979
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Qwen2.5-7B、Qwen2.5-7B-Instruct、Qwen2.5-14B-Instruct 等8个
- 攻击arXiv 2602.00364
「有人把它藏起来了」：针对 LLM 检索的查询无关黑盒攻击
提出查询无关黑盒攻击 DQ-A，用可迁移文末后缀降低文档检索排名
- arXiv
- 2602.00364
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Qwen-1.5-7B-Instruct、SFR-Embedding-Mistral、E5-Mistral-7B-Instruct 等10个
摘要DQ-A 以无查询黑盒后缀压低 LLM 检索排名，并在 BRIGHT 上比较三种基线。
DQ-A 是一种 query-agnostic、complete black-box 的文档隐藏攻击，对象是用最后隐层相似度匹配的 LLM 检索。
已经到底了