另有233篇论文还没打上分类标签，暂不在筛选结果里。
提出 WebMirage，用局部对抗图像劫持视觉网页 Agent 的浏览器操作
WebMirage 是一个面向视觉定位网络智能体的流水线感知端到端红队攻击框架。
提出 imMRAG 攻击，从多模态 RAG 私有图像库提取内容
提出 memetic trojans，借助社交传染在 Agent 网络中传播对抗载荷
Memetic trojans 是一类网络介导攻击：对抗载荷搭在智能体本来就会转发和点赞的内容上扩散，转发者不必被攻陷，也不必执行“请继续复制”的指令。
提出 A2A-TIBA，经 A2A 对等任务间接注入并植入常驻回调
A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
提出 MMSkillRisk 基准，评测多模态技能图像中的隐藏指令诱导 Agent 越权操作
摘要论文提出 MMSkillRisk 基准与 NCVA 攻击，揭示多模态技能中教学图像潜藏指令可引发未授权操作并与良性任务共存。
提出 BAM 反馈编码，在 LLM 生成文本中实现隐蔽通信
提出 PMPA，经外部源向 Agent 持久记忆投毒并跨会话泄露隐私
摘要论文提出了持久记忆投毒攻击 PMPA，报告了 harness 智能体在处理外部数据时易受跨会话记忆投毒与隐私泄露的风险。
提出 Repeat-After-Me 自适应视觉提示注入，诱导 VLM 智能体执行指定任务
摘要论文提出了针对黑盒 VLM 的前缀诱导自适应视觉提示注入，在多款模型上诱发了工具调用与隐私泄露。
系统分析智能体支付协议的前置上下文操纵与授权威胁
提出多智能体流水线的边界攻击，使对抗内容作为可信输入跨层传播
作者把多智能体 LLM 流水线的对抗问题定义为缺少边界校验，并用生产轨迹和受控实验检查脆弱性来自架构还是骨干模型。中间输出未经验证就传给下游。作者认为，一旦某级接受对抗内容，后续智能体会把它当作可信输入。
提出 MAStrike，用 Shapley 选联盟对多智能体做共谋红队
提出 PaperGuard，用图文注入与梯度扰动抬高自动审稿分数并检测恶意指令
PaperGuard同时评测并检测多模态 AI 审稿中的评分操纵。
建模并利用多智能体网络中子智能体生成时的记忆继承漏洞
作者对多智能体网络里的子智能体继承做形式化分析，并用开源框架上的 PoC 演示编排层如何让单点妥协继续扩散。
提出利润驱动红队，用标量盈余搜索对手以压测经济博弈 Agent
利润驱动红队把可审计终局里的智能体安全写成对手搜索问题：固定目标会不会被一个只追逐自身盈余的自适应玩家利用。
对开源视觉购物智能体实施商品图对抗攻击并诱导买错
作者在自建电商环境里比较两个开源 VLM 购物智能体对图像对抗扰动的鲁棒性。
提出 SWhisper，用近超声波向语音驱动 LLM 隐蔽注入越狱提示
提出 WebWeaver ，只攻陷单个智能体并从对话上下文恢复多智能体通信拓扑
WebWeaver 是针对 LLM-MAS 通信拓扑机密性的推断攻击：只控制一个任意智能体，从对话上下文恢复全图，而不是查询智能体 ID。
提出 Thought Virus，经潜意识提示使偏好沿多 Agent 消息传播
Thought Virus 把 subliminal prompting 放进多智能体通信，看单点偏差会不会在不点名目标概念时传到全网。
提出双重隐写越狱 Odysseus，用图像隐写绕过多模态系统安全过滤器
提出 AdvOF，生成对抗物体误导视觉语言导航智能体的场景感知
AdvOF 是针对 VLM 驱动 VLN 服务导航的对抗物体攻击。