跳到正文
10月12日 · 周一

全部论文

找到 30篇
筛选2

攻击类型

提示注入11投毒与后门15提取与窃取6

攻击技术

自动化搜索3编码与混淆4侧信道4针对防御4潜伏触发15

影响

越权操作7数据与隐私泄露10输出被操纵9

系统形态

模型与 API12AI Agent16

攻击者权限

黑盒3

攻击面/入口

用户输入209网页与界面21文档与消息30工具返回35工具与技能描述34代码仓库与依赖18检索语料22记忆写入16Agent 间消息10图像与音视频80训练数据27权重与梯度49分发渠道41推理服务与硬件14

层

模型层5应用层16基础设施层9

系统组件

MCP 与技能4记忆16
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 240篇还没打标签，不在筛选结果里。
攻击面/入口：记忆写入攻击面/入口：推理服务与硬件清除全部

另有240篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2610.09981

    研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题

    提出利用路由元数据推断敏感话题的侧信道攻击

    arXiv
    2610.09981
    发表
    层
    基础设施层
    场景
    LLM 应用
    被测模型
    RouteLLM (BERT router)、notdiamond-0001、Vela (vLLM Semantic Router)

    摘要论文揭示并测量了 LLM 路由决策在无文本日志中的敏感话题泄露，验证了按类别公平性防御的有效性与边界。

    深度解读完整解读
  2. 攻击arXiv 2610.07645

    SkillPoison：用成功经验投毒自进化 Agent 的技能形成

    提出 SkillPoison，用局部有效的成功经验诱导自进化 Agent 形成过度泛化技能

    arXiv
    2610.07645
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    deepseek-v4-flash、Qwen V3.8 Flash、GPT-5.5
    摘要SkillPoison 通过局部有效且验证成功的经验诱导技能过度泛化，在多个评测基准上实现了持久的下游攻击影响。

    SkillPoison 提出了一种针对自进化智能体经验到技能形成过程的攻击范式，通过组织已验证的成功经验诱导技能过度泛化。

    深度解读完整解读
  3. 攻击arXiv 2610.06848

    TranScope：利用 CPU 性能计数器对 Transformer 做成员推断攻击

    提出 TRANSCOPE，用 CPU 硬件计数器推断训练集成员

    arXiv
    2610.06848
    发表
    层
    基础设施层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    BERT (4.4M-340M)、ViT (22M-307M)、Pythia (70M-2.8B) 等5个

    摘要TRANSCOPE 揭示了分词器在嵌入表引发的硬件访问局部性差异，证实微架构计数器可突破恒定时间与置信度遮蔽防御。

    深度解读完整解读
  4. 攻击arXiv 2610.05894

    研究者提出闭环偏见注入攻击

    提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见

    arXiv
    2610.05894
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    灰盒
    被测模型
    LLaDA-8B-Instruct、Dream-v0-Instruct-7B、LLaDA-MoE-7B-A1B-Instruct

    摘要通过去噪中间概率反馈动态调节残差流转向，证明扩散语言模型在推理服务栈中存在闭环偏见注入脆弱性。

    深度解读完整解读
  6. 攻击arXiv 2610.04589

    StegoMemory 红队测试：智能体持久记忆可被用作跨会话隐蔽信道

    提出 StegoMemory，评测智能体持久记忆作为跨会话隐写信道

    arXiv
    2610.04589
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    Llama 3.1 405B、Claude 3.5 Sonnet、GPT-4o 等13个

    摘要研究揭示智能体持久记忆可作为隐蔽信道跨会话传输机密，写入持久化是主要防御瓶颈，呼吁建立记忆完整性防御。

    深度解读完整解读
  8. 攻击arXiv 2609.35576

    研究提出跨 LLM 助手的记忆跳跃攻击

    提出跨独立 Agent 的记忆跳跃攻击，经共享工件在助手间自传播

    arXiv
    2609.35576
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    GPT-5.6 Luna、Kimi-K2.6、GPT-OSS-120B 等6个
    摘要论文证实持久工件与内存可形成跨智能体传播链，揭示了将共享工件纳入安全防线的重要意义。

    该论文系统研究并量化了通过共享持久工件在具有独立私有内存的 LLM 智能体之间发生自传播的“工件介导传播”攻击风险。

    深度解读完整解读
  11. 攻击arXiv 2608.17485

    KeyPooling：测量 LLM API 中继路径在何处瓦解提示缓存隔离

    提出 KeyPooling，测量 API 中继何处瓦解提示缓存隔离

    arXiv
    2608.17485
    发表
    层
    基础设施层
    场景
    模型与 API
    被测模型
    grok-4-fast-non-reasoning、grok-4-1-fast-non-reasoning、grok-3 等11个
    摘要共享上游凭证使中继客户进入同一缓存域，保留身份或独立 principal 可分开。

    KeyPooling测量 LLM API 中继在何处丢掉客户身份，使 prompt cache 不再按下游客户隔离。

    深度解读完整解读
  12. 攻击arXiv 2608.05563

    研究者提出 PoisonedEvolution 轨迹投毒攻击

    提出 PoisonedEvolution 轨迹投毒，诱导自演化技能系统固化恶意行为

    arXiv
    2608.05563
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    GPT-5.4、MiniMax-M2.5、DeepSeek-V3.2 等6个
    摘要论文揭示自演化技能系统的证据晋升漏洞，提出并验证轨迹投毒攻击。

    这篇论文揭示了自演化技能系统在将交互经验转化为持久指令时的安全风险。

    深度解读完整解读
  15. 攻击arXiv 2606.11817

    研究：语法约束解码可越狱 LLM 生成恶意代码，并提出 CodeShield 防御

    提出 CodeSpear 越狱，借语法约束解码生成恶意代码，并给出 CodeShield 防御

    arXiv
    2606.11817
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    Qwen2.5-Coder-7B、Qwen2.5-Coder-32B、Qwen2.5-7B 等10个

    摘要论文发现语法约束解码会破坏自然语言安全对齐，提出 CodeSpear 越狱攻击与基于蜜罐代码对齐的 CodeShield 防御。

    深度解读完整解读
  16. 攻击arXiv 2606.09084

    研究者提出 Context-Fractured Decomposition 攻击

    提出 CFD 跨会话分解攻击，利用工件来源缺口绕过工具型 Agent 的本地检查

    arXiv
    2606.09084
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    GPT-4.1、GPT-5-nano、Claude-3.5-Sonnet 等6个
    摘要CFD 用无指令 artifact 把越狱拆到跨会话。

    CFD针对工具型 LLM 智能体：利用 artifact 来源不被跟踪这一部署失败模式，把有害目标拆开后延迟组合。

    深度解读完整解读
  17. 攻击arXiv 2605.30040

    研究揭示 LLM 按 token 计费可被服务商系统性虚报

    构造可通过计费审计的 token 虚报，使服务商系统性超收

    arXiv
    2605.30040
    发表
    层
    基础设施层
    场景
    模型与 API
    被测模型
    PALACE domain-adapted auditor
    摘要不诚实提供方可在三种 token 审计上虚报并通过检查，作者认为需改用提供方不控制的证据。

    不透明 LLM 的按 token 计费里，现有审计核验的是提供方可控的证据，不诚实提供方可以虚报并通过检查。。

    深度解读完整解读
  18. 攻击arXiv 2605.11047

    DeepTrap 框架在 OpenClaw 上自动挖掘智能体执行上下文漏洞

    提出 DEEPTRAP 以搜索可诱导不安全轨迹的执行上下文载荷

    arXiv
    2605.11047
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    GPT-5.4、Claude Sonnet 4.6、GLM-5 等9个
    摘要DEEPTRAP 用轨迹级搜索发现 OpenClaw 上下文风险，作者称不能只看最终回复。

    DEEPTRAP 是针对 OpenClaw 的自动化红队框架，搜索执行前被改写的文件、记忆、技能、工具元数据或配置，而不是改用户指令。

    深度解读完整解读
  19. 攻击arXiv 2605.08460

    论文建模多智能体网络中的子智能体继承攻击面

    建模并利用多智能体网络中子智能体生成时的记忆继承漏洞

    arXiv
    2605.08460
    发表
    层
    应用层
    场景
    多智能体
    被测模型
    MiniMax M2.5、Llama-4-Maverick-17B-128E-Instruct-FP8、Qwen3.5-Plus 等5个
    摘要形式化子智能体继承，在 OpenClaw 上演示四类编排层漏洞并提出防御。

    作者对多智能体网络里的子智能体继承做形式化分析，并用开源框架上的 PoC 演示编排层如何让单点妥协继续扩散。

    深度解读完整解读
  20. 攻击arXiv 2605.08313

    研究者提出 SeedHijack 攻击，劫持 LLM 采样随机数种子

    提出 SeedHijack，劫持采样 PRNG 以强制选定 token

    arXiv
    2605.08313
    发表
    层
    基础设施层
    场景
    模型与 API
    被测模型
    GPT-2 (124M)、Qwen2-1.5B-Instruct、DeepSeek-R1-1.5B 等5个
    摘要采样层 PRNG 被替换以强制选 token。

    SeedHijack 把 LLM 采样用的 PRNG 输出换成攻击者选定的数，从而指定下一个 token。权重、输入和 logits 都不改。防御是用硬件 QRNG 替换该随机源。

    深度解读完整解读
加载更多