提出 A2A-TIBA，经 A2A 对等任务间接注入并植入常驻回调
A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
提出能力洗钱攻击，拆分任务向对齐模型套取能力
摘要作者提出了能力洗钱攻击，发现未对齐编排器分解咨询对齐模型可恢复能力差距，指出需建立跨会话防御。
提出 MIPC 与 CFA，观察模型自拟测验后接受开发者身份
这项工作把“模型自己出题、自己批改、再宣布身份已核验”定义成对话层认证失败，并与后端提权分开。
提出多轮越狱框架 BLUEPRINT，用世界观模拟与心理因素诱导有害输出
BLUEPRINT 是一个将因子化社会影响力策略空间与跨轮世界观模拟解耦的多轮大语言模型安全评测框架。
提出生物红队模型 Intern-BioBreaker，多轮越狱诱导模型输出可操作生物危害
摘要论文通过构建专用红队模型评估前沿大模型的生物安全漏洞与物理转化风险。
提出工作流级越狱，让编程 Agent 在开发任务中写入有害示例
这是一项生产 IDE 编码智能体的工作流越狱研究，受测对象是 Copilot 的四个模型后端，而非评测流水线中的名义目标。
提出 SMT 框架，用模拟审核轨迹越狱函数调用 LLM
提出 AdvGRPO，用 GRPO 闭环共训多轮越狱攻击者与防御者
提出 TRACE 框架，用分解与可演化多轮策略诱导智能体执行有害工作流
提出 Persona Attack，分步写入对话记忆指令以越狱
提出多轮意图欺骗越狱 iDecep，用良性意图伪装引出有害内容
iDecep 是一种黑盒多轮越狱：用表面良性的意图维持与恶意目标贴近的对话，并单独计入 safe completion 替代内容中的有害信息。。
提出 STAR 多轮角色扮演框架，利用对话状态演化绕过安全对齐
提出 FERRET 框架，用扩展生成多轮多模态越狱对话
提出 MAPA 多轮自适应提示攻击，交替文本与视觉动作越狱视觉语言模型
提出 Aegis 红队框架，多轮攻击高风险语音 Agent
Aegis 用多轮红队评测已接入业务系统的 ALLM 语音智能体。作者称这是该设定下的 the first systematic red-teaming framework。
提出 MM-Plan 多模态越狱框架，自动规划多轮图像编辑以越狱视觉独占目标
MM-Plan 是面向 Visual Exclusivity 的 black-box 多模态红队方法，并配有人工基准 VE-Safety。
提出 JustAsk，用在线技能选择提取模型系统提示词
提出 ICON 多轮越狱，用意图-上下文先验生成攻击序列
提出 iMIST，用工具伪装和 PPO 迭代越狱大语言模型
iMIST是黑盒越狱方法：把恶意查询伪装成合法工具调用，再用在线强化学习把响应的有害性分数往上推。
提出知识驱动多轮越狱 Mastermind，用策略知识闭环攻击对齐模型