重测并扩展对 AI Agent 的提示注入，并用 Agent Card 欺骗操纵 A2A 选择
作者在自建的 LangChain、AutoGen 和 A2A 系统上重测提示注入，并改 Agent Card 看选择是否偏移。摘要称试验主要凸显单智能体弱点，同时把攻击扩到多智能体。
提出利用路由元数据推断敏感话题的侧信道攻击
摘要论文揭示并测量了 LLM 路由决策在无文本日志中的敏感话题泄露，验证了按类别公平性防御的有效性与边界。
提出 CORSA，按任务簇优化技能注入的检索与执行
提出 TRANSCOPE，用 CPU 硬件计数器推断训练集成员
摘要TRANSCOPE 揭示了分词器在嵌入表引发的硬件访问局部性差异，证实微架构计数器可突破恒定时间与置信度遮蔽防御。
提出技能级联攻击，把有害目标拆散到多个技能里绕过单技能扫描
摘要论文探讨了多技能智能体系统面临的技能级联攻击风险，提出自动化红队框架与基准集，指出跨技能交互存在安全防护盲区。
提出两阶段框架 A2M，优化 MCP 工具元数据与返回载荷以劫持 Agent
提出 HOOKPRY，用插件钩子版本更新供应链劫持 Agent 框架
提出 ISM，用语义匹配隐式操纵 Agent 技能选择
提出 ContextLeak，用强化学习优化恶意工具描述，诱导 Agent 外泄运行时上下文
提出 EVOMAL，诱导自演化编码 Agent 在创建技能时自我投毒并蠕虫传播
摘要论文指出了自演化智能体模仿检索代码的自我毒化漏洞，提出 EVOMAL 攻击与防御，阐明了供应链新风险。
提出 KeyPooling，测量 API 中继何处瓦解提示缓存隔离
KeyPooling测量 LLM API 中继在何处丢掉客户身份，使 prompt cache 不再按下游客户隔离。
提出 CDH 攻击，让技能型 Agent 绕路放大资源消耗
CDH 是针对渐进披露技能智能体的发布者侧、纯文本攻击：一个静态协调器把本可正确完成的任务，拐进有界但更耗资源的技能绕路，再交还原任务。
提出技能名称抢注攻击，利用 Agent 虚构技能名实施供应链劫持
本研究系统揭示了大模型智能体技能推荐场景下的虚构技能名称安全风险，将其形式化为一种新型供应链抢注攻击。
提出 KidnapRAG，用投毒文档黑盒劫持 Agentic RAG 的推理链
KidnapRAG 是针对 Agentic RAG 的 black-box 语料投毒：攻击者不能访问模型、提示词、检索器或私有轨迹，只能发布可能被检索的文档，并利用公开界面上的推理与搜索查询。
提出 PIDP-Attack，用查询后缀与语料投毒操纵 RAG 回答
提出 OPTILEAK，经 KV 缓存侧信道逐 token 重建他人提示
摘要OPTILEAK 用 SFT 与 hard-token DPO 降低每 token 请求数，作者称缓存提示泄露的风险高于先前报告。