攻击arXiv 2609.36576
AdaLCPI：让 Agent 从长上下文碎片中重建间接提示注入
提出 AdaLCPI，把恶意指令拆成碎片嵌入工具返回并诱导 Agent 越权执行
- arXiv
- 2609.36576
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-4.1、GPT-5.1、GPT-5.6-Luna 等7个
- 攻击arXiv 2607.14493
LogInject 框架披露 LLM 日志分析中的被动提示注入
提出 LogInject 框架，评测日志分析中的被动提示注入及缓解
- arXiv
- 2607.14493
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- GPT-4o、Claude 3.5 Sonnet、Llama-3-70B-Instruct
摘要论文评估了 LLM 日志分析中的上下文污染风险，提出分片拼接等攻击与三层防御，指出必须结合架构隔离与人工介入。
- 攻击arXiv 2606.12716
PaperGuard：针对多模态 AI 同行评审的攻击与防御基准
提出 PaperGuard，用图文注入与梯度扰动抬高自动审稿分数并检测恶意指令
- arXiv
- 2606.12716
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Claude-sonnet-4.5、GPT-4o、GPT-4.1 等11个
摘要PaperGuard 测到提示注入与白盒视觉抬分，并比较分块检索防御。
PaperGuard同时评测并检测多模态 AI 审稿中的评分操纵。
- 攻击arXiv 2606.11265
论文提出 CRCP 投毒框架，揭示 RAG 分块与重排序下的投毒失效问题
提出 CRCP 框架，优化分块与重排下的 RAG 语料投毒
- arXiv
- 2606.11265
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- GPT-4o、DeepSeek-R1、Qwen3-Max 等11个
摘要CRCP 把投毒做成多阶段一致性问题。
CRCP 研究的是带分块和重排的 RAG 语料投毒，而不是只提高文档级检索分数。
- 攻击arXiv 2605.28074
SilentRetrieval：以语义保持的对抗数据投毒劫持检索增强生成
提出 SilentRetrieval，以语义保持对抗文档投毒劫持 RAG 检索与生成
- arXiv
- 2605.28074
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Llama-2-7B-Chat、Mistral-7B-Instruct-v0.2、Qwen-7B-Chat 等10个
摘要两阶段投毒在单文档协议下兼顾检索劫持、生成操纵与近良性困惑度。
SilentRetrieval 是针对 RAG 的两阶段语料投毒，在每查询一篇、合成目标答案的统一协议下，同时处理检索劫持、生成操纵和流畅度。
- 攻击arXiv 2605.10253
针对医疗多模态检索增强生成的知识投毒攻击
提出 M3 Att，在不知查询时投毒医学多模态 RAG 并误导临床决策
- arXiv
- 2605.10253
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- GPT-4o、GPT-5 Chat、Gemini-2.5-Flash 等8个
- 攻击arXiv 2603.17239
LAAF：面向 Agentic 大语言模型系统 LPCI 漏洞的系统化红队方法与自动化攻击框架
提出 LAAF，分阶段自动攻击智能体系统的 LPCI 漏洞
- arXiv
- 2603.17239
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- gemini-2.0-flash-001、claude-3-haiku-20240307、meta-llama/llama-3.1-70b-instruct 等5个
摘要LAAF 以分类加阶段播种做 LPCI 红队。
作者称 LAAF 是专为智能体 LLM 中 LPCI 构建的自动化红队框架。要处理的是：编码、延迟、条件触发的载荷可留在记忆或 RAG 中跨会话重入，而 Garak、PyRIT 不按六阶段用上一轮突破结果播种下一阶段。
- 攻击arXiv 2602.18514
招聘中的特洛伊木马：标准模型与推理模型间接提示注入的红队测试案例研究
用简历中的不可见指令做间接提示注入，操纵招聘推荐
- arXiv
- 2602.18514
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Qwen 3 30B A3B Instruct 2507、Qwen 3 30B A3B Thinking 2507
摘要作者称推理在简单注入下会帮攻击圆谎，在不合逻辑的复杂注入下又会把欺骗漏出来。
- 攻击arXiv 2602.00364
「有人把它藏起来了」：针对 LLM 检索的查询无关黑盒攻击
提出查询无关黑盒攻击 DQ-A，用可迁移文末后缀降低文档检索排名
- arXiv
- 2602.00364
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Qwen-1.5-7B-Instruct、SFR-Embedding-Mistral、E5-Mistral-7B-Instruct 等10个
摘要DQ-A 以无查询黑盒后缀压低 LLM 检索排名，并在 BRIGHT 上比较三种基线。
DQ-A 是一种 query-agnostic、complete black-box 的文档隐藏攻击，对象是用最后隐层相似度匹配的 LLM 检索。
- 攻击arXiv 2601.21360
合规悖论：自动化学术代码评估中的语义-指令解耦
提出 AST-ASIP ，把对抗指令植入编译器忽略区域以劫持代码评分
- arXiv
- 2601.21360
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- DeepSeek-V3.2、Qwen3-235B、GPT-OSS-120B 等9个
摘要作者称 RLHF 的服从性使评分脱离代码。
这篇工作把自动代码评分中的失败称为 Compliance Paradox：评分模型可以离开提交逻辑，转而执行嵌在可编译代码里的隐藏指令。
- 评测与基准arXiv 2601.10923
Hidden-in-Plain-Text：面向社交网络 RAG 间接提示注入的基准
用 OpenRAG-Soc 评测社交网页 RAG 的间接提示注入与检索投毒
- arXiv
- 2601.10923
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Llama-3-8B-Instruct、Mistral-7B-Instruct、Qwen2.5-14B 等8个
- 攻击arXiv 2512.10449
研究：不可见文本注入可让 LLM 审稿系统把拒稿翻成接收
提出 DSAAP，以不可见文本对科学审稿 PDF 做间接提示注入
- arXiv
- 2512.10449
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- gpt-oss-20B、tulu3-8B、Llama 3.1-8B 等13个
- 攻击arXiv 2509.22040
研究：通过编码规则文件对Cursor与GitHub Copilot实施提示注入
通过规则文件提示注入劫持编码编辑器并执行未授权终端命令
- arXiv
- 2509.22040
- 发表
- 层
- 应用层
- 被测模型
- Cursor、GitHub Copilot、Claude 4 Sonnet 等4个
摘要论文提出了针对代码编辑器的提示注入评估框架 AIShellJack，实验显示攻击能诱导 AI 执行未授权终端命令。
- 攻击arXiv 2507.10457
论文提出 LPCI：针对 Agent 逻辑层与持久记忆的提示控制注入攻击
提出 LPCI，把延迟条件载荷写入记忆与检索库以跨会话触发
- arXiv
- 2507.10457
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- ChatGPT、Claude、LLaMA3 等8个
摘要作者定义 LPCI。
作者把LPCI定义为针对智能体逻辑执行、记忆留存和工具集成的跨阶段漏洞类，而不是单次输入上的提示改写。
已经到底了