跳到正文
10月13日 · 周二

全部论文

找到 244篇
筛选4

攻击类型

越狱17提示注入111投毒与后门79模型篡改29提取与窃取21检测规避25拒绝服务5

攻击技术

梯度与表征优化15自动化搜索29编码与混淆12角色扮演与说服4对话结构操控3跨模态载荷3侧信道4针对防御17潜伏触发31诱导选用10

模型自身风险

Agent 危险操作3

防御类型

模型加固17检测与过滤23指令与数据隔离24权限与审批19监控与审计14水印与溯源9

影响

有害内容32越权操作79数据与隐私泄露41输出被操纵54可用性与可靠性9监督失效12

系统形态

模型与 API93LLM 应用24AI Agent129coding agent31web agent5网页与电脑操作4多智能体11

攻击者权限

黑盒18灰盒4白盒30

攻击面/入口

用户输入429网页与界面74文档与消息91工具返回114工具与技能描述64代码仓库与依赖31检索语料39记忆写入44Agent 间消息28图像与音视频128训练数据74权重与梯度76分发渠道65推理服务与硬件23

层

提示层3模型层44应用层145训练与数据层37基础设施层15

系统组件

MCP 与技能58记忆19RAG5护栏与评审22监控器17推理链6权限与沙箱24微调与开源权重38视觉7图像生成6嵌入3多模态14
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 201篇还没打标签，不在筛选结果里。
攻击面/入口：文档与消息攻击面/入口：工具与技能描述攻击面/入口：权重与梯度攻击面/入口：推理服务与硬件清除全部

另有201篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2610.13928

    AI 模型可被证明地隐藏任意能力

    提出数字锁编译，把可执行网络加密进宿主权重以隐藏任意能力

    arXiv
    2610.13928
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Gemma 3 270M
    摘要作者用数字锁隐藏可执行能力，并称化学与奇偶任务上的引出未恢复该能力。

    作者构造一类把可执行网络加密进权重的后门，用来讨论白盒引出审计在供应链攻击下的界限。。

    深度解读完整解读
  2. 防御arXiv 2610.11848

    SemField：免训练的语义水印

    提出语义水印 SemField，在释义与结构改动后仍识别生成文本归属

    arXiv
    2610.11848
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Llama-3.2-1B、Qwen3-1.7B、OPT-1.3B
    摘要训练无关的文档级语义水印。

    SemField 是提供方在生成时嵌入、事后用密钥检测的零比特语义水印，用来在释义和句子级结构改动后识别本方模型文本。

    深度解读完整解读
  3. 防御arXiv 2610.11634

    LTBD：用可学习信任边界分隔符防御提示注入

    提出 LTBD，用可学习分隔符隔离可信指令与不可信数据

    arXiv
    2610.11634
    发表
    层
    应用层
    场景
    LLM 应用
    被测模型
    Llama3-8B-Instruct、Llama3.1-8B-Instruct、Falcon3-7B-Instruct 等4个
    摘要LTBD 只训练四个分隔符嵌入。

    LTBD 是一种不改基座权重的提示注入防御：只学习用来标出可信指令与不可信数据边界的四个 token 嵌入。

    深度解读完整解读
  4. 攻击arXiv 2610.12524

    对 AI Agent 系统攻击的探索

    重测并扩展对 AI Agent 的提示注入，并用 Agent Card 欺骗操纵 A2A 选择

    arXiv
    2610.12524
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    Ollama Mistral 0.9.5、llama3-8b-8192、gemini-2.0-flash-lite 等5个
    摘要单智能体过滤与分类可被格式或措辞绕过，A2A 选卡还会偏向名称和描述。

    作者在自建的 LangChain、AutoGen 和 A2A 系统上重测提示注入，并改 Agent Card 看选择是否偏移。摘要称试验主要凸显单智能体弱点，同时把攻击扩到多智能体。

    深度解读完整解读
  5. 攻击arXiv 2610.09981

    研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题

    提出利用路由元数据推断敏感话题的侧信道攻击

    arXiv
    2610.09981
    发表
    层
    基础设施层
    场景
    LLM 应用
    被测模型
    RouteLLM (BERT router)、notdiamond-0001、Vela (vLLM Semantic Router)

    摘要论文揭示并测量了 LLM 路由决策在无文本日志中的敏感话题泄露，验证了按类别公平性防御的有效性与边界。

    深度解读完整解读
  6. 防御arXiv 2610.09941

    OrthoPurify 用一步正交投影净化被后门污染的视觉语言模型

    提出 OrthoPurify，用正交投影清除视觉语言模型适配器中的劫持方向

    arXiv
    2610.09941
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    LLaVA-1.5-7B、Qwen3-VL-8B、LLaVA-1.5-13B 等5个
    摘要一次投影去掉劫持方向。

    OrthoPurify 是部署前的 LVLM 后门净化方法，用一次正交投影去掉被劫持的权重更新方向。

    深度解读完整解读
  8. 攻击arXiv 2610.09819

    FAB 攻击：给 HuBERT/WavLM 植入后门，背景警笛声即可让下游语音任务失灵

    提出 FAB 攻击，向声学基础模型植入可由环境声触发的后门

    arXiv
    2610.09819
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    HuBERT-base、WavLM-base

    摘要论文提出了针对声学基模的 FAB 后门攻击，在弱威胁模型下实现了任务无关、物理可触发的后门植入。

    深度解读完整解读
  9. 防御arXiv 2610.09793

    用时序逻辑监控工具 Agent

    提出 MFOTL 离线时序验证以监控工具 Agent 的危险动作链

    arXiv
    2610.09793
    发表
    层
    应用层
    场景
    AI Agent
    攻击者
    黑盒
    摘要形式化验证可有效识别多步攻击，但其有效性高度依赖轨迹的可信历史记录。

    这篇论文对工具调用大语言模型智能体的安全监控进行了形式化时序验证研究。

    深度解读完整解读
  10. 攻击arXiv 2610.10612

    PyCache Trap 利用 Python 缓存替换绕过七款 Agent Skill 扫描器

    提出 PyCache Trap，用字节码缓存替换绕过 Agent 技能扫描器

    arXiv
    2610.10612
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    CISCO、HSS、AUDITOR 等8个
    摘要论文剖析智能体技能审查与执行脱节盲区，提出 PyCache Trap 攻击并构建基于可信复现的 EAV 防御。

    这篇论文研究了智能体技能（Agent Skills）安全扫描中的“审查–执行脱节”问题，并提出了对应的攻击验证与防御方案。

    深度解读完整解读
  11. 分析与理论arXiv 2610.09004

    研究：去除有害信息不足以证明开源权重模型的抗篡改能力

    论证发布时互信息不能认证开源权重抗微调恢复

    arXiv
    2610.09004
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    EleutherAI/deep-ignorance-e2e-strong-filter、EleutherAI/deep-ignorance-unfiltered、Google BERT-Tiny 等6个
    摘要作者称零信息仍可一步恢复，表观抗微调可来自参数化。

    作者研究开源权重模型的篡改抵抗：发布时的互信息是否足以保证微调恢复很慢。

    深度解读完整解读
  13. 攻击arXiv 2610.08951

    ASPIRE：面向 LLM Agent 的开放式提示注入红队引擎

    提出 ASPIRE 行为图搜索，开放式发现 Agent 提示注入漏洞

    arXiv
    2610.08951
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    Gemini-3.7-Flash、DeepSeek-V4-Flash、Gemini-2.5-flash
    摘要ASPIRE 把提示注入红队从载荷优化改成行为图引导的开放式漏洞发现。

    ASPIRE 是给搭建方用的智能体提示注入红队引擎，目标是开放式画出可利用的行为路径，而不是在固定任务上打磨一条载荷。

    深度解读完整解读
  16. 攻击arXiv 2610.07654

    研究揭示策略蒸馏的安全后门风险

    测量带后门教师经 OPD 向干净学生迁移潜伏后门

    arXiv
    2610.07654
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    Qwen2.5-1.5B-Instruct、Qwen2.5-3B-Instruct、Qwen2.5-7B-Instruct
    摘要作者称 OPD 可在压低无触发词有害率时迁入后门。

    带后门的外部教师经 OPD，可在压低无触发词有害率的同时，把触发条件下的有害行为传给初始干净学生。。

    深度解读完整解读
  18. 可解释性arXiv 2610.07518

    TRACE：仅凭 checkpoint 更新审计大语言模型有害目标

    提出 TRACE，仅凭检查点更新审计有害合规微调目标

    arXiv
    2610.07518
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    Llama-3.1-8B-Instruct、Mistral-7B-Instruct-v0.3、Qwen3-8B 等6个
    摘要作者称有害合规 SFT 在检查点更新中留下可排序坐标，并据此做只读权重审计。

    作者在检查点更新里寻找有害合规 SFT 的目标组成，并把读数做成不查询模型、不看未知训练数据的审计分 TRACE。

    深度解读完整解读
  19. 攻击arXiv 2610.07510

    PersistBD：攻击者可在发布前强化后门，使其在开发者 SFT 与 RL 后仍保持高攻击成功率

    提出 PERSISTBD，发布前强化供应链后门使其经良性 SFT 与 RL 后仍外发凭据

    arXiv
    2610.07510
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    Qwen2.5-Coder-3B-Instruct、Qwen2.5-Coder-7B-Instruct、Qwen3-Coder-30B-A3B-Instruct
    摘要总结了论文关于后门在 SFT/RL 中存活的发现、两因子机制、PERSISTBD 方法与核心数字。

    本文研究第三方 LLM 智能体在开发者进行良性监督微调（SFT）和强化学习（RL）后训练时的后门持久性风险。

    深度解读完整解读
加载更多