Chaining Skills to Hijack LLM Agents
论文《Chaining Skills to Hijack LLM Agents》研究 LLM Agent 在多技能协作场景下的新型攻击面。背景是：Agent 为完成用户请求会按顺序调用多个技能（skill），前一个技能产生的信息会作为输入影
#agent-security
共收录 1542 条相关情报。
← 返回所有主题False Floors: LLM Safety Routing Evaluations Break Under Distribution Shift
本文研究的是 LLM 安全路由（safety routing）评测中的方法论缺陷。安全路由器的做法是把每个请求分派给多个候选模型中的一个，其效果通常以「与最佳单模型（best single model）对比」来评判。问题在于，主流路由基准是
OverAct: Measuring and Mitigating Proactive Over-Authorization in LLM Tool-Calling Agents
该论文研究大语言模型（LLM）智能体在调用外部工具时的隐私越权行为。作者指出，具备工具调用能力的 LLM 智能体能够访问外部服务与用户私有数据，但在实际运行中，它们往往会检索超出用户请求明确所需范围的信息。作者将这一现象命名为「主动性越权」
Evidence Coverage for Intent-Bound Execution: Scope, Obligations, and Cutoff Reasoning
该论文关注一个审计与验证中的根本性难题：验证者可能已经对每一条可获得的记录完成认证，却仍然没有依据宣称某次执行的账目是「完整」的。要做出完整性断言，必须先有理由说明：针对被评估的这次执行，究竟哪些记录是「本应产生」的。作者提出了一个分析模型
PACE: Provenance-Aware Capability Enforcement for Tool-Using LLM Agents
该论文研究使用工具的大语言模型（LLM）智能体的安全问题。此类智能体把生成文本转化为真实副作用，因此被污染的工具元数据、检索页面、记忆或可复用技能，都可能操纵下一次工具调用。作者指出，仅在准入前审查工件无法解决该问题：一个安全变体与一个泄密
ReCast: Contract-Preserving Protection for Fixed-Interface Multimodal Reasoning
远程多模态模型在图表与语音等固定媒体接口上的数值推理能力很强，但直接上传私有输入会导致敏感内容外泄。现有的纯文本脱敏无法满足固定媒体接口的格式要求，而身份匿名化又保留了任务内容本身。论文提出 ReCast——一种面向智能体的插件式保护框架，
Safety Must Survive Self-Improvement: Why Failures Persist and How Agents Recover
该论文研究递归自我改进（RSI）场景下智能体（agent）的安全性问题：当 LLM 编辑器跨代际持续优化可执行的智能体组件时，如何既阻止不安全行为在后续版本中延续，又能在失败发生后实现恢复。作者构建了一个受控测试台，使用有状态的授权（aut
AuraForge: Scaling Security Supervision for Training Coding Agents
该论文关注的是一个正在快速浮现的安全盲区：随着编码智能体（coding agents）能力增强到可以从单条提示词直接生成复杂软件应用，人类监督方式已从逐行代码审查转向对最终运行结果的黑盒式验收。已有研究指出，这种转变带来关键风险——功能正确
Sapien: A Stateful Policy Engine for Autonomous AI Agents
该论文针对自主 AI 智能体（AI Agent）在工具调用场景下的安全问题，提出了一种名为 Sapien 的「有状态策略引擎」。研究背景是：当前主流的上下文安全防御思路，是先让模型根据当前任务即时合成一份任务专属策略，再用这份策略去约束智能
Identity-Bound Governance Under Execution Uncertainty: An Accountability Proof Block for LLM Agent Persistent Halts, with Cryptographic Implementation and Cross-Model Calibration
该论文研究一个此前较少被形式化的问题：一个被正确治理的 LLM Agent 可能进入一种「两难」状态——既不允许继续执行，也不允许自动停机。此时系统已检测到自身可观测性层或漂移检测层出现持续性失效，但它无法自行判定谁拥有恢复执行、拒绝继续或
No One Architecture Fits All: A Cross-Environment Evaluation of Hierarchical Red Team Agents
该论文针对自主红队智能体（autonomous red team agents）研究中的一个方法论盲区展开：现有工作常把强化学习（RL）规划器与大型语言模型（LLM）规划器以混合分层的方式组合，用于对 AI 赋能的网络防御进行多阶段压力测试
ZoneClaw: Mitigating Persistent Memory Attacks by Establishing Memory-Zoning in OpenClaw-Style Computer-Use Agents
该论文研究的是 OpenClaw 类「计算机使用型智能体（CUA）」中长期工作区记忆（persistent workspace memory）带来的新型攻击面。这类智能体把用户指令、系统摘要和来自外部的内容统一以自动重载文件的形式持久化保存
Aletheia: Permission-Minimality Testing for Coding-Agent Rules
该论文关注编码智能体（coding agent）所依赖的「仓库指令文件」（如 AGENTS.md、copilot-instructions 一类指导性规则）带来的安全风险：这些文件本意是引导智能体正确完成开发任务，但也构成一条 prompt
Representation Transitions Reveal Emerging Safety Risks in Multi-Turn LLM Agents
该论文研究多轮（multi-turn）交互场景下 LLM 智能体（agentic system）的安全风险。作者指出的核心问题是：现有防御往往孤立地评估单次动作或单个状态，而攻击者可以将多个单独看都合规的操作逐步组合，最终产生有害结果，这类
Pretext: Defeating Malicious Skill Detection Frameworks for AI Agents
该论文研究 AI Agent 技能（Skill）供应链的安全检测问题。技能通过把指令与信息注入到 Agent 上下文中来扩展其能力，已被 OpenClaw、Claude Code 等 Agent 广泛采用；此前研究已证实第三方技能市场存在恶
Speculative Safety Honeypot: Toward Proactive Defense Against Multi-turn Agent Attacks
这篇论文关注的是 LLM Agent 在多轮交互场景下所面临的安全威胁。随着 Agent 被部署到越来越复杂的工具调用与环境交互中，攻击者可以把恶意意图拆散到多个对话轮次里，逐步诱导 Agent 走向危险行为，而任何单独一轮的输入看上去都无
From A2A Attacks to Envelope-Layer Defense: Red-Teaming Evaluation of LLM Agents and a Three-Layer Isomorphic Attack-Defense Model
随着 ACP、A2A 等 Agent 交互协议的普及，基于大模型的智能体正从单体工具调用走向多智能体协作，由此引入了新的安全威胁：在 A2A 场景下，来自远端 peer 的任务会被本地 Agent 默认视为合法请求，这为间接提示注入提供了天
ActionGuard: Tool Call Authorization under Poisoned Skills
本文关注 LLM 智能体在引入第三方 skill 后的安全风险。当前智能体普遍通过第三方 skill 扩展能力,这些 skill 会提供任务指令、脚本和工具使用流程。问题在于:即使 skill 本身看起来无害,只要其中被插入了恶意指令,一个
Hiding in Plain Sight: Decoupling Pretext from Actuation for Skill Poisoning in LLM Agents
该论文研究 LLM Agent 的 Skill(可复用技能)供应链投毒问题。随着 Agent 越来越多地依赖可复用的 Skill 来完成多步骤复杂任务,Skill 内容成为一种关键攻击面:在用户请求本身完全无害的情况下,被投毒的 Skill
Deny Without Disabling: Authorization-Paired Evaluation and Control for Multi-Agent Systems
多智能体系统的能力来自共享证据、委派任务以及跨智能体组合信息。但同一过程也带来安全问题：某些贡献单独看是可接受的，组合在一起却可能共同促成被禁止的用途。若采取"一律阻断所有敏感动作"的策略，虽然能避免信息泄露，却会摧毁协作本身的意义，因此需