What Guides the Agent? Adjudicating Unauthorized Behavior via Localizing Behavior-Guiding Instructions
本文研究了大语言模型（LLM）智能体在集成外部资源后所面临的安全威胁。由于智能体依赖统一的自然语言上下文通道进行推理，不可信的外部数据（如网页内容、工具返回结果）可能被动态解析为行为引导指令，从而劫持智能体的决策过程，实现间接提示注入或工具
#agent-security
共收录 1542 条相关情报。
← 返回所有主题WebMCP-Phalanx: Enforcing and Characterizing Trust Boundaries for Browser-Integrated LLM Agents
本文针对新兴的 W3C WebMCP 提案在浏览器环境中集成大语言模型（LLM）代理时引入的安全信任边界问题展开研究。WebMCP 允许网页向 LLM 代理暴露可调用的工具，但在多参与者 Web 环境下，现有以同源策略（SOP）为核心的浏览
AEM: Facilitating Cross-Version Exploitability Assessment of Linux Kernel Vulnerabilities.
本文研究 Linux 内核漏洞的跨版本可利用性评估问题：给定一个在特定内核版本上已验证可利用的漏洞利用程序，如何判断同一漏洞在其他内核版本上是否可利用。现有解决方案自动漏洞利用生成（AEG）因模板驱动且忽略已有利用程序提供的能力而并不适用。
May the Force Not Be With You: Brute-Force Resistant Biometric Authentication and Key Reconstruction.
该论文针对生物识别认证中日益严重的暴力破解攻击问题，提出了一种新颖的、可证明安全的抗暴力破解生物识别（Brute-Force Resistant Biometrics, BFRB）协议，用于生物识别身份认证和密钥重建。论文指出，生物识别特征
NeuronGuard: Robust LLM Safety Alignment via Ablation-Aware Safety Signal Redistribution
大型语言模型（LLM）的安全对齐在面对日益增长的攻击手段时仍然脆弱。越狱攻击通过精心设计的提示绕过安全机制，而神经元级攻击则在部署后直接剪除对安全至关重要的神经元。这两类攻击的共同弱点是：安全相关信息集中于稀疏的神经元子集。为此，本文提出
STAIN-FL: Stealthy Targeted Attack Injection with Contextual Triggers in Federated Learning
联邦学习（Federated Learning, FL）允许多个机构在不共享原始数据的情况下协作训练视频异常检测模型，但服务器端对客户端训练过程的可见性有限，使得被攻陷的客户端能够通过恶意模型更新注入后门。现有攻击通常依赖显式、高强度的触发
Semantic Overlays: Mitigating Prompt Injection with Annotations Beyond Tokens and Steering Vectors
本文针对大语言模型（LLM）面临的提示注入（Prompt Injection）攻击提出了一种新的防御思路。研究指出，当前模型仅能感知输入的令牌（tokens），虽然服务端清楚每个文本片段属于用户输入、工具输出还是指令，但模型自身却需要自行追
Beyond the Mandate: A Systematic Security Analysis of the Agent Payments Protocol (AP2)
该论文对Google提出的Agent支付协议(AP2) v0.2进行了系统性的安全分析。AP2允许由大语言模型驱动的购物代理代表用户授权和执行支付，其签名的结账和支付授权用于保护签名后交易数据的完整性。然而，交易在授权前由代理交互和外部输入
TrustShiftProbe: Characterizing, Benchmarking, and Defending Staged Trust Attacks on MCP Servers
本文提出并系统研究了模型上下文协议（MCP）服务器端的一种新型时间性信任攻击——TrustShift。MCP 已成为大语言模型（LLM）智能体连接外部工具后端的标准协议层，但其开放性引入了严重的服务器端威胁。TrustShift 攻击的核心
Effective Pivot Attack Detection via System and Network Information
该论文针对现代网络攻击中的“枢轴（pivoting）”技术提出了一种新型检测系统。枢轴攻击是指攻击者利用已攻陷的主机作为跳板，将流量转发到原本无法直接访问的内部目标，从而突破防火墙、入侵检测系统等传统边界安全设备的限制。由于中继流量在形式上
When "Do Not" Is Not Deny: Security Rules in CLAUDE.md vs Built-In Controls
该论文研究 CLAUDE.md 中自然语言安全规则与 Claude Code 内置控制（deny）之间的语义鸿沟。CLAUDE.md 中的“do not”是模型解释的自然语言指令，而 deny 是代理执行前阻止动作的内置控制。两者可表达相同
Robustness of Anomaly Detection Models for Industrial Control Systems under Training-Time Data Contamination
这篇 arXiv 论文研究了工业控制系统（ICS）中基于机器学习的异常检测模型在训练数据被污染情况下的鲁棒性问题。研究背景是：现有研究大多假设异常检测器的训练数据是可信的，但在实际工业环境中，训练数据可能因日志被篡改、标注错误、历史数据库记
Adapter-Based Few-Shot Continual Learning for Malicious Packet Recognition
本文针对恶意流量识别中模型需要不断适应新型恶意软件变体、但传统重新训练成本高昂且易发生灾难性遗忘的问题，研究了小样本类增量学习（FSCIL）这一特定设置。在该设置下，模型需要在仅拥有少量标注样本的情况下学习新增的恶意软件类别，同时不遗忘已学
InjecMEM: Memory Injection Attack on LLM Agent Memory Systems
大型语言模型（LLM）代理系统正越来越多地集成记忆子系统，以实现持久化的个性化和交互连续性。然而，这一便捷功能可能引入新的安全漏洞。本文提出了一种名为 InjecMEM 的新型记忆注入攻击范式，攻击者仅需一次交互（无需对记忆存储进行读取或编
RAD: Rule-Augmented Relational Anomaly Detection
本文研究关系数据库中的异常检测问题，指出传统方法通常需要将多表数据展平为单一特征矩阵，这一过程会丢失实体身份、表结构以及多跳依赖关系，从而难以发现依赖关系上下文的异常。为此，作者提出一种规则增强的关系异常检测方法 RAD（Rule-Augm
A Threshold Homomorphic Blockchain Architecture for Secure and Scalable IoT Sensor Data Aggregation
本文提出了一种名为 Phi-PHE-BC 的拓扑感知同态区块链架构，用于安全且可扩展的物联网传感器数据聚合。现有基于同态加密的区块链框架通常依赖经典密码学困难假设，且很少在网络活性和性能分析中考虑网络拓扑。该框架将阈值 Paillier 解
Adversarial Entropy Inflation Against Gumbel-Based Inference Verification
本文针对基于 Gumbel 采样的推理验证机制进行了对抗性分析。该验证机制旨在通过只允许那些可能源于 GPU 正常非确定性的 token 选择，来限制大语言模型（LLM）的权重窃取，并在良性提示流量下报告对隐写术攻击者实现超过 200 倍的
PhiShark2026: A Multi-Layer Active-Web Raw-Evidence Dataset for Phishing Website Research
本文针对网络钓鱼数据集研究中的一个核心局限：现有数据集往往只保留 URL 或预计算特征，导致研究者被限制在预设的表示形式中，无法根据钓鱼技术的演变重新提取特征、应用新的分析方法或检查跨层关系。为此，作者构建了 PhiShark2026，一个
CyberFactory: Scaling Cyber Security Capabilities with Instances from the Wild
本文提出 CyberFactory，一个面向网络安全的统一开源框架，旨在弥合开源与闭源大语言模型在网络安全能力上的差距。现有闭源模型（如 Mythos）展现出先进的网络安全能力，但开源方案存在三大局限：前沿开源权重模型未提供可复现的网络安全
When Can Agents Safely Checkpoint, Fork, Restore, and Merge? Exact Checking for Execution Edits
本文研究智能体（Agent）运行时环境中一种被称为“执行编辑”（execution edits）的操作安全性问题。执行编辑包括 Checkpoint（记录当前执行状态）、Fork（分支）、Restore（恢复某个检查点）和 Merge（合并