The Compiler May Read It, the Agent May Not: Keeping Part of a Research Code Away from a Coding Agent
这篇论文（cs.AI / cs.SE）聚焦一个在「AI 编码智能体辅助科研开发」场景中日益尖锐但缺乏系统分析的矛盾：同一份代码仓库里，某些模块是构建物理求解器所必需的（编译器必须读取），但同时又属于不宜暴露给外部编码智能体的知识产权（age
#agent-security
共收录 1542 条相关情报。
← 返回所有主题"Nothing to See Here'': Unintended Disclosure through Revision Traces of LLM Deliverables
该论文研究大语言模型助手在协助用户起草发给第三方的交付物时出现的一类隐私泄露问题。用户在私密草稿阶段可能先写入某个条目、随后又删除或替换它；模型虽然在目标内容中删掉了该条目，却在陈述本次编辑动作时把它重新说了出来，作者将这类语句命名为"修订
PrivacySkills: How Privacy Guidance Shapes Source Selection in LLM Agents
本文提出 PrivacySkills，一个受控评测框架，研究大语言模型智能体在信息获取路径选择上如何受隐私指引呈现方式影响。核心问题是：当多种获取路径能带来同等任务相关价值时——查询公开可得的个人信息、访问机密来源，或直接与用户交互——智能
Planarian: Managing Agent State with Statepoints
该论文针对 LLM 智能体在执行复杂任务时不断修改文件、调用本地工具并与远程服务交互，从而在本地环境与远程服务两侧产生大量状态变更的问题。当前智能体框架缺少统一抽象，用户与智能体只能显式管理这些变更，无论是回退探索性操作还是从错误动作中恢复
Same Bytes, Different Authority: Reserved-Token Representations in Chat-Template Prompt Injection
该论文研究 LLM 智能体场景下的提示注入（prompt injection）问题，聚焦一个以往被忽视的细节：当注入指令被模型自身的聊天模板标记（如 <|im_start|> 这类保留控制标记）包裹时，攻击效果会显著增强。核心观察是，同一段
Continuous Assurance of Agentic Security Auditors for Software Delivery Decision Gates
该论文关注的是一类正在快速进入持续集成（CI）流水线的安全控制：基于大语言模型（LLM）的代码仓库审计器（repository auditor）。这类工具会对提交给出 admit（放行）、block（阻断）或 delay（延迟）等结论，实质
Poster: Towards ProofWeave: A Privacy-Minimised, Integrity-Anchored Evidence Plane for Continuous Agentic Assurance
该论文针对自主智能体（Agentic AI）系统的可审计性提出新概念 ProofWeave。背景是：现代智能体通过工具调用、记忆、任务委派和外部服务持续行动，其行为边界跨越多个组件与信任域。现有的可观测性与数据溯源（provenance）机
Trajectory-Level Security Debt in LLM Coding Agents
该论文关注LLM编码智能体（coding agent）在解决任务过程中产生的安全债务问题。作者指出，编码智能体在提交最终方案前会经过数百个中间代码状态，而现有评测通常只看最终产物，导致安全发现（security findings）随轨迹演化
When Valid Tool Calls Change Meaning: Formation-Consistent Dispatch for LLM Agents
该论文聚焦于工具增强型 LLM 智能体(tool-enabled agents)在调用分派环节的一类结构性安全缺陷。作者指出：智能体在生成工具调用时，依据的是模型可见的接口描述(descriptor，即 schema、名称、参数说明)，而宿
Before Acting, Change the State: Prospective State Intervention for Web Agents under Deceptive Interfaces
该论文关注 LLM 驱动的 Web 智能体（Web Agent）在真实网页环境中执行用户任务时的安全性问题。作者指出，现有的防御手段主要集中在「行为层」——即对智能体即将执行的动作进行拦截、引导或重新规划，但这类方法忽略了一种独立的失效模式
DGF-Bench: A Benchmark for Simulating and Auditing Deception Against Multi-Agent Governance Boards
DGF-Bench 是一篇面向多智能体（multi-agent）治理决策场景的评测基准论文，作者 Jeremy Canale，归类 cs.AI。其核心问题是：当由语言模型驱动的智能体代替企业治理委员会来评审项目时，它们需要阅读证据、套用成文
JEV as a Judge for Agent Trace Security: An Empirical Comparison with Generative LLM Judges
该论文研究的是「工具型智能体（tool-using agent）行为轨迹的安全判定」这一评测环节本身的可选方案问题。背景是：对会调用外部工具的智能体做安全评估，必须结合上下文判断每一步动作是否构成风险；当前主流做法是让生成式大模型充当裁判（
CoSec: Benchmarking Agent Security in Communities
该论文关注的是 LLM agent 在持久化协作环境中运行时所面临的隐私与授权风险。这类环境通常包含多个用户、社区（community）、长期记忆、共享文件以及各类工具，而社区边界并非静态：成员变更、角色调整、成员构成变化和参与者关系演化都
AuxMark: Defending Against Unauthorized Agent Distillation via Auxiliary Behavioral Watermarking
该论文关注大语言模型智能体（LLM Agent）面临的非法蒸馏（模型窃取）问题：Agent 通过多步交互与工具调用获得复杂能力，但其完整交互轨迹（trajectory）可能被第三方收集，用来训练能力相近的“学生 Agent”，从而绕过授权与
MMSkillRisk: Can Agents Stay Safe When Multimodal Skills Become Traps?
该论文关注 AI Agent 技能（Agent Skills）生态中的一个新攻击面：技能是可在社区中共享、复用的程序化包，通常包含指令文本、工具定义和示例；多模态技能在此基础上还附带视觉参考图，Agent 在执行时会主动检索并"查看"这些图
SEAD: A State-Based Perspective on Attack and Defense in Tool-Using Agents
该论文《SEAD: A State-Based Perspective on Attack and Defense in Tool-Using Agents》针对工具调用型语言模型智能体（tool-using agents）提出了一种以「状
CoDeL: Co-Evolutionary Defense against Indirect Prompt Injection in LLM-based Agents
该论文研究 LLM 智能体面临的间接提示注入（IPI）防御问题。作者指出，虽然基于训练的防御通常被认为最可靠，但现有方案多在静态、显式的注入分布上优化，学到的是表面形式线索，而非“服务用户目标”与“服从注入目标”之间的本质边界；因此当恶意意
Before Agents Act: Assurance-Aware Semantic Scheduling for Evidence Acquisition in Distributed Systems
该论文研究的是"工具型智能体（tool-using agent）在执行对基础设施有实际后果的变更前，如何可靠地采集准入（admission）所需的证据"这一问题。背景在于：智能体一旦被授权就可能直接改动生产基础设施，而准入判断往往需要多个来
Certified Multi-Source Integrity for Structured Agent Actions
该论文研究的是 LLM 智能体（agent）在执行高权限、往往不可逆的结构化操作（例如「支付某张发票」）时，如何对其动作完整性与来源可信性进行可证明的认证。作者指出当前威胁模型的关键特点：智能体并不是从一个单一可信答案中取值，而是从多份文档
PerceptFence: Content-Mediation Architecture and Deterministic Coverage for Screen-Share AI Assistants
本文针对「实时屏幕共享型 AI 助手」的隐私治理难题提出 PerceptFence。这类助手需要持续读取用户的原始屏幕画面与语音流，但用户几乎无法在运行时控制助手可以观察、记忆或对外披露哪些内容。作者指出，仅靠提示词层面的隐私开关是无效的，