ActionGuard: Tool Call Authorization under Poisoned Skills
本文关注 LLM 智能体在引入第三方 skill 后的安全风险。当前智能体普遍通过第三方 skill 扩展能力,这些 skill 会提供任务指令、脚本和工具使用流程。问题在于:即使 skill 本身看起来无害,只要其中被插入了恶意指令,一个
#cs.AI
共收录 1652 条相关情报。
← 返回所有主题Hiding in Plain Sight: Decoupling Pretext from Actuation for Skill Poisoning in LLM Agents
该论文研究 LLM Agent 的 Skill(可复用技能)供应链投毒问题。随着 Agent 越来越多地依赖可复用的 Skill 来完成多步骤复杂任务,Skill 内容成为一种关键攻击面:在用户请求本身完全无害的情况下,被投毒的 Skill
Faithful Dual-constrained Erasure for Robust LLM Safety Alignment
本论文关注大语言模型(LLM)安全对齐中的机器遗忘(machine unlearning)机制。移除模型中的危险知识、实现安全对齐通常依赖遗忘技术,但近期研究揭示了一个持续存在的安全风险:被「遗忘」的模型在面对再训练攻击(retrainin
Deny Without Disabling: Authorization-Paired Evaluation and Control for Multi-Agent Systems
多智能体系统的能力来自共享证据、委派任务以及跨智能体组合信息。但同一过程也带来安全问题：某些贡献单独看是可接受的，组合在一起却可能共同促成被禁止的用途。若采取"一律阻断所有敏感动作"的策略，虽然能避免信息泄露，却会摧毁协作本身的意义，因此需
RAGScope: A Leakage-Controlled, Cost-Aware Evidence-Gating Protocol for RAG Hallucination Triage
本文研究的是检索增强生成（RAG）系统中的「幻觉分流」问题：如何在成本受限的前提下，对模型生成的答案进行廉价分类路由——低风险答案直接采纳、不确定的送人工复核、只有极少数高成本样本才交给强验证器（如大型 NLI 模型）处理。作者指出，现有评
Can Agents Trust Their Skills? Uncovering Unsafe Chains of Trust in Skill-Based LLM Agents
随着 LLM Agent 从"对话助手"演变为"可扩展执行体"，可安装的 Skill（由指令、代码与资源打包而成）成为其能力扩展的主要方式：Skill 一旦安装，便可在后续用户任务中被自动调用。这形成了一条信任链——用户把权限委托给 Age
Approval Laundering: Systematizing Approval--Execution Binding Failures in AI Coding-Agent Harnesses
论文聚焦 AI 编码代理 harness（Claude Code、Codex CLI、Cursor 等）的一个未被充分检验的安全假设：人类批准的动作 A，与 harness 实际执行的动作 A' 是同一个动作，其中 A 由作用域授权或会话级
Dagger: Decoupling-based Model Stealing Attack against Graph Neural Networks
随着图神经网络（GNN）被广泛以机器学习即服务（MLaaS）的形式对外提供 API，模型窃取攻击已成为关键安全威胁：攻击者仅通过查询受害模型的黑盒接口，就能训练出一个功能等价的替代（代理）模型，从而窃取专有知识产权并危及依赖该模型的下游安全
Making Duplicate Reimbursement Unrepresentable: A Verified Ethereum E-Invoice System for Humans and AI Agents
该论文针对电子发票在消费/报销侧长期存在的三个痛点——同一张发票可被重复提交报销、收票方难以验证真伪、数据集中托管在中心化机构从而形成性能瓶颈与单点故障——提出并完整实现了一套基于以太坊的电子发票系统。方法上，作者首先将发票生命周期形式化为
Concealing LLM-Based Multi-Agent Topology via Phantom Structure Injection
该论文研究的是 LLM 多智能体系统（MAS）中的通信拓扑泄露与防护问题。在 MAS 中，智能体之间的通信拓扑决定了信息如何在各节点间流动，通常是系统设计的核心要素，往往承载着厂商专有的架构知识（例如哪些智能体互相协作、采用何种分层或中心化
Beyond Semantic Narrowing: Robust and Efficient LLM Watermarking with Hamming Neighborhoods
该论文关注大语言模型生成内容的溯源与标识问题。语义水印通过在句子级语义表示中嵌入可检测信号，相比词元级水印更能抵抗改写、翻译等水印去除攻击，因此成为 AI 内容溯源的重要方向。但作者指出，现有语义水印方法存在一个被忽视的结构性缺陷：它们把一
ToolFence: Fine-Grained Authorization for Secure Tool-Using LLM Agents
该论文关注工具调用型 LLM Agent 面临的一个根因性问题：在单一上下文窗口中，来自用户的「可信指令」与来自外部环境的「不可信观测」（网页、邮件、工具返回内容等）混杂在一起，因此间接提示注入可以借观测内容劫持 Agent 的推理，甚至反
When Tools Silently Lie: Evaluating and Mitigating Blind Compliance in Tool-Augmented Data Agents
该论文研究工具增强型数据智能体（tool-augmented data agents）中的一个关键可靠性缺陷：当工具调用在技术上“执行成功”时，其返回的证据仍可能是貌似合理却实际错误的，而智能体往往并不具备判断该证据应当被采信还是应当被交叉
OPFL: Optimistic Verification of Federated Learning via Empirical Boundary
联邦学习允许多个客户端在不共享私有数据的前提下协同训练模型，但服务器对本地训练过程缺乏可见性，既无法确认客户端是否严格遵循既定训练流程，也难以发现模型投毒等恶意更新。一种直观的验证思路是“重放”客户端训练：用相同配置重新执行训练并比对结果。
VStress: Correlation-Aware Auditing and Adaptive Budget Allocation for Repeated Verifiers
该论文针对大模型推理中重复调用验证器（repeated verifier）的场景，指出仅当额外调用能带来条件信息增益时才有价值，否则会造成预算浪费甚至引入相关性偏差。作者提出 VStress——一种可审计的重放契约（auditable re
Controlled Decoding Attacks on Black-Box LLMs
该论文关注大模型安全对齐在解码阶段的脆弱性: 操纵生成过程中的下一个 token 概率分布可以绕过对齐约束。但已有方法普遍依赖模型权重或数值化的 token 概率(logprobs), 因此对只返回采样文本的黑盒接口完全无效。作者尝试从采样
SKILLLITE: Evidence-Guided Malicious Skill Auditing with Compact LLMs
这篇论文研究的是 LLM 智能体生态中的「技能（Agent Skill）」供应链安全问题。随着基于大模型的智能体承担越来越复杂的任务，Agent Skill 成为一种灵活的能力扩展机制：它把面向特定任务的指令、可执行组件以及辅助资源打包在一
Safer Content or Firmer Refusals? A Hybrid Perturbation Defense for Alignment under Harmful Fine-tuning
该论文研究"微调即服务"(Fine-tuning-as-a-service)场景下的有害微调(harmful fine-tuning)攻击面: 用户在对齐后的语言模型上用自有数据做微调时, 只需在大量良性样本中混入少量有害数据, 就足以削弱
Does the Unsafe Gradient Survive a Conversation? On the Fragility of Gradient-Based Jailbreak Detection in Multi-Turn Dialogue
该论文研究的是多轮对话场景下基于梯度的越狱（jailbreak）检测器是否依然有效。背景在于：安全对齐的大模型通常以多轮助手形式部署，攻击者可以把恶意意图拆散到多个用户轮次中，而不是塞进单条提示；而 GradSafe 这类基于梯度的越狱检测
CounterSteer: Suppressing Indirect Prompt Injection with Activation Steering
该论文针对 LLM 智能体面临的间接提示注入（indirect prompt injection）问题——即被检索回来的不可信文本被模型当作指令执行，从而导致工具调用被劫持——提出了一种推理时（inference-time）的模型内部防御方