Hop-Decayed Influence: New Vulnerabilities of Structural Auxiliary Indexing in GraphRAG Pipelines with LLM
该论文关注的是一种此前被忽视的攻击面：GraphRAG（图增强检索生成）流水线在离线索引阶段会生成大量「辅助结构」，包括语义摘要、层级边以及预计算的评分/排序结果，这些产物并不属于原始知识图谱的实例数据，却在查询时直接决定检索的优先级与召回
#LLM
共收录 2152 条相关情报。
← 返回所有主题MIRROR: Multipath Quorum Integrity for LLM Multi-Agent Communication
该论文聚焦大型语言模型多智能体系统（LLM-MAS）中一个被忽视的攻击面：智能体之间的通信链路。作者提出「中间智能体攻击」（Agent-in-the-Middle, AiTM）——攻击者并不攻陷任何智能体本身，而是在消息传输过程中篡改内容，
KaliBench: A Fine-Grained Benchmark for Cybersecurity Tool Use on Kali Linux with Runtime-Free Verifiable Rewards
该论文针对一个被忽视的评测缺口：大语言模型正被越来越多地用于网络安全工作流，需要把分析师的意图翻译成对真实安全工具的调用，但现有评测要么停留在知识问答层面，要么只评估端到端 agent 任务完成情况，并未直接衡量模型为真实网络安全工具生成「
Walking the Embedding Space: Datastore Extraction from Multimodal RAG
多模态检索增强生成(MRAG)已成为将多模态大模型(MLLM)的生成能力锚定到相关、及时的外部知识的可靠且低成本手段。它在降低幻觉方面有明显收益,但同时引入了新的攻击面,包括私有信息泄露和针对数据抽取攻击的脆弱性。本文提出 IMMRAG,一
The Innocent Courier: Covert Exfiltration Through Legitimate LLM Web Fetching
该论文关注大语言模型（LLM）及其 Agent 在代用户获取外部信息时衍生出的新型数据外泄风险。作者指出，现有研究主要聚焦两类威胁：提示注入，以及机密数据被发送给聊天机器人服务商；业界也提出了输入结构化、本地部署模型等缓解手段。但论文强调，
OverAct: Measuring and Mitigating Proactive Over-Authorization in LLM Tool-Calling Agents
该论文研究大语言模型（LLM）智能体在调用外部工具时的隐私越权行为。作者指出，具备工具调用能力的 LLM 智能体能够访问外部服务与用户私有数据，但在实际运行中，它们往往会检索超出用户请求明确所需范围的信息。作者将这一现象命名为「主动性越权」
Evidence Coverage for Intent-Bound Execution: Scope, Obligations, and Cutoff Reasoning
该论文关注一个审计与验证中的根本性难题：验证者可能已经对每一条可获得的记录完成认证，却仍然没有依据宣称某次执行的账目是「完整」的。要做出完整性断言，必须先有理由说明：针对被评估的这次执行，究竟哪些记录是「本应产生」的。作者提出了一个分析模型
High-quality Data Do not Mean Safe! Poisoning LLMs after Data Selection
该论文研究的是大语言模型（LLM）微调阶段的数据投毒问题，指出了一个被此前工作普遍忽略的盲区。既有研究通常假设投毒样本会原封不动地进入下游微调流程，但在真实训练流水线中，数据往往先经过基于质量的数据筛选（selection/filterin
Sleeping Secrets: How Fine-Tuning Reawakens Privacy Risks in Language Models
该论文研究的是大模型微调过程中的隐私风险复发问题。已有研究表明，在下游微调之后，模型可能重新暴露出经过对齐或遗忘处理后已无法通过直接查询获取的私有信息（即“微调恢复攻击”）。然而，此前的方法大多依赖一个不现实的假设：攻击者能够获得与原始训练
PACE: Provenance-Aware Capability Enforcement for Tool-Using LLM Agents
该论文研究使用工具的大语言模型（LLM）智能体的安全问题。此类智能体把生成文本转化为真实副作用，因此被污染的工具元数据、检索页面、记忆或可复用技能，都可能操纵下一次工具调用。作者指出，仅在准入前审查工件无法解决该问题：一个安全变体与一个泄密
Autonomous OSS Threat Detection via Taxonomy-Aligned LLMs
该论文聚焦开源软件（OSS）供应链安全检测问题。作者指出，当前 OSS 生态面临的供应链攻击手法日趋复杂，涵盖域名抢注/仿冒包名（typosquatting）、依赖混淆（dependency confusion）、Trojan Source
ReCast: Contract-Preserving Protection for Fixed-Interface Multimodal Reasoning
远程多模态模型在图表与语音等固定媒体接口上的数值推理能力很强，但直接上传私有输入会导致敏感内容外泄。现有的纯文本脱敏无法满足固定媒体接口的格式要求，而身份匿名化又保留了任务内容本身。论文提出 ReCast——一种面向智能体的插件式保护框架，
Jev-IDS: System One Models for Network Intrusion Detection
该论文提出 JEV-IDS，一个面向零日入侵检测的开放式通用网络入侵检测系统（NIDS）实验框架，其核心思路是绕开传统机器学习 NIDS 对大量标注数据和任务专用训练的依赖，同时规避大语言模型（LLM）在流量记录检测中推理成本高、延迟大、输
Safety Must Survive Self-Improvement: Why Failures Persist and How Agents Recover
该论文研究递归自我改进（RSI）场景下智能体（agent）的安全性问题：当 LLM 编辑器跨代际持续优化可执行的智能体组件时，如何既阻止不安全行为在后续版本中延续，又能在失败发生后实现恢复。作者构建了一个受控测试台，使用有状态的授权（aut
DeBERTa-ConPara: Attack-Aware and Deployment-Realistic Detection of AI-Generated Text
该论文研究 AI 生成文本检测器在真实部署条件下的鲁棒性问题。作者指出三类部署挑战会使在域内表现良好的检测器性能下降：跨领域与跨生成器的分布漂移、输入表层（surface）的对抗性扰动，以及缺少目标域标签用于阈值校准。为此提出 DeBERT
AuraForge: Scaling Security Supervision for Training Coding Agents
该论文关注的是一个正在快速浮现的安全盲区：随着编码智能体（coding agents）能力增强到可以从单条提示词直接生成复杂软件应用，人类监督方式已从逐行代码审查转向对最终运行结果的黑盒式验收。已有研究指出，这种转变带来关键风险——功能正确
Do Defenses Against LLM Extraction Work Across Attacks? A Lifecycle Benchmark of Black-Box Model Extraction
该论文针对大语言模型（LLM）通过纯文本 API 部署时面临的模型提取风险展开研究。攻击者可通过收集模型响应训练替代模型，从而复制受害模型的能力。尽管已有工作提出了多种提取攻击与防御方法，但现有评估在访问假设、模型配置、查询预算和安全目标上
SafeDepth: Safety-Aware Token-Level Adaptive Computation
该论文关注 Transformer 推理加速中的 token 级自适应计算（token-level adaptive computation）所带来的安全副作用。以往研究认为并非每个 token 都需要经过全部层，因此出现了一批选择性跳层的
Sapien: A Stateful Policy Engine for Autonomous AI Agents
该论文针对自主 AI 智能体（AI Agent）在工具调用场景下的安全问题，提出了一种名为 Sapien 的「有状态策略引擎」。研究背景是：当前主流的上下文安全防御思路，是先让模型根据当前任务即时合成一份任务专属策略，再用这份策略去约束智能
Identity-Bound Governance Under Execution Uncertainty: An Accountability Proof Block for LLM Agent Persistent Halts, with Cryptographic Implementation and Cross-Model Calibration
该论文研究一个此前较少被形式化的问题：一个被正确治理的 LLM Agent 可能进入一种「两难」状态——既不允许继续执行，也不允许自动停机。此时系统已检测到自身可观测性层或漂移检测层出现持续性失效，但它无法自行判定谁拥有恢复执行、拒绝继续或