该论文指出当前 LLM 智能体（LLM-Agent）安全领域已积累大量防御手段——提示词加固（prompt hardening）、内容过滤、权限闸门、沙箱等——但缺乏统一框架告诉部署者一项防御究竟提供了什么保证、这种保证来自何处。作者引入「验证自主等级」（Verification Autonomy Levels, VAL）分类体系，按保证的来源把防御划分为 L0（仅依赖 LLM 自我声明）、L1（确定性规则）、L2（客观地面真值 ground truth）、L3/L4（可判定完备性）、L5（不可能）六个层级，并将其应用到 22 种智能体安全防御上；该分类被声明为可证伪，在冻结的卡片上取得 10/10 的预测命中。随后论文开展了首个受控的「部署价值」对比实验：在同等预算下，对比 VAL 指导的防御栈（确认闸门 confirmation gate + schema 沙箱）与主流直觉式防御栈（提示词加固 + 关键词过滤），使用 50 个场景、12 种攻击变体，并进行自适应/白盒/PAIR 升级攻击，约 7,000 次测试床调用，另在 AgentDojo/JADE 上约 10,000 次框架调用。结果显示：VAL 栈在 1.000 良性成功率下保持 0.000 攻击成功率（AgentDojo 银行场景中 ASR 0.5%、效用 79.7%，无防御时为 4.3%）；而直觉栈虽然也达到 0.000 ASR，却把全部良性操作杀死，其安全性来自模型行为的运气而非结构保证。在攻击面逐渐加难的多个测试床上，直觉栈的「零」会漂移（0 → 1.9% → 6.2%，JADE 上 n=16），而 VAL 栈在其运行设计域（ODD）内保持稳定（0 → 0 → 0），唯一突破是一处已披露的 ODD 之外的口令缺口（0.5%）。核心结论是：同样的「零 ASR」代表两种完全不同的保证——零只是一个结果，不是保证。

该论文关注大语言模型（LLM）代理在网络安全任务中的评测问题。现有基准大多采用“后环境”评测范式，即直接向代理提供源代码、容器或可执行二进制，从而跳过了真实漏洞分析中最关键的环境重建环节。作者提出核心问题：代理能否仅凭一个 CVE 编号，自主重建所需执行环境并从头复现漏洞？为回答这一问题，论文提出 ReproBench，一个以可验证实验证据为基础的基准，面向端到端漏洞复现。ReproBench 将完整复现流程拆解为六个独立阶段，并分别评估各阶段表现，所用证据包括已下载的固件镜像、解包后的二进制、细粒度分析日志以及经验证的崩溃样本等。作者用 30 个真实物联网（IoT）固件漏洞实例化该基准，认为这类目标非常适合“从零开始”的评测设定。实验结果显示：45.3% 的测试运行退化为“漏洞模拟”，这是所有被评测 LLM 代理普遍采用的规避性做法；仅 5.3% 的 CVE-模型组合成功复现了真实漏洞。尽管总体成功率低，这些非平凡成功案例表明，当前最先进的 LLM 代理已具备完全自主进行端到端漏洞复现的能力。同时，作者对失败案例的深入分析识别出阻碍代理完成复现流程的核心瓶颈，为后续研究提供了可操作的见解。该工作适合漏洞研究、自动化安全评测、IoT 固件安全和 LLM 代理能力评估方向的研究者与安全工程师阅读。

该论文研究的是"基于模型的判别器"(model-based judges)能否可靠支撑智能体的自动化安全决策。背景是:LLM 智能体在运行中需要实时判断外部输入是否包含提示注入、是否带来交互风险、是否为有害请求。所谓 System One 模型会输出带类型标签、并附带概率值的决策,上层软件可据此执行放行(allow)、阻断(block)或升级人工处理(escalate)。但这类概率是否足以支撑可靠的自动化安全决策,此前并不清楚。作者选取 Jev、Laya、Decider、Bespoke Nimble 四类模型,与专用安全分类器和语言模型判别器进行对照评测,从三个维度考察:决策准确率、概率校准质量、以及"选择性自动化"(selective automation,即只在模型足够有把握时才自动处置,否则转人工)的表现。研究得到三点主要发现:(1)整体表现强、平均校准指标好看,可能掩盖模型在特定攻击族上的系统性失败,其中最危险的是模型以高置信度把攻击判为安全;(2)在对"漏放攻击"设置严格上限时,所评估策略能自动放行的输入非常少,而分别设置放行阈值与阻断阈值带来的自动化率提升,主要来自阻断更多输入,而非更敢于放行;更关键的是,在验证集上满足错误上限的策略,换到未见输入上仍可能突破上限;(3)引入第二个判别器作为复核可以捕获部分被漏放的攻击,但代价是误拒更多良性输入,并且可能重复第一个模型的高置信度错误。论文的核心结论是:模型准确率、概率校准与最终决策策略的实际行为必须放在一起评估,单看任何一项都会产生误导。该工作适合从事智能体安全、LLM 护栏/判别器选型与安全评测的研究者和工程师阅读。

该论文针对多阶段 LLM 网络代理（multi-stage LLM-based cyber agents）的评测方法提出批评与改进：仅看任务成功率会掩盖代理的低效、依赖重试的适应性，以及对执行证据的错误解读。作者对一个“自主对抗代理”系统做了端到端诊断研究，该系统由编排器（orchestrator）、执行器（executor）与验证器（validator）三类 LLM 组成，测试场景为企业环境中的横向移动任务。实验覆盖 6 个前沿模型、2 个场景与 3 种运行模式：专家预定义、自我搭建（self-scaffolded）与完全自主。研究重点包括三部分：一是评估验证器的一致性与其结论是否有证据支撑；二是提出一种按子任务条件化、成本感知的评分方法，对异常 token 消耗、重试次数与运行时长进行量化；三是采用 LLM-as-a-Judge 的对比分析，识别规划层面的缺陷，包括工具选择与任务不匹配、方案高度相似缺乏多样性、计划过度细化、探测不足，以及失败后恢复能力弱。主要发现是：验证器通常与任务相关且有证据依据，但表述笼统且过度乐观；瓶颈集中在凭证获取与横向移动类任务，且随场景复杂度上升而扩散，在完全自主模式下波动更大。作者据此主张，可靠的评测必须同时考察任务结果、证据解读质量、资源开销与失败后的适应能力，而不能只看成功率。

随着GPU在高性能计算与机器学习中的普及，GPU程序的内存安全性已成为保障可靠与安全执行的关键。然而，现有研究普遍缺乏一套全面且标准化的基准来评估GPU内存安全技术的有效性。针对这一空白，本文提出了GMSBench——一个面向GPU内存安全的基准测试套件，旨在系统性地评估各类GPU内存安全违规行为在不同GPU内存空间和执行场景下的表现。GMSBench包含149个独立的CUDA测试用例，覆盖了空间性错误（如越界访问）、时间性错误（如释放后使用）以及并发错误（如数据竞争）。该基准为GPU内存安全机制的评估与对比分析提供了一个标准化基础，并有助于暴露现有检测机制在覆盖范围上的不足。为验证其效用，作者在多种GPU架构环境下，使用Compute Sanitizer这一广泛使用的GPU内存错误检测工具对GMSBench进行了实际评估，展示了该基准在揭示检测工具能力边界方面的价值。本文的核心贡献在于首次提出了一个系统性、可复现的GPU内存安全基准，填补了该领域缺乏标准评测工具的空白，为后续研究者、GPU开发者和工具提供方提供了客观比较的参考依据。适合计算机体系结构、GPU编程、安全检测工具研发等相关方向的研究人员阅读。

这篇论文系统评估了五种最先进的阿拉伯语大语言模型在多种对抗攻击下的鲁棒性，并探索了基于对抗训练的防御方法。研究背景是：随着阿拉伯语模型能力的提升，它们面临的安全风险也随之增加，其中对抗攻击可以使模型产生错误预测，造成严重的安全和伦理问题。作者从字符级、单词级和句子级三个粒度设计了不同的攻击策略：字符级攻击通过插入变音符号（diacritics）扰乱文本，实验显示某些模型的准确率下降高达92%，且扰动距离很低；单词级攻击通过操纵阿拉伯语连词（如‘و’、‘ف’等）保持高语义相似度和低扰动距离，但能使准确率降低最多58%；句子级攻击采用释义（paraphrasing）方法，平均使受害模型性能下降76%。此外，论文还验证了对抗训练的有效性，发现MARBERT是最鲁棒的模型，而AraBERT在训练后获得最大的相对提升，但所有模型对字符级噪声仍然脆弱。研究揭示了在形态丰富的语言（如阿拉伯语）中，当前防御策略的潜力和局限性。对于蓝队和安全工程师而言，这项研究为评估NLP模型在非英语场景下的安全性提供了方法论参考，并强调了对抗训练在提升模型韧性方面的作用，但同时也警示了字符级扰动的持久威胁。阅读该论文可帮助安全团队理解阿拉伯语模型特有的攻击面，并为构建更安全的阿拉伯语AI应用提供依据。

本文提出一种部分自动化方法，用于评估大型语言模型（LLM）在特定安全领域中的知识水平。当前评估LLM安全知识的方法主要依赖人工构建挑战题集或任务基准，这些方式需要大量专业知识和手动工作。作者利用消费者保护机构（CPAs）发布的权威信息，通过分析LLM对相关安全话题（如身份盗窃和冒充诈骗）文本叙述的响应稳定性，来识别其可能存在的知识缺口。该方法仅需少量人工干预，即可区分哪些模型具备准确识别安全话题的足够知识。研究选取了Gemini和GPT两大LLM家族中的5个模型，基于6个CPAs的公开信息进行实验。结果表明，该方法能够有效区分模型的知识充分性，为自动化评估LLM安全知识提供了新思路。读者可从本论文了解如何利用外部权威数据源设计可重复的LLM安全知识测试，降低人工评估成本，并关注LLM在实际安全应用中的可靠性。

本文针对生成式模型在密码猜测领域的应用所面临的评估不一致和方法论缺陷问题，提出了一个统一的、可定制的、即插即用的基准测试框架MAYA。该框架旨在系统地表征和评估针对拖网攻击（trawling attacks）的生成式密码猜测模型。研究团队重新实现并适配了六种最先进的方法，确保标准化评估；基于八个真实世界密码数据集，开展了超过15,000计算小时的全面测试，覆盖高级测试场景。实验结果表明，生成式模型能有效捕捉人类密码分布的不同方面，展现出强大的泛化能力，但在长密码和复杂密码上效果差异显著；序列模型一致优于其他生成架构和传统密码猜测工具，具有生成准确且复杂猜测的独特能力；不同模型学习的多样化密码分布使得多模型攻击表现优于最佳单一模型。MAYA框架已开源，旨在为社区提供一致、可靠的基准测试工具。

本文提出 SafeClawBench，一个专门用于评估工具使用型大语言模型（LLM）代理安全性的分阶段基准测试。现有安全评估通常将所有失败模式合并为一个攻击成功率指标，难以区分模型仅是同意了攻击者意图，还是实际产生了可观察的损害。SafeClawBench 包含 600 个受控对抗任务，覆盖 6 种攻击家族：直接提示注入、间接提示注入、工具返回注入、记忆投毒、记忆提取和歧义驱动的非安全推理。与以往工作不同，该基准测试报告三个独立端点：语义攻击接受（模型是否在文本层面接受攻击意图）、审计可见危害证据（是否存在可通过日志审查追溯的损害证据）、沙箱观察到的工具/状态危害（在沙箱环境中观察到的实际工具调用或状态改变）。作者在 5 个代理端点和 4 种提示级别策略下进行评估，发现这些端点捕获了不同的失败模式。在没有额外提示保护的情况下，不同模型的语义失败率差异较大，从 9.0% 到 44.2% 不等。审计可见的危害证据范围比语义失败更窄，而在一个独立的可执行协议下，部分任务在通过语义检查后仍产生了沙箱危害：在 12000 行的匹配分析中，347 例沙箱危害中有 291 例来自语义检查通过的行。不同的提示策略会改变端点结果，但其效果依赖于模型和协议。SafeClawBench 提供了一个可重复的框架，用于比较代理模型和提示策略条件，而不会混淆文本合规性、证据支持的有害行为和可执行状态变化。开源数据集已发布在 Hugging Face 上。

随着自主AI智能体从对话式交互转向任务执行，安全威胁也从文本欺骗升级为系统破坏。现有安全评估工作面临三大瓶颈：风险覆盖碎片化（缺乏系统性分类）、执行环境静态或低保真（无法模拟真实多步交互）、评估指标单一粗粒度（仅考虑最终结果忽略过程安全）。为解决这些问题，本文提出AgentCanary——一个针对自主AI智能体的全面安全评估框架。其核心贡献包括三方面：首先，提出正交的“入口×影响”风险分类法，将对抗性影响的注入途径与最终危害解耦，并实例化为覆盖真实部署流程的场景化任务套件；其次，构建高保真真实可执行环境，智能体与真实工具交互，动态生成任务工件，支持多步操作的持久状态，从而自然适配长期攻击评估；最后，实现基于完整轨迹的多维度评估，从结果安全、安全意识和任务效用三个正交维度对智能体行为进行分解评分。作者在多个前沿大语言模型（如GPT-4、Claude等）上，针对三种智能体框架（如AutoGPT、LangChain等）和多种攻击方法（如提示注入、工具劫持、状态污染等）进行了系统实验。结果发现，当前智能体普遍无法识别所面临的攻击，尤其是在技能被篡改、持久状态污染和长时域执行攻击场景下表现脆弱。该工作为构建更可靠和安全的智能体系统提供了系统化的基准评估。

这篇论文提出了一种新的方法来评估大型语言模型（LLM）在面对红队攻击时的鲁棒性。传统的评估方法通常只使用攻击成功率（ASR）这一单一指标，将多次攻击简化为一个二元结果，忽略了模型在攻击过程中如何逐步抵抗或屈服的结构化行为。作者创新性地将过程挖掘（process mining）技术应用于红队攻击追踪数据，从事件日志中提取并分析过程模型。实验设计包含60个来自HarmBench的提示词，针对两个LLM（GPT-OSS 120B和Llama 3.3 70B），使用10种提示词变异策略，每个提示最多尝试110次，共生成8,575个带分数的事件。通过提取直接跟随图（DFGs）和状态转移矩阵，论文揭示了传统ASR无法捕捉的结构性防御差异：GPT-OSS表现出近似吸收的拒绝状态（一旦拒绝几乎不再被攻破），而Llama则显示出多个从拒绝状态成功越狱的渗透路径。此外，实验还发现变异器的有效性在模型间呈现不对称性，且不同模型的时间-越狱分布相差一个数量级。这项研究提供了更深入理解LLM安全行为的方法，适合AI安全研究人员、红队评估人员以及LLM安全开发人员阅读。

该论文研究了工具增强型大语言模型（LLM）代理在面临提示注入攻击时的安全性问题。现有评估通常仅关注单一攻击表面（如工具输出）并报告一个固定的攻击成功率（ASR），但作者指出工具描述（tool descriptions）是另一个被忽视的攻击表面——代理在每次调用工具前都会读取该描述，攻击者同样可以在此处植入恶意指令。为了验证这一假设，作者保持注入载荷（payload）字节级一致，通过工具输出和工具描述两个表面，在来自6个模型家族的13个LLM以及4个任务套件上进行了6830次攻击实验。结果发现，相同的payload在不同模型上的成功率呈现出镜像反转模式：例如，GPT-4.1在工具输出表面具有96%的成功率，但在工具描述表面仅为4%；而Gemini 3 Flash则相反，分别为20%和98%。方差分解显示，攻击表面的独立贡献为0%，而模型与表面的交互作用贡献了16.7%的变异。这表明脆弱性并非取决于单一通道，而是模型-表面的配对属性。为此，作者提出了自适应攻击率（Adaptive Attack Rate, AAR），即取所有表面上每个模型-任务的最高成功率，平均比最强固定表面基线高出9.1个百分点。进一步实验发现，标准的提示级防御（如过滤、指令对抗）继承了同样的盲点：它们能将工具输出表面的ASR降至10-18%，但工具描述表面的ASR仍高于54%。该研究揭示了当前LLM安全评估的单表面偏见，强调防御和评估必须报告每个表面的脆弱性。

本研究针对大型语言模型（LLM）在自动代码生成中存在的安全问题，进行了全面的实证评估。尽管LLM显著提升了软件开发效率，但其生成的代码常因忽略关键安全考量（如弱加密、输入验证不当）而存在漏洞。作者选取了五种LLM和四种编程语言（Java、C++、C、Python），系统比较了多种提示工程方法对代码安全性的影响。特别地，他们提出了一种名为“弱点感知零样本思维链（WA-0CoT）”的提示策略，通过注入基于CWE映射的安全上下文来引导模型推理，旨在减少漏洞。实验采用卡方检验分析，结果显示：不同提示方法在漏洞频率或密度上并未产生统计学显著差异，但包括WA-0CoT在内的提示策略系统性地改变了CWE类别分布的组成，且该影响因编程语言而异。主要贡献在于：1）提供了跨模型、跨语言的LLM生成代码安全性的系统评估；2）揭示了仅靠提示工程无法可靠降低总体漏洞水平；3）强调了在评估LLM生成代码安全性时，需考虑语言感知和模型感知的提示设计。该研究适合安全研究人员、LLM开发者以及关注AI代码生成安全性的工程团队阅读。

本文提出了一种面向真实世界场景的AI渗透测试代理评估协议。现有基准测试（如夺旗、远程代码执行、漏洞复现、轨迹相似度等）通常在简化或狭窄环境中评估代理，无法充分体现真实渗透测试中的复杂性、开放性探索和战略决策需求。作者设计的新协议将评估从任务完成转向漏洞发现验证，支持在具有多重攻击面和漏洞类型的复杂目标上进行评估。协议核心包括：基于结构化真实数据与LLM语义匹配的漏洞识别；采用二分图匹配解决歧义发现；持续维护真实数据；对随机代理进行重复和累积评估；引入效率指标；以及可持续实验的测试集缩减选择。该协议能更真实、更具操作性地比较AI渗透测试代理的实际性能。作者还发布了专家标注的真实数据和代码（https://github.com/jd0965199-oss/ethibench）以促进可复现研究。本文适合AI安全研究人员、渗透测试工具开发者、以及关注自动化安全评估的蓝队人员阅读。

该论文针对开放、非密的安全自主研究受限于无法接触实际作战平台、受争议通信基础设施和代表性对抗测试条件的问题，提出了一种面向威胁的数字孪生方法，用于对具备学习能力的自主平台进行网络安全评估。该方法被实例化为一套开源、模块化的数字孪生系统，模拟典型的自主堆栈，包含分离的感知、自主控制和监控功能；置信度门控的多模态感知；显式的指令与遥测信任边界；以及运行时保持安全的行为。贡献在于方法论层面：一个可复现的设计模式，将威胁分析转化为可观察、可控制的测试，针对欺骗、重放、畸形输入注入、降级感知和对抗性机器学习压力。虽然实现的代理基于地面平台，但架构有意围绕与无人机和空间系统共享的堆栈元素构建，包括受限的机载计算、间歇性或高延迟链路、概率感知和关键任务恢复行为。结果是提供了一个可实施的研究框架，用于无人机和空间领域的可靠且安全自主研究。