Scope-Gap Injection：利用评测器通道盲点绕过 OpenClaw Agent 安全竞赛检查
arXiv:2610.34777 提出 Scope-Gap Injection（SGI），一种针对多阶段 LLM Agent 安全评测流水线的间接提示词注入方法。
看学术
AI 安全方向的论文、会议、比赛、教程与资料，按内容形态筛选，支持搜索。
分类筛选展开收起
攻击手段
防御体系
模型内生风险
系统与组件
应用场景
评测与治理
可解释与机制
共 528 条 · 更新于 15:39
安全paper推荐指数6262 安全paper推荐指数7676 Log-To-Leak：针对MCP工具调用Agent的提示词注入攻击研究
arXiv:2610.36108 论文提出 Log-To-Leak，一种针对基于 MCP 的工具调用 LLM Agent 的提示词注入攻击：通过恶意自然语言工具元数据，诱导 Agent 在完成正常任务后额外发起一次攻击者控制的日志调用，泄露用户查询、MCP 服务器名、服务器响应乃至 Agent 最终回复。
安全paper推荐指数5656 arXiv 论文实证研究 OpenClaw 智能体助手生态的安全风险与信任边界失效
论文 arXiv:2610.35451 对 OpenClaw 智能体助手生态的安全问题做实证研究，分析 13 个相关 subreddit 的 25K+ Reddit 帖子（筛出 162 条安全相关帖。
安全paper推荐指数6060 SpecGuard：基于形式化规约的运行时监控检测多轮 LLM 越狱
arXiv:2610.36258 提出 SpecGuard，一个免训练、规约驱动的多轮 LLM 越狱运行时监控框架。它用固定的原子命题契约把自然语言观察映射为带证据的事实，用 Linear Temporal Logic（LTL）规约描述被禁止的交互模式，并编译为符号有限自动机增量消费对话轨迹；通过的运行会产出可回放的 witness，标明触发的规约、支撑事实与相关对话轮次。
安全paper推荐指数7171 SEEK：面向科学Agent技能泄露的自进化黑盒红队方法
论文提出 SEEK（Skill Extraction with Evolving Knowledge），一个仅依赖用户可见响应的黑盒自进化红队Agent，用于从科学Agent平台提取可复用技能。
安全paper推荐指数7676 arXiv论文：相同训练配置的语言模型在不同越狱提示上表现分化
arXiv:2610.34074论文指出，即使架构、数据配方和安全后训练完全相同，语言模型在不同越狱提示上的失败表现也会因预训练随机种子不同而显著分化。研究对25种预训练数据配方、每种取3个预训练种子的1B base模型，各施加相同安全后训练（含2个后训练种子），共150个模型，收集每个模型对共享越狱提示集的20条回复并计算逐提示非拒答率相关性。
安全paper推荐指数6666 SentryBench：面向公共安全部署的工具调用 LLM Agent 对抗鲁棒性成本敏感基准
arXiv 论文提出 SentryBench，一个面向公共安全场景中工具调用 LLM Agent 的成本敏感基准与成本模型，场景基于真实报警通话记录、灾害消息和真实注入/越狱 payload。
arXiv推荐指数3838 RobustRLlib：统一的鲁棒强化学习算法库与基准
RobustRLlib 是一个以算法为核心的开源库与基准，在统一接口下集成了 17 个代表性的鲁棒在线、离线与安全强化学习算法，并提供覆盖多样真实分布偏移以及人形机器人、视觉-语言-动作（VLA）任务的增强评测平台。
arXiv推荐指数4242 STROKE：基于简单稀疏结构遮挡的黑盒对抗攻击
STROKE 提出一种查询高效的 score-based 黑盒对抗攻击方法，用简单定向矩形遮挡构造扰动，并通过轻量级贪心"添加-精炼"流程优化。在多种图像分类器上，STROKE 在 1–2% 名义面积设置下以低查询数实现高攻击成功率，部分配置下优于现有基于 patch 的攻击，且墙钟攻击时间显著降低。消融研究验证了关键设计选择与不同结构基元的有效性。
arXiv推荐指数2828 EVSEFuzz：面向 OCPP 协议实现的自动化模糊测试工具
EVSEFuzz 是一款自动化构建模糊测试器（fuzzer）以测试协议实现安全性的工具，利用 Python 数据类型校验包"理解"数据类型与消息结构，生成合规与非合规消息，已成功测试多个开源与闭源 OCPP 实现，发现多个漏洞并促成两个 CVE 发布。
arXiv推荐指数3838 When Human Corrections Travel：联邦 VLA 适配中的安全问题
arXiv 论文《When Human Corrections Travel》探讨联邦学习与视觉-语言-动作（VLA）策略结合时的安全问题，指出跨任务、环境、人员和机器人本体共享人类纠正产生的适配更新，可能提升平均任务成功率却压制罕见安全干预或在其他机器人上产生不安全响应。
arXiv推荐指数6464 arXiv论文量化LLM漏洞审计器对静态分析证据的非对称依赖
该论文研究LLM与静态分析结合的漏洞审计流水线中，模型是否会区分真假证据。作者构建了针对C/C++的过程内分析器，在PrimeVul数据集的916对函数上，用四种厂商的十一个模型配置共进行16,572次审计，仅改变证据注释内容。
arXiv推荐指数6262 TopKLoRA 可解释稀疏微调实现忠实电路发现
论文提出 TopKLoRA，一种仅激活每个 token 上 k 个最大适配器隐变量的可解释 LoRA 变体，仅用下游损失训练，使优化压力促使模型学习具功能因果性的隐变量。
arXiv推荐指数5858 SPOOK：用稀疏像素优化探测视觉编码器的流形外失效
arXiv 论文 SPOOK 提出在空白画布上用像素级爬山法做稀疏像素编辑，在黑盒设置下探测视觉编码器的表征几何。
安全paper推荐指数5555 arXiv论文受控对比LoRA与全参数微调在提示安全分类上的表现
arXiv:2610.33813 论文在匹配的 400M 编码器-解码器模型（Ettin）上受控对比 LoRA 与全参数微调用于提示安全分类，跨三种任务格式、每组最多 15 个随机种子并采用预设分析。
arXiv推荐指数3030 Shuffled Differential Privacy 下稀疏线性回归的误差下界与两轮交互算法
论文证明任何非交互式 (ε,δ)-SDP 协议在稀疏线性回归上都存在 Ω(√(dk)/(nε)) 的 ℓ₂ 估计误差下界，揭示固有的维度障碍。为此提出两轮交互式用户级算法，先用 heavy hitter 步骤恢复支撑集再估计参数，误差为 Õ(√(k/(nm)) + k/(n√m·ε))，对维度 d 无多项式依赖。
arXiv推荐指数4141 KrishokTech：带显式授权控制的孟加拉语农业咨询系统
KrishokTech 是一套孟加拉语农业咨询系统，在生成前后设置显式授权边界：检索前对高风险请求做规则准入检查并要求指明作物，生成后由验证器剔除缺乏 BARI/BRRI 证据支撑的剂量表述。
arXiv推荐指数4141 Quantum Cadence：面向多并发提议者的后量子共识协议
Quantum Cadence 提出一种完全不依赖法定人数证书的后量子共识协议，每个验证者仅统计自身收到的消息即可达成法定人数，其安全性与活性不依赖签名，仅附加签名以实现可追责性。
arXiv推荐指数5858 arXiv论文研究LLM模拟选民中的人口统计偏差与对齐策略
论文研究LLM在数字民主中模拟选民时的人口统计偏差，用三次美国总统选举数据对比闭源与开源模型对不同群体选票的还原准确度。结果显示从选民画像中移除性别可使模型最大群体误差降低22-42%，移除教育信息降低64%，而移除自述种族反而使平均群体误差上升超过40%，且均不降低整体准确率；重复查询或公平性指令等常见对齐策略无法减少这些误差，甚至可能使其翻倍。
arXiv推荐指数3838 车联网联邦学习的 clean-label 投毒攻防博弈：特征空间攻击与特征一致性重标注防御
arXiv 论文提出车联网联邦学习（FL）中 Basic Safety Message（BSM）异常检测的特征空间 clean-label 投毒攻击，并配套特征一致性重标注防御。攻击将良性样本向恶意特征极值扰动、保持标签不变以降低类别可分性；防御检测并重标注可疑样本。博弈论框架分析攻防均衡，结果显示攻击随被控节点数扩展，而防御在不降低干净准确率的前提下压低攻击成功率、将均衡推向规避攻击区域。
arXiv推荐指数3838 AWARE：仅靠外部摄像头实现机器人异常检测的世界模型框架
AWARE 是一个仅通过外部摄像头监控、无需接入机载传感器即可检测异常的世界模型框架，在 240 条真实机器人起重机轨迹（含负载碰撞与电机退化）上，异常分类效果较最强基线提升 26%。其推断出的动力学参数可被解码以定位故障源，识别退化电机的准确率达 88%。该框架面向缺乏传感器或受安全协议限制无法接入的老旧关键基础设施硬件。
arXiv推荐指数5656 arXiv论文：LLM智能体网络中的合作行为追踪研究
论文以迭代囚徒困境（IPD）为框架，研究开源权重LLM从双人互动扩展到同质与异质网络时，个体合作是否转化为集体合作。研究发现合作行为对模型构成和细微语言变化高度敏感：能与相同模型合作的模型在混合群体中可能转向背叛；一个简单的不确定性提示可增减合作、重新分配成本，并影响数跳之外未接触该提示的智能体；甚至调换动作标签顺序也会显著改变行为，不确定性框架有时会放大这种敏感性。
arXiv推荐指数4747 Natural Language Autoencoders：识别不等于解释——NLA 重建成功标准无法验证解释忠实性
arXiv 论文指出，Natural Language Autoencoders（NLA）以"verbalizer 将激活转为英文解释、reconstructor 再将解释还原为激活"的往返重建成功作为解释有效判据，但该判据只衡量信息是否足以识别激活，并不检验解释的描述忠实性。
arXiv推荐指数3838 为自动化合规检查开发安全度量指标
一篇发表于 IFIP SEC 2026 会议论文集的论文提出了一套基于本体（ontology）的安全度量指标开发方法，用于将安全标准中的文字性要求转化为可度量的技术属性。该方法包含一个基于合规要求系统化的安全度量数据模型，以及一套度量指标提取方法论，使指标在抽象程度上具备可比性。作者还展示了其开源工作的初步成果，验证了该方法对指标协作式开发的支持。
arXiv推荐指数3838 Identity Amortization：共享资源与 Sybil 攻击的成本
arXiv 论文提出 identity amortization（身份摊销）概念：当一项资源可支撑多个身份时，Sybil 防御按名义单价校准会低估攻击者成本，最多高估 Sybil 阈值成本达该资源可支撑的身份数。
arXiv推荐指数2828 面向闭环网络化控制系统的隐蔽盗用攻击迭代行为辨识框架
提出一个数据驱动的三阶段框架，让仅能截获输入输出数据的中间人（MITM）攻击者在满足无穷范数入侵检测系统（IDS）隐蔽性约束下，迭代辨识闭环网络化控制系统的被控对象行为子空间。
arXiv推荐指数5353 AquaSense-ICS：面向智慧水质监测与攻击检测的混合真实-仿真数据集与泄漏感知基准
论文发布 AquaSense-ICS 开源数据集与基准，将 Raspberry Pi 5 边缘节点 25.4 小时记录窗口（8.0 小时实录数据、26% 覆盖率。
arXiv推荐指数6060 StateMirror：执行前检测编码智能体幻觉工具调用
arXiv 论文提出 StateMirror，一种针对编码智能体幻觉工具调用的轻量级执行前检测器。研究对 4,398 条智能体轨迹的初步分析显示，这类幻觉普遍且代价高昂，恢复中位需额外 3 步交互和 22.4K tokens。
arXiv推荐指数4545 PPFLex：基于 MPC 的联邦学习隐私保护方法，抵御梯度引导矩阵标签推断攻击
研究发现，梯度引导的联邦学习优化方法共享的引导矩阵存在隐私漏洞，恶意服务器在 Dirichlet 标签分布下可从共享矩阵推断客户端标签集，准确率达 50% 至 84%。
arXiv推荐指数3838 模型检查器辅助 LLM 的自动化多行 Bug 修复：RISC-V 处理器案例研究
一项案例研究提出结合 LLM、断言与模型检查器 JasperGold 的自动化 RTL Bug 修复方法，在 BRISC-V RISC-V 处理器上通过变异测试实现最高 98% 的单行 RTL Bug 修复率和 93% 的多行 Bug 修复率。
arXiv推荐指数5151 arXiv论文：AI编码智能体规则的六周案例研究，探讨规则与检查的持久性
论文报告了一项为期六周的案例研究，作者维护一个纯 Markdown 仓库，由三个 AI 编码智能体在共享规则集下每日编辑，记录了 118 条智能体失败及其修复与复发情况。
arXiv推荐指数3838 组织隐私氛围在 GDPR 感知与隐私工程实践之间的中介作用
一项针对 156 名美国信息系统开发者的在线调查与结构方程建模研究发现，组织隐私氛围在开发者对 GDPR 重要性的感知与隐私态度之间起中介作用，进而影响其隐私工程实践。这一"法规—氛围—态度—实践"的中介链补充了法规对实践的直接效应，揭示了监管意图抵达工程行为的组织与态度路径，对下一代隐私与 AI 监管（如 EU AI Act）具有启示意义。
arXiv推荐指数7676 MCP-Injector 论文揭示工具调用 Agent 在真实 MCP 故障下的脆弱性，规模不提升容错
论文提出 MCP-Injector，一个协议感知的故障注入中间件，可插入 MCP 工具调用路径并注入永久、瞬时、间歇三类故障，其故障模型基于 1,774 个开源 MCP 仓库的 57,240 条 issue 与 PR 讨论校准。
arXiv推荐指数4747 超越覆盖率与变异分数：LLM 生成单元测试的盲区分析（提出 BlindSpotEval 与 ObligBench）
arXiv 论文提出基于行为义务的 LLM 生成单元测试评估框架 BlindSpotEval，含 Boundary-Value Adequacy、Control-Flow Adequacy、Oracle Strength 三项指标，并发布 Java 基准 ObligBench（895 个复杂函数 + 700 个低复杂度函数）。
arXiv推荐指数6969 NTBench：面向近目标提示词注入的 LLM 与智能体鲁棒性基准
论文提出近目标提示词注入（near-target prompt injection）这一攻击类别，指注入指令诱导的响应在保留合法答案主体的同时引入错误或有害改动，并发布评测集 NTBench。
arXiv推荐指数4747 基于条件自编码器的非线性概念擦除与表征引导框架
arXiv 论文提出一种基于条件自编码器的非线性概念擦除框架，在给定假设下证明完美重建与总体层面独立足以实现完美的非线性 guardedness，并在不使用目标任务标签的情况下，在多个数据集、敏感属性和语言模型上取得优于竞争方法（含其监督变体）的效用-擦除权衡，且优化更简单、收敛显著更快。该框架还能在推理时仅改变目标概念、零额外训练成本地实现概念转换（表征引导），这是此前擦除方法不具备的能力。
arXiv推荐指数3434 Punjabi Geet Toxicity Dataset (PGT-FG)：旁遮普语歌曲毒性细粒度多模态标注数据集
研究团队发布 Punjabi Geet Toxicity Dataset (PGT-FG)，一个面向旁遮普语歌曲毒性检测的段级多模态标注数据集，最终包含 392 首歌的 2,396 个片段，其中 705 个（29.42%）被标注为有毒。
arXiv推荐指数4747 CONSTRAINTDIAL：通过协议变异终身构建智能合约安全任务
arXiv 论文提出 CONSTRAINTDIAL 框架，通过协议变异终身构建智能合约安全任务，从 203 个公开案例构造 3,045 个任务输入，覆盖 detect、exploit、patch 三类。
安全paper推荐指数6060 基于 Petri 网监督控制的 LLM Agent 工具执行认证框架论文
arXiv:2610.31376 论文（作者 Chao Gu、Quanyan Zhu）将 LLM Agent 与工具之间的执行护栏形式化为 Petri 网监督控制问题，用 token 表示能力、审批与预算，使前置条件缺失或已消耗的注入请求被机械拒绝。