当 Prompt 变成 SQL Payload：LLM 数据库 Agent 的三层防线
LLM-to-SQL 系统把 SQL 注入入口从参数前移到了 Prompt，本文解析一篇专门讨论这一风险的论文，提出三层防护框架：输入安全盾、威胁检测层和查询签名控制。
文章列表
全部文章
支持按专题与标签筛选，并切换最新或推荐排序。
Web Agent 也需要安全靶场：复旦 WebTrap Park 如何评测浏览器 Agent 风险
复旦大学联合上海创智学院提出 WebTrap Park，一个面向 Web Agent 的自动化安全评测平台，把安全评测从模型文本层推进到 Agent 真实动作层。
联邦学习也会被投毒：一个 PEFT Adapter 如何反推出客户端训练数据
NeuroImprint 提出一种面向联邦语言模型微调的隐私后门攻击，恶意服务器通过下发篡改的 PEFT Adapter，在客户端本地微调时悄悄记录训练数据，并在聚合后反推出超过 55% 的原始样本。
代码仓库也会投毒：CodeSentinel 如何拦截 AI Coding 的间接提示注入
AI Coding 的安全边界正在扩展到代码上下文。CodeSentinel 提出三层防御框架，在代码进入 Code LLM 前，基于 CST 节点级检测拦截间接提示注入，平均 F1 达到 0.80，明显优于现有方案。
6 大 AI 商业平台、1200 个 LLM 应用：系统提示词泄露率 80% 以上
浙江大学等团队测量了 6 个主流平台上的 1200 个 LLM 应用，所有平台系统提示词泄露率均超过 80%，揭示了 attention drift 这一根本性机制，并提出 AREA 防御方案。
普通漏洞，还是恶意载荷？PhantomSkill 揭示 Agent Skill 供应链新风险
6 月 17 日，中国台湾阳明交通大学 Yu-Ting Lin 和 Chia-Mu Yu 在 arXiv 提交了一篇关于 Agent Skill 供应链攻击的论文，题目是《PhantomSkill: Malicious Code Injection in Agent Skill Ecosystems》。
RAG 投毒进入模型层：当检索器参数开始操纵证据排序
6 月 16 日，山东大学联合清华大学发布了一篇 RAG 安全论文：《Conflict-Aware Retriever Editing for Knowledge Injection Attacks on LLM-Based RAG Systems》。这篇工作提出了 CareAttack，核心目标是修改 RAG 系统里的检索器参数，让攻击者指定的内容更稳定地进入 top-k 检索结果。
当 AgentOS 开始看屏幕：如何阻止手机截图成为隐私出口
一篇被 ECCV 2026 主会初步接收的工作，把移动端 Agent 的隐私风险推进到了一个更底层的位置：屏幕感知链路。这篇论文叫 DualTAP: A Dual-Task Adversarial Protector for Mobile MLLM Agents，讨论当 Agent 持续"看屏幕"时如何防止截图成为隐私出口。
PI-Hunter：自动猎杀 Agent 中潜伏的提示注入路径
6 月 10 日，Google Cloud AI Research、Google 和 Michigan State University 的研究人员发布论文《PI-Hunter: Automated Red-Teaming for Ingestion Path Discovery in LLM Agent Systems》，提出系统性发现 Agent 提示注入摄入路径的自动化红队框架。
Agent 的 7 类越界数据采集行为与防护方案
5 月 29 日，上海人工智能实验室联合东南大学发布论文《PrivacyPeek: Auditing What LLM-Based Agents Acquire, Not Just What They Say》。论文的核心问题：现有隐私评测大多关注 Agent 的最终回复，却忽略了敏感数据第一次进入 Agent 上下文的阶段——获取阶段隐私泄露。