代码仓库也会投毒：CodeSentinel 如何拦截 AI Coding 的间接提示注入
AI Coding 的安全边界正在扩展到代码上下文。CodeSentinel 提出三层防御框架，在代码进入 Code LLM 前，基于 CST 节点级检测拦截间接提示注入，平均 F1 达到 0.80，明显优于现有方案。
技术研究
安全技术与工程实践
关注安全防护、对齐技术与风险缓释方案的工程化应用。
6 大 AI 商业平台、1200 个 LLM 应用：系统提示词泄露率 80% 以上
浙江大学等团队测量了 6 个主流平台上的 1200 个 LLM 应用，所有平台系统提示词泄露率均超过 80%，揭示了 attention drift 这一根本性机制，并提出 AREA 防御方案。
普通漏洞，还是恶意载荷？PhantomSkill 揭示 Agent Skill 供应链新风险
6 月 17 日，中国台湾阳明交通大学 Yu-Ting Lin 和 Chia-Mu Yu 在 arXiv 提交了一篇关于 Agent Skill 供应链攻击的论文，题目是《PhantomSkill: Malicious Code Injection in Agent Skill Ecosystems》。
RAG 投毒进入模型层：当检索器参数开始操纵证据排序
6 月 16 日，山东大学联合清华大学发布了一篇 RAG 安全论文：《Conflict-Aware Retriever Editing for Knowledge Injection Attacks on LLM-Based RAG Systems》。这篇工作提出了 CareAttack，核心目标是修改 RAG 系统里的检索器参数，让攻击者指定的内容更稳定地进入 top-k 检索结果。
当 AgentOS 开始看屏幕：如何阻止手机截图成为隐私出口
一篇被 ECCV 2026 主会初步接收的工作，把移动端 Agent 的隐私风险推进到了一个更底层的位置：屏幕感知链路。这篇论文叫 DualTAP: A Dual-Task Adversarial Protector for Mobile MLLM Agents，讨论当 Agent 持续"看屏幕"时如何防止截图成为隐私出口。
PI-Hunter：自动猎杀 Agent 中潜伏的提示注入路径
6 月 10 日，Google Cloud AI Research、Google 和 Michigan State University 的研究人员发布论文《PI-Hunter: Automated Red-Teaming for Ingestion Path Discovery in LLM Agent Systems》，提出系统性发现 Agent 提示注入摄入路径的自动化红队框架。
Agent 的 7 类越界数据采集行为与防护方案
5 月 29 日，上海人工智能实验室联合东南大学发布论文《PrivacyPeek: Auditing What LLM-Based Agents Acquire, Not Just What They Say》。论文的核心问题：现有隐私评测大多关注 Agent 的最终回复，却忽略了敏感数据第一次进入 Agent 上下文的阶段——获取阶段隐私泄露。
一句话会拒绝，分几步就执行：工具型 Agent 的多轮安全风险
6 月 10 日，Northeastern University、Virtue AI、UC Berkeley、UIUC 等机构发布论文《Unsafer in Many Turns: Benchmarking and Defending Multi-Turn Safety of Tool-Use LLM Agents》，提出多轮工具型 Agent 安全基准 MT-AgentRisk 和防御方法 ToolShield。
RAG 投毒的六个影响因素与防御框架
6 月 9 日，Polytechnic of Porto、THALES SIX GTS 等机构研究者提交论文《Influence Factors on RAG Poisoning》。论文构建 432 组 RAG 配置，系统分析检索器类型、top-k、任务类型、多知识库、生成模型、chunk 参数六个因素对 RAG 投毒成功率的影响。
先模拟，再放行：SAIGuard 如何拦截多 Agent 系统中的风险级联
6 月 10 日，吉林大学联合香港中文大学（深圳）、澳大利亚 Griffith University 发布论文《SAIGuard: Communication-State Simulation for Proactive Multi-Agent System Security》。提出通信状态模拟防御框架，在消息进入真实系统前先做影子传播预测，通过 GNN 模拟多跳影响并检测系统偏差，实现多 Agent 通信级风险前置拦截。