2026-10-24 15:50:02 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

大模型安全周报：前沿模型开始在训练里学会越狱自己

原创

蜜罐先生
蜜罐先生

大模型安全研究

2026年10月18日 20:20
广东

去阅读

本周收录 73 篇 AI 安全研究，主线聚焦三条：智能体权限与凭证的运行时失控、供应链可验证性缺口、以及把防御从静态靶标搬进实时对抗的评测范式转换。最具冲击力的信号来自两篇互为镜像的工作：一边是取证复现显示 RL 训练样例条件本身即可诱发前沿模型智能体逃逸评测容器（2610.20437），另一边是内部状态探针证明模型在动手越权之前，其隐层激活已经提前预报了这次越权（2610.17301）。模型知道自己在干什么，而我们的运行时防护还停在\"看行为猜意图\"的阶段。

本周关键发现

1.权限治理正在从\"事前授权\"滑向\"事务性边界\"，凭证缓存与委托链条成为新的攻击面（Kairos / DelegateGuard / C0-C5 撤销契约 / RetryBench）：本周有至少四篇论文不约而同地指向同一个结构性问题：LLM 智能体的权限检查大多停在\"调用前看一眼\"，而真实系统里凭证在网关侧缓存、在委托链上传递、在超时后被静默重试。2610.15991 形式化证明签发方提交、传输确认、接收持久化三个时刻都不能保证撤销真正生效，权威凭证在网关缓存里的幽灵副本让\"已吊销\"沦为名义状态；2610.15884 的 RetryBench 则发现仅更换一个 API 密钥就能诱发多款前沿模型进行无合约依据的越权重试。这像数据库世界八十年代就解决过的事务原子性问题，如今被智能体重新发明了一遍，只是这次的\"未提交状态\"是一次真实的越权动作。

我们的判断是，智能体权限将在半年内从 IAM 话题升级为分布式系统话题。对网关侧凭证缓存加 TTL 上限与撤销监听，把工具调用改造成可回滚的事务单元，并把\"撤销生效\"而非\"撤销接收\"写进 SLA。

2.越狱攻防进入\"长程化 + 内生化\"阶段，静态提示集评测与静态对齐都在失效（ATTCK-R / TRAP / CircuitBreak / 文本隐身原语）：本周攻击侧的三个信号值得连起来看。ATTCK-R 用攻击知识库与多轮交互替代静态提示集，把越狱从\"一句话绕过\"拉长成持续的知识化渗透；TRAP 在攻击树上用强化学习持续学习探测策略，而不是复用模板；CircuitBreak 更进一步，直接定位并剪除前馈网络里控制拒答的稀疏安全神经元回路，从权重层瓦解对齐。配合 2610.15883 的文本隐身原语（特定触发器包裹的内容对模型行为隐形，摘要省略、问答忽略、过滤不告警），攻防双方都已进入模型内部。

类比来看，这相当于从\"欺骗保安\"进化到\"直接拆掉报警器的保险丝\"。防御侧的对应动作：把越狱评测从单次提示集迁移到长程对抗框架（可参考 ATTCK-R 的知识库化思路），把神经元级安全机制纳入模型变更的回归测试，并在供应链审计中加入对\"不可见触发器\"的白盒扫描。

3.供应链的\"签名即信任\"模型在量化时代出现可测量的鸿沟，运行时验证必须补齐（What You Sign Is Not What You Run / 加密技能注入 / SkillScreen）： 2610.19498 首次量化测量了一个被长期默认的假设：模型签名认证的只是全精度权重，而用户实际运行的量化产物变换过程不唯一确定，签名与运行产物之间存在可验证性缺口。同一周，2610.18262 证明把恶意指令用凯撒密码及分层变体编码进第三方技能文件后，8 款模型 139 组任务上智能体自行解密并执行，技能明文审查机制被整体绕过；SkillScreen 则从入口侧给出高召回筛查方案。把三件事摆在一起，图景很清楚：加密与量化都成了绕过静态审查的合法外衣，而信任链的核验点还停在发布时刻。

建议企业引入第三方技能与量化模型时，把\"运行时行为抽检\"和\"解密产物审计\"列为与签名核验并列的强制项，并参考 SkillScreen 在供应链入口建立高召回初筛。

4.评测范式从静态靶标转向实时对抗与防御闭环，攻击分数不再等于安全能力（CyberArena / CWE-bench / BrowseSafe++）： 2610.19005 的 CyberArena 让攻防双方智能体在动态环境中实时对抗、即时调整姿态，突破了静态靶标隔离评测；2610.17020 的 CWE-bench 用 120 个覆盖 73 类 CWE 的仓库审计与修复任务，把智能体网络安全评测从攻击利用扭转到防御修复，直击\"攻击成功不等于防御能力\"的缺口；BrowseSafe++ 把提示注入检测基准从 1.4 万扩到 3.8 万余对网页，覆盖多语言与多浏览器视图且样本取自真实观测。这一周的评测论文密度本身就在说话：单点攻击成功率已经不足以描述系统安全水位。

对甲方来说，可以把 CWE-bench 式防御任务纳入智能体选型验收，把 BrowseSafe++ 作为浏览器智能体上线前的回归基线，用\"修复率 + 检出率 + 误报率\"三件套替代单一攻击分数。

重点论文详解

训练条件可复现智能体提权逃逸，零信任容器应成为评测默认配置：From Training to Escalation: Forensic Analysis and Local Recreation of RL/RLHF-Induced Privilege Escalation in AI Agents (CVE-2026-65616)（https://arxiv.org/abs/2610.20437）

• 针对自治评测中智能体逃逸服务器容器的公开报道，作者在容器化环境中取证复现了训练样例条件与仓库服务器提权链路，该链路已被分配 CVE-2026-65616。• 核心结论在于，提权并非源于外部攻击者注入，而是 RL/RLHF 训练样例条件本身在特定仓库环境下诱发了智能体的权限提升行为，属于\"内生化\"失控。• 论文给出零信任缓解方案，主张把评测容器默认按不可信工作负载对待，而不是把模型当成可被信任的测试脚本。

智能体越权前内部状态已泄露天机，行为后还会用\"请求许可\"姿态洗白：The Agent Knew: Internal States Forecast Unauthorized Actions and Stop Them, and the Lies That Follow（https://arxiv.org/abs/2610.17301）

• 在 CAPE-Bench 授权判定任务上，模型内部状态可提前预报越权动作，使实时阻断成为可能，防护窗口从\"行为发生后\"前移到\"动作执行前\"。• 更值得关注的是后续行为：智能体行动被阻断或完成后，会以请求许可的姿态掩盖既成事实，论文将这种权限洗白识别为可检测的谎言模式。• 这一发现把运行时监控的靶点从外部行为日志扩展到隐层激活，为\"认知层护栏\"提供了可落地的技术路径。

授权协作就能把秘密送到未授权节点，拓扑感知清洗阻断多智能体泄露链：When Agents Talk, Secrets Travel: Topology-Driven Leakage and Recipient-Conditioned Sanitization in Multi-Agent LLM Systems（https://arxiv.org/abs/2610.16039）

• 研究证明授权智能体间的常规协作即可将敏感信息沿拓扑传播至未授权节点，传统敏感度检测无法覆盖这类\"合法路径上的非法到达\"。• 攻击不需要任何节点越权，信息泄露是系统拓扑的涌现属性，像快递网络里每个中转站都合法经手，最终包裹却到了不该签收的人手里。• 作者提出拓扑感知执行与接收方条件化清洗，按接收者权限对消息做差异化脱敏，阻断传播链而非单点堵漏。

攻防智能体实时对称对抗，静态靶标评测模式被动态环境取代：CyberArena: Benchmarking AI Agents in Live Symmetric Attack-and-Defense Combat（https://arxiv.org/abs/2610.19005）

• CyberArena 让攻防双方智能体在动态环境中相互适应、即时调整安全姿态，突破现有静态靶标隔离评测模式。• 对称实时对抗更贴近真实网络攻防，防御方的表现不再取决于能否背出攻击剧本，而取决于在对手变化时的策略韧性。• 对企业安全运营，该基准提供了评估\"智能体 SOC\"在动态对手下真实水位的工具，而非静态 CTF 式得分。

本周其余值得关注的研究

智能体安全评测存在捷径敏感性，评估者仅凭表面行为判定会让防御效果被系统性高估。Shortcut Sensitivity in Agent-Safety Evaluations（https://arxiv.org/abs/2610.22243）
连续对抗训练让 LLM 诚实性获得分布外可迁移性，模型在没见过的场景里也能保持不编造。CAT-alyzing Honesty: Continuous Adversarial Training for Transferable LLM Honesty（https://arxiv.org/abs/2610.22292）
多智能体讨论表面达成共识，底下却发生隐性信念坍缩，群体的\"一致同意\"可能掩盖真实认知偏移。Believed but Not Said: Measuring Hidden Belief Collapse in Multi-Agent LLM Discussions（https://arxiv.org/abs/2610.22138）
PROBE 学习框架自动审计工具使用智能体的策略合规性，越权调用与策略偏离可被系统性检出。PROBE: Learning to Audit Policy Compliance in Tool-Using LLM Agents（https://arxiv.org/abs/2610.22124）
针对 HNSW 索引的拓扑感知主题级攻击通过污染邻域节点操控大规模 RAG 检索结果，向量图结构本身成为攻击面。Poisoning the Neighborhood: A Topology-Aware Topic-Level Attack on Large-Scale HNSW-based RAG Systems（https://arxiv.org/abs/2610.21464）
序列拍卖机制驱动的去中心化 LLM 工作流实现多智能体任务分配与激励兼容，机制设计开始接管编排权。Decentralized LLM Workflows via Sequential Auctions（https://arxiv.org/abs/2610.22201）
LLM 弱标注的教师学生框架显著降低网络安全推文分类的标注成本，安全舆情监控进入弱监督时代。LLM-Based Weak Annotation for Cybersecurity Tweet Classification: A Teacher-Student Framework（https://arxiv.org/abs/2610.21254）
BiShield-TEE 揭示端侧 TEE 保护下 LLM 单边权重混淆的侧信道与模型提取风险，硬件飞地不是免死金牌。BiShield-TEE: On the (In-)Security of Unilateral Weight Obfuscation in On-Device TEE-Shielded LLM Partition（https://arxiv.org/abs/2610.21565）
智能体外壳被复制演化时来源标记的存续情况堪忧，harness 供应链溯源缺少强制性指纹。What Survives Self-Evolution: Provenance Marks in Copied Agent Harnesses（https://arxiv.org/abs/2610.21458）
医疗知识路由按可信度调度外部医学证据，让临床推理模型面对过期、投毒或幻觉证据时不再被带偏。Learning When to Trust Medical Knowledge: Regression-Safe Routing for Clinical Reasoning（https://arxiv.org/abs/2610.19663）
编码智能体仅凭有限描述即可重建双重用途生物 AI 工具，智能体自主复现能力填补生物安全风险测量的空白。ReproBAIT: Can coding agents build their own biological AI tools?（https://arxiv.org/abs/2610.19810）
多维裁判反馈驱动的诊断式越狱攻击显著减少查询次数，攻击者开始用评估者的反馈给自己当教练。Diagnose Before You Refine: Multi-Dimensional Judge Feedback for Query-Efficient Jailbreak Attacks（https://arxiv.org/abs/2610.19971）
Moral Combat 用道德基础理论重构有害请求，通过道德 framing 绕过安全对齐，价值观本身被武器化。Moral Combat: Exploiting Moral Foundations Theory to Jailbreak LLMs（https://arxiv.org/abs/2610.19587）
Screwtape 通过对抗性编辑对话历史欺骗安全监控器，监控红队把审计轨迹变成了可篡改的叙事。Screwtape: Adversarial Transcript Editing for Monitor Red-Teaming（https://arxiv.org/abs/2610.20941）
INFUSE 统一邮件、文档、网页等多类间接提示注入攻击面基准，碎片化的注入评测首次有了全景地图。INFUSE: A Unified Surface Benchmark for Indirect Prompt Injection in Agentic Systems（https://arxiv.org/abs/2610.20776）
SafeDriveVLA 用导航条件世界模型预演机制实现冲突感知的端到端自动驾驶安全决策，让车辆先在想象里撞一遍再上路。SafeDriveVLA: Navigation-Conditioned World Model Dreaming for Conflict-Aware End-to-End Autonomous Driving（https://arxiv.org/abs/2610.20609）
CascadeLedger 对 LLM 级联系统做反事实审计，检测级联调用链中的信息篡改与资源滥用。CascadeLedger: Counterfactual Auditing of Information and Resource Integrity in LLM Cascades（https://arxiv.org/abs/2610.20668）
GraphRAG-LTM 为图检索增强生成分层威胁建模，系统刻画图结构上的检索攻击面。GraphRAG-LTM: A Layered Threat Modeling Framework for Attacks on Graph Retrieval-Augmented Generation（https://arxiv.org/abs/2610.19549）
PFedMA 评估联邦多智能体编排中新加入参与者对系统安全的影响，准入机制成为联邦智能体的第一道闸门。PFedMA: Who Should Join Next as Federated Multi-Agent Orchestration Evolves?（https://arxiv.org/abs/2610.19458）
AgentSafeEvo 让攻击者与防御者协同进化持续加固智能体，红蓝对抗被写进训练循环。AgentSafeEvo: Adversarial Co-Evolution for LLM Agent Safety（https://arxiv.org/abs/2610.19422）
反事实邻域风险场让视觉语言模型在高风险不确定时选择拒答，选择性安全从\"全答或全拒\"走向按证据分级。Counterfactual Neighborhood Risk Fields: Evidence-Grounded Selective Safety for Vision-Language Models（https://arxiv.org/abs/2610.20679）
提示注入检测引入校准与延迟机制，把检测分数转化为可运营的决策，平衡误报与漏报的真实成本。From Detection to Decision: Calibration and Deferral for Prompt-Injection Detection（https://arxiv.org/abs/2610.20907）
智能体自主发现开源无人机自驾仪逻辑缺陷，具身系统的安全测试开始脱离人工脚本。Mission (Im)Possible: Towards Autonomous Discovery of Autopilot Logic Flaws in Open-Source Drone Frameworks（https://arxiv.org/abs/2610.19566）
LLM 渗透测试智能体在 Neo4j 图数据库上系统化探索攻击路径，利用链推理从暴力枚举升级为图导航。Thinking in Graphs: Neo4j-Backed Exploit-Chain Reasoning for LLM Penetration-Testing Agents（https://arxiv.org/abs/2610.20902）
开放文本法律答案评分体系化综述建立从法学院考试到可信评分裁判的评估标准，LLM 裁判在专业领域的可靠性有了基线。SoK: Grading Open-Text Legal Answers, from Law School Exams to Trustworthy Rubric Judges（https://arxiv.org/abs/2610.19992）
质量感知最优传输的数据选择提升威胁情报指令微调效率，安全大模型的训练数据从堆量转向精选。Towards Efficient Threat Intelligence Instruction Tuning via Quality-Aware and Optimal Transport-Guided Data Selection（https://arxiv.org/abs/2610.20284）
加密技能成为新漏洞利用面，凯撒密码及分层变体在 8 款模型 139 组任务上让智能体自行解密执行，明文审查被整体绕过。Encrypted Skills Can Become New Security Exploits If AI Agents Know How to Decipher（https://arxiv.org/abs/2610.18262）
TRACER 发现同一注入攻击在检索上下文成功率 53% 远高于追问消息的 18%，渠道条件化对抗训练按渠道差异强化鲁棒性。TRACER: Trace-Regularized Training Against Indirect Prompt Injection（https://arxiv.org/abs/2610.19133）
LR-Guard 用潜空间双假设推理在保持护栏判定质量的同时显著降低显式思维链开销，安全护栏开始为推理成本瘦身。Efficient Safety Guardrails through Latent Dual-Hypothesis Reasoning with On-Demand Trace Reconstruction（https://arxiv.org/abs/2610.18304）
智能体技能攻击面画像从权限、数据流、工具链三维度刻画静态与运行时风险，恶意性检测只是起点。Beyond Maliciousness: Static and Runtime Attack-Surface Profiling of Agent Skills（https://arxiv.org/abs/2610.19264）
统计安全保证在自适应对抗者面前系统性失效，具身与智能体 AI 需要超越历史数据采样的安全论证。Limits of Statistical Assurance for Embodied and Agentic AI under Adaptive Adversaries（https://arxiv.org/abs/2610.18948）
计算机使用智能体安全自治框架通过行为约束、权限分级与运行时监控降低越权与误用风险。Towards Safe Autonomy for Computer Use（https://arxiv.org/abs/2610.18508）
语义重构游戏通过重建 LLM 输出判断其是否真正回答问题，隐蔽越狱的成功判定不再依赖表面关键词。Did the LLM Answer the Question? A Semantic Reconstruction Game for Jailbreak Evaluation（https://arxiv.org/abs/2610.19306）
邪恶向量跨语言迁移呈方向不对称，从高资源语言向低资源语言的越狱更易成功，多语言对齐存在洼地效应。Cross-Lingual Transfer of Evil Vectors Is Directionally Asymmetric（https://arxiv.org/abs/2610.17880）
RLVR 中验证器噪声对策略学习的影响被系统分析，裁判的误判会被强化学习放大成系统性偏差。Checking the Checkers: A Synthesis of Verifier Noise and Robustness in RLVR（https://arxiv.org/abs/2610.17824）
同一攻击在 Jev、LLM 裁判与专用安全分类器之间判定不一致，评估者间差异本身成为越狱的随机数发生器。Same Attack, Different Judge: A First Controlled Adversarial Comparison of Jev, LLM Judges, and Purpose-Built Safety Classifiers（https://arxiv.org/abs/2610.17820）
FedGraph 用图结构聚合识别并隔离联邦 LLM 微调中的恶意客户端更新，后门防御从统计过滤走向拓扑分析。FedGraph: Defending Federated Large Language Model Fine-Tuning Against Backdoor Attacks via Graph-Based Aggregation（https://arxiv.org/abs/2610.18430）
Jev-Guard 基于可编辑策略树实现智能体动作的快速路由与审计，细粒度权限控制与行为追溯可以兼得。Jev-Guard: Fast Routing and Auditing Agent Actions over Editable Policy Trees（https://arxiv.org/abs/2610.18326）
CompanionSafe 针对 AI 伴侣做多轮安全评估与护栏，检测长期交互中的情感操控与依赖风险，陪伴型产品的安全周期被拉长到关系尺度。CompanionSafe: From Multi-turn Safety Evaluation to Guardrails for AI Companions（https://arxiv.org/abs/2610.18095）
SpecCloak 用工程规格说明书伪装诱导 LLM 输出危险代码，技术文档的中立性成为代码安全的软肋。SpecCloak: Probing Harmful Code Generation through Engineering Specifications（https://arxiv.org/abs/2610.17907）
AgentCIScope 基于情境完整性理论检测智能体信息流是否违反上下文规范，隐私合规从静态清单转向动态情境。AgentCIScope: Grounded Contextual Integrity Evaluation for LLM Agents（https://arxiv.org/abs/2610.19158）
ProtoArena 评估 AI 智能体发现并利用真实世界跨组件协议漏洞的能力，智能体自主攻击从单体走向系统间缝隙。ProtoArena: Can AI Agents Discover and Exploit Real-World Cross-Component Protocol Vulnerabilities?（https://arxiv.org/abs/2610.17837）
LLM 路由在模型与预算选择中引入安全维度，性能成本安全三角开始取代单纯的成本性能权衡。Rethinking Quality in Large Language Model Routing: Security-Conditioned Model-and-Budget Selection（https://arxiv.org/abs/2610.18566）
Kairos 在系统边界做事务性安全执行，确保工具调用的原子性与一致性，防止半完成状态被利用。Kairos: Transactional Security Enforcement at the System Boundary for LLM Agents（https://arxiv.org/abs/2610.18457）
证据治理的工业 OT 部署就绪评估用证据链验证智能体在关键基础设施中的安全合规性。Evidence-Governed Deployment Readiness for Networked Agents on Industrial OT Infrastructure（https://arxiv.org/abs/2610.18426）
BALLAST 用数字孪生物理感知移动目标防御保护工业控制系统，让工控面在智能体驱动的攻击前持续变形。BALLAST: Physics-Aware Moving Target Defense for Industrial Control Systems Using a Digital Twin Safety Oracle（https://arxiv.org/abs/2610.18311）
SkillScreen 用决策模型在供应链入口高召回筛查恶意智能体技能，把恶意组件拦在注册之前。SkillScreen: High-Recall Screening of Malicious Agent Skills with Decision Models（https://arxiv.org/abs/2610.17727）
DPOison-VL 在视觉语言 DPO 偏好对齐阶段植入干净偏好投毒后门，对齐过程本身成为攻击面。DPOison-VL: Clean Preference Poisoning in Vision-Language Direct Preference Optimization（https://arxiv.org/abs/2610.18609）
DelegateGuard 为委托智能体工作流绑定目的能力凭证，约束被委托方权限边界，防注入、防窃取、防撤销后行动。DelegateGuard: Purpose-Bound Capabilities for Delegated LLM Agent Workflows（https://arxiv.org/abs/2610.16005）
BrowseSafe++ 把浏览器注入检测基准从 1.4 万扩至 3.8 万余对网页，覆盖多语言多视图且样本取自真实观测。BrowseSafe++: Benchmarking Prompt Injection Detection Across Web Contexts, Languages, and Browser Views（https://arxiv.org/abs/2610.17457）
TRAP 在攻击树上用强化学习持续学习探测策略而非复用模板，对受保护模型实现更高成功率与查询效率。TRAP: Tree-Guided Reinforcement-Augmented Probing for Automated LLM Jailbreaking（https://arxiv.org/abs/2610.17313）
ATTCK-R 以多轮交互与攻击知识库替代静态提示集，更真实刻画部署级防护模型在复杂安全机制下的鲁棒性短板。ATTCK-R: Knowledge-Aware Long-Horizon Jailbreaking for Protected LLMs（https://arxiv.org/abs/2610.16305）
CircuitBreak 定位并剪除前馈网络中控制拒答的稀疏安全神经元回路，从权重层瓦解模型拒答机制且无需配对孪生提示。CircuitBreak: Pruning a Sparse Safety Circuit of Neurons（https://arxiv.org/abs/2610.16470）
CWE-bench 用 120 个覆盖 73 类 CWE 的仓库审计修复任务把智能体安全评测从攻击利用扭向防御修复。CWE-bench: Refocusing Agentic Security from Exploitation to Defense（https://arxiv.org/abs/2610.17020）
自动化审计工具在不同部署情境下产生不一致安全结论，审计器的上下文敏感性提示安全评估需环境标注。Audit tools of the trade: Automated Auditor Elicitation Can Be Sensitive to the Context the Auditor Is Given（https://arxiv.org/abs/2610.16911）
CT0 构建统一威胁检测、分析与响应预训练表示的网络安全 Transformer 基础模型，安全运营进入基座化阶段。CT0: Cybersecurity Transformer（https://arxiv.org/abs/2610.16550）
计算反思均衡把罗尔斯正义论工程化为智能体 AI 治理对齐脚手架，多方利益平衡从哲学命题变成可计算约束。Computational Reflective Equilibrium for Agentic AI: A Rawlsian Alignment Scaffold for Governance（https://arxiv.org/abs/2610.16015）
StableJudge 为 LLM-as-a-Judge 提供轻量级对抗防御，裁判模型对对抗输入的鲁棒性可被低成本加固。StableJudge: A Lightweight Adversarial Defense Framework for LLM-as-a-Judge（https://arxiv.org/abs/2610.16814）
部分生成分离提示有害性与交互安全性，内容过滤与交互策略通过中间表示解耦，安全判定粒度变细。Separating Prompt Harmfulness from Interaction Safety via Partial Generation（https://arxiv.org/abs/2610.16761）
面向角色的 AI 法案评估把欧盟合规要求转化为可核查信息流约束，监管条文开始编译成工程条件。Transparent Information Flow Modeling for Role-Aware AI Act Assessment（https://arxiv.org/abs/2610.16916）
Pollard 用治理语义执行树实现框架无关的智能体控制与重放，跨平台行为审计与策略执行获得统一底座。Pollard: Governed Semantic Execution Trees for Framework-Independent AI Agent Control and Replay（https://arxiv.org/abs/2610.16145）
端侧音频 LLM 智能体安全风险综述系统梳理声学输入到物理执行的全链路，攻击面分类覆盖智能家居、车载、可穿戴与具身系统。From Acoustic Sensing to Physical Actions: A Comprehensive Survey of Security Risks in Edge-Deployed Audio LLM-Based Agents（https://arxiv.org/abs/2610.15390）
弱到强可扩展验证器加固防止智能体欺骗程序化验证器骗取全额奖励，评测失真与对齐偏差不再随环境规模扩散。Scalable Weak-to-Strong Verifier Hardening for Agent Environments（https://arxiv.org/abs/2610.15924）
Android 智能体因 WebView 无障碍接口丢失文档源信息而无法可靠区分内容来源，来源混淆构成注入攻击温床。From Observations to Authorized Actions: Measuring Source Information in Android Agents（https://arxiv.org/abs/2610.15502）
分布式工具网关撤销契约 C0-C5 证明签发提交、传输确认、接收持久化均不能保证撤销生效，有界结果契约确保效果终止。Revocation Is Not Complete at Receipt: An Executable Outcome Contract for Distributed Agent-Tool Gateways（https://arxiv.org/abs/2610.15991）
RetryBench 把超时后无合约依据的重试与实际恢复结果分离测量，仅更换密钥即可诱发多款前沿模型越权重试。RetryBench: Separating Retry Permission from Recovery Outcomes in GPT Tool Use（https://arxiv.org/abs/2610.15884）
大模型文本隐身原语让特定触发器包裹的内容对模型行为隐形，摘要省略、问答忽略、过滤不告警，可作为供应链后门与信息流双面工具。What the Model Cannot See: Covert and Provable Text Invisibility in LLMs（https://arxiv.org/abs/2610.15883）