SecureGARD给工具调用加语义闸门：三个基准、两种骨干上观测攻击成功率均为0%
工具型大模型智能体把模型输出变成真实操作，间接提示注入因此成为执行安全问题。SecureGARD在规划与工具执行之间插入一层可执行本体，把异构工具调用归一到共享的语义动作，再结合当前任务状态判定为就绪、等待或禁止。在AgentDojo、ASB与AgentDyn的良性及间接注入设置下，两种骨干上的观测攻击成功率均为0%，受攻击时的任务效用优于所比较的基线。
工具名对、参数被换：BiCP在922例固定回放上把已确认注入攻击从83/682压到0/682
工具调用型语言模型智能体可能选对工具却执行被注入的参数，而现有反事实防护在评分时保留已含注入决策的推理前缀，会丢失来源敏感性。BiCP在执行前去掉当前步推理前缀，同时用工具名目标和完整调用目标做双轴探测，并按操作风险路由。在922例固定回放上，完整方法把已确认的InjecAgent攻击从83/682降到0/682、不安全条件执行从33/240降到0/240，良性任务成功从66/120升到78/120。
注入探针其实在认对话位置：换成同位置干净对照后，误报从八成降到一成七
线性探针此前靠对话位置和文本长度就能在标准评测里拿到0.91–0.98 AUROC，把同一时刻的干净对照和无害仿写加入训练后，六个开源模型上对无注入对话的误报从41–80%降到4–27%。
工具智能体的鲁棒性测试先查任务是否被改：同一批轨迹重打分，Mistral 的受攻击任务从 64 降到 26
工具智能体的鲁棒性测试改用可执行任务契约，在智能体运行前判定改动后的用例是否仍是同一任务；对同一批 14,336 条已存轨迹重新打分后，Mistral 在 MiniLM 余弦阈值下被记为受攻击的任务从 64 个降到 26 个。
硬件位翻转不再只毁一次生成：智能体闭环里能自我纠错，代价是输出词元多出38%
随机两位权重故障注入智能体执行后，模型级损坏会变成系统级结果：智能体可从畸形工具调用中恢复并完成任务，但故障执行的平均输出词元增加38.0%，个别故障还会改变安全与对齐行为。
ASPIRE 用行为图与探索-利用双专家发现智能体提示注入漏洞，在 AgentDojo 上达到 54.1% 攻击成功率
ASPIRE 是一个面向 LLM 智能体的开放式提示注入红队框架，它维护一张不断演化的智能体安全行为图，用探索与利用两类专家提出以后果为中心的测试骨架，再由实现器生成具体注入载荷与触发查询，并用轨迹证据更新图与跨运行策略记忆；在 AgentDojo 与 AgentDyn 上，它把攻击成功率提升到最高 54.1%，同时覆盖更多后果、注入方法、环境与行为路径。
同一份零：VAL 分级框架显示相同 ASR 背后是不同保证，VAL 引导栈在 0.000 攻击成功率下保持 1.000 良性成功率
作者将验证自主等级（VAL，L0 至 L5）应用于 22 项 LLM 智能体安全防御，并在等预算下对比 VAL 引导栈（确认门 + schema 沙箱）与主流直觉栈（提示加固 + 关键词过滤），在 50 个场景、12 种攻击变体及自适应/白盒/PAIR 升级下发现：VAL 栈在 1.000 良性成功率下保持 0.000 攻击成功率，而直觉栈虽达 0.000 ASR 却使全部良性动作失效，且在攻击面加硬的测试台上其零值漂移（0→1.9%→6.2%），VAL 栈则在其 ODD 内保持（0→0→0），唯一突破为已披露的 ODD 外口令缺口（0.5%）。
安全路由评测在分布偏移下失真：选择成本可达路由全部收益，且攻击者可压低模型识别率19.6分
该工作量化了安全路由基准中“在评测数据上挑选最佳单模型作为对照”所带来的选择成本：在 HELM Safety 上随机划分时为 0.003–0.030、留出类别时为 0.045–0.113，与归因于路由的全部差距相当，在 AgentDojo 留出套件时上升七到九倍；按偏移诚实评分后路由收益很小，并发现攻击者若知道所面对模型可将 GPT-5.4 的判定识别率压低 19.6 分。
已读完全部报道