大型语言模型（LLM）本质上是无状态的，因此 Web 导航 Agent 必须依赖外部记忆系统来维持跨交互的上下文连贯性。与 ChatGPT、Claude 等集中式系统将对话历史安全地存储在服务端不同，Agent 应用的记忆往往由客户端或第三方应用管理——这一安全边界的消失带来了严重的漏洞。此前已有研究证明，针对 ElizaOS 等金融 Agent 的上下文操纵攻击能够通过篡改存储历史来劫持推理过程

2026年6月，加密圈发生了一件极具讽刺意味的安全事件。那位曾经在以太坊上叱咤风云、包揽了全网约70% Sandwich攻击的“夹子王” Jaredfromsubway.eth，居然被反向洗劫了。攻击者前后部署了66个虚假代币合约，像钓鱼一样耐心布局数周，最终在一笔交易内卷走了其价值至少750万美元的WETH、USDC和USDT。今天让我们深入源码层面，看看这个价值750万美元的“坑”到底长什么样

LLM智能体系统凭借其强大的规划和推理能力，能够调用外部工具并与复杂环境交互。然而，这也引入了一个关键安全风险——间接提示注入（Indirect Prompt Injection）：攻击者将恶意指令注入智能体所交互的外部数据源（如网页评论、邮件、日历事件等），当智能体检索并处理这些外部数据时，恶意指令便会“欺骗”智能体执行攻击者指定的任务，而非原始的用户任务。黑盒特性：真实世界的智能体多为黑盒系统

LLM-based Agent的兴起让AI从“对话”走向了“行动”——它们不仅能回答问题，还能调用搜索引擎、读写文件、操作数据库、控制API接口。但正是这种“能做事”的能力，打开了全新的攻击面。一个传统的LLM如果被越狱，最多输出有害内容；但一个被攻击的Agent，可能真的会删除你的文件、转账你的资金、泄露你的隐私数据。然而，此前的安全评估工作大多各自为政：有的只关注对话场景下的提示注入，有的只研

当前主流的隐私评估基准（如AgentDojo、PrivacyLens、TOP-Bench等）几乎全部聚焦于最终输出审计——即检查智能体最终向用户返回的内容是否包含敏感信息。然而，在多智能体系统中，隐私泄露的“重灾区”恰恰在于智能体之间协调时产生的内部通信：智能体间消息（inter-agent messages）、共享内存（shared memory）、工具调用参数等通道，在现有框架中普遍缺乏默认的

多智能体LLM系统正在重塑企业工作流程——从医疗排班到金融合规再到法律取证。这些系统能够自主分解复杂任务、将子任务委派给专业智能体并协调结果。然而，当智能体协同完成任务时，敏感数据会通过智能体间消息、共享内存和工具参数等路径传递——这些路径恰恰是传统的仅输出审计（output-only audit）从未检查过的。研究团队在实际审计多智能体医疗工作流时发现了一个令人担忧的模式：一个排班智能体返回了符

功能类别具体能力测试状态基础功能代码分析与符号提取✅基础功能智能代码补全✅基础功能代码重构建议✅LLM 集成代码生成✅LLM 集成安全分析✅LLM 集成性能优化建议✅多语言✅这个测试项目不仅可以帮助你快速上手 UP Coding Agent，也可以作为后续开发中的参考模板。你可以根据实际需求，在此基础上扩展更多测试用例和示例场景。

LLM智能体通过结合文本推理与外部工具调用来解决复杂任务，但这一设计范式存在根本性的安全缺陷：LLM直接处理文本，缺乏区分“指令”与“数据”的形式化能力。提示注入攻击正是利用这一漏洞——攻击者将恶意指令嵌入第三方数据（如邮件正文、网页内容、API返回结果），当智能体通过工具获取这些数据时，恶意指令便可能劫持智能体的行为，执行攻击者指定的操作。现有基准测试要么局限于静态场景，要么依赖LLM模拟环境状

多代理大型语言模型（Multi-Agent LLM）系统正快速应用于企业工作流程，如医疗排程、金融合规与法律文件处理。这些系统能自主分解複杂任务、委派子任务给专门代理，并透过内部协调完成工作。然而，这带来：敏感资料可能在。而现有基准测试（如 AgentDojo、PrivacyLens 等）几乎都只关注最终输出（final output），无法捕捉这些「隐形」洩露。

随着LLM和VLM的快速发展，通用型Web Agent已能自主与真实网站交互并执行任务，在金融、医疗、电商等高风险领域展现出巨大潜力。然而，现有针对Web Agent的对抗性攻击研究存在明显不足：要么攻击成本过高、需要人工设计攻击提示；要么主要关注单一攻击场景，缺乏灵活性；而针对LLM/VLM的自动化攻击方法又难以在黑盒设置下实现有效的可转移性。因此，如何在仅拥有黑盒访问权限的条件下，高效、灵活且