AgentSec references

References

索引：README。下列連結是從 01–10 自動彙整的；都在 2026-10-26 驗證過（arXiv 依標題核對，其餘依 HTTP 200 或內容核對）。

arXiv（68）

• https://arxiv.org/abs/2211.09527（03-arxiv-papers.md）
• https://arxiv.org/abs/2302.10149（03-arxiv-papers.md）
• https://arxiv.org/abs/2302.12173（01-principles.md）
• https://arxiv.org/abs/2306.05499（03-arxiv-papers.md）
• https://arxiv.org/abs/2307.02483（03-arxiv-papers.md）
• https://arxiv.org/abs/2307.15043（03-arxiv-papers.md）
• https://arxiv.org/abs/2309.15817（03-arxiv-papers.md）
• https://arxiv.org/abs/2310.02949（03-arxiv-papers.md）
• https://arxiv.org/abs/2310.03693（03-arxiv-papers.md）
• https://arxiv.org/abs/2310.12815（03-arxiv-papers.md）
• https://arxiv.org/abs/2311.00117（03-arxiv-papers.md）
• https://arxiv.org/abs/2312.06674（03-arxiv-papers.md）
• https://arxiv.org/abs/2312.14197（03-arxiv-papers.md）
• https://arxiv.org/abs/2312.17673（03-arxiv-papers.md）
• https://arxiv.org/abs/2401.05566（03-arxiv-papers.md）
• https://arxiv.org/abs/2401.10019（03-arxiv-papers.md）
• https://arxiv.org/abs/2402.06363（01-principles.md）
• https://arxiv.org/abs/2402.08567（01-principles.md）
• https://arxiv.org/abs/2403.02691（03-arxiv-papers.md）
• https://arxiv.org/abs/2403.02817（01-principles.md）
• https://arxiv.org/abs/2403.04957（03-arxiv-papers.md）
• https://arxiv.org/abs/2403.14720（03-arxiv-papers.md）
• https://arxiv.org/abs/2404.13208（01-principles.md）
• https://arxiv.org/abs/2406.11036（03-arxiv-papers.md）
• https://arxiv.org/abs/2406.11717（03-arxiv-papers.md）
• https://arxiv.org/abs/2406.12814（03-arxiv-papers.md）
• https://arxiv.org/abs/2406.13352（03-arxiv-papers.md）
• https://arxiv.org/abs/2407.12784（01-principles.md）
• https://arxiv.org/abs/2408.02946（03-arxiv-papers.md）
• https://arxiv.org/abs/2409.11295（03-arxiv-papers.md）
• https://arxiv.org/abs/2410.02644（03-arxiv-papers.md）
• https://arxiv.org/abs/2410.02828（03-arxiv-papers.md）
• https://arxiv.org/abs/2410.05451（03-arxiv-papers.md）
• https://arxiv.org/abs/2410.07283（01-principles.md）
• https://arxiv.org/abs/2410.09024（03-arxiv-papers.md）
• https://arxiv.org/abs/2411.02391（03-arxiv-papers.md）
• https://arxiv.org/abs/2502.05174（03-arxiv-papers.md）
• https://arxiv.org/abs/2502.08586（03-arxiv-papers.md）
• https://arxiv.org/abs/2502.17424（03-arxiv-papers.md）
• https://arxiv.org/abs/2502.20383（03-arxiv-papers.md）
• https://arxiv.org/abs/2503.00061（01-principles.md）
• https://arxiv.org/abs/2503.18813（01-principles.md）
• https://arxiv.org/abs/2503.23278（03-arxiv-papers.md）
• https://arxiv.org/abs/2504.03767（03-arxiv-papers.md）
• https://arxiv.org/abs/2504.11703（03-arxiv-papers.md）
• https://arxiv.org/abs/2504.18575（03-arxiv-papers.md）
• https://arxiv.org/abs/2505.14534（04-journals-industry.md）
• https://arxiv.org/abs/2505.23643（03-arxiv-papers.md）
• https://arxiv.org/abs/2506.01055（03-arxiv-papers.md）
• https://arxiv.org/abs/2506.08837（03-arxiv-papers.md）
• https://arxiv.org/abs/2508.14925（01-principles.md）
• https://arxiv.org/abs/2510.09023（01-principles.md）
• https://arxiv.org/abs/2607.08147（03-arxiv-papers.md）
• https://arxiv.org/abs/2610.09264（01-principles.md）
• https://arxiv.org/abs/2610.14488（03-arxiv-papers.md）
• https://arxiv.org/abs/2610.17301（01-principles.md）
• https://arxiv.org/abs/2610.18457（03-arxiv-papers.md）
• https://arxiv.org/abs/2610.18508（03-arxiv-papers.md）
• https://arxiv.org/abs/2610.22373（03-arxiv-papers.md）
• Sakib FA, Zhu Z, Uzuner O. The Model Knows Better: Defending Medical Multi-Agent Systems Against Prompt Injection. arXiv:2610.22594 [preprint]. 2026. https://arxiv.org/abs/2610.22594（醫療多智能體提示注入攻防；本研究第 7 比較條件）
• https://arxiv.org/abs/2610.22987（01-principles.md）
• https://arxiv.org/abs/2610.23078（03-arxiv-papers.md）
• https://arxiv.org/abs/2610.23254（01-principles.md）
• https://arxiv.org/abs/2610.24277（03-arxiv-papers.md）
• https://arxiv.org/abs/2610.24311（03-arxiv-papers.md）
• https://arxiv.org/abs/2610.24999（01-principles.md）
• https://arxiv.org/abs/2610.28425（01-principles.md）
• https://arxiv.org/abs/2610.31974（03-arxiv-papers.md）

Hacker News（20）

• https://news.ycombinator.com/item?id=35572290
• https://news.ycombinator.com/item?id=35925758
• https://news.ycombinator.com/item?id=35929122
• https://news.ycombinator.com/item?id=38251957
• https://news.ycombinator.com/item?id=40665721
• https://news.ycombinator.com/item?id=41302597
• https://news.ycombinator.com/item?id=41958550
• https://news.ycombinator.com/item?id=43733683
• https://news.ycombinator.com/item?id=44097390
• https://news.ycombinator.com/item?id=44250774
• https://news.ycombinator.com/item?id=44502318
• https://news.ycombinator.com/item?id=44846922
• https://news.ycombinator.com/item?id=45000894
• https://news.ycombinator.com/item?id=45387155
• https://news.ycombinator.com/item?id=45395957
• https://news.ycombinator.com/item?id=45553422
• https://news.ycombinator.com/item?id=45794245
• https://news.ycombinator.com/item?id=46048996
• https://news.ycombinator.com/item?id=49506819
• https://news.ycombinator.com/item?id=49853137

其他：規格、廠商、部落格、CVE、工具（64）

• https://ai.meta.com/blog/practical-ai-agent-security/（01-principles.md）
• https://alignment.openai.com/misalignment-reports/an-agent-used-dns-to-reach-an-external-chatbot/（05-blogs-hn.md）
• https://atlas.mitre.org/（02-threat-taxonomy-owasp.md）
• https://blog.trailofbits.com/2025/04/21/jumping-the-line-how-mcp-servers-can-attack-you-before-you-ever-use-them/（01-principles.md）
• https://brave.com/blog/comet-prompt-injection/（04-journals-industry.md）
• https://developer.nvidia.com/blog/practical-llm-security-advice-from-the-nvidia-ai-red-team/（04-journals-industry.md）
• https://docs.anthropic.com/en/docs/build-with-claude/computer-use（04-journals-industry.md）
• https://doi.org/10.1038/s41591-024-03445-1（04-journals-industry.md）
• https://doi.org/10.6028/NIST.AI.100-1（02-threat-taxonomy-owasp.md）
• https://doi.org/10.6028/NIST.AI.600-1（02-threat-taxonomy-owasp.md）
• https://embracethered.com/blog/（05-blogs-hn.md）
• https://embracethered.com/blog/posts/2023/google-bard-data-exfiltration/（05-blogs-hn.md）
• https://embracethered.com/blog/posts/2024/chatgpt-macos-app-persistent-data-exfiltration/（05-blogs-hn.md）
• https://embracethered.com/blog/posts/2024/claude-computer-use-c2-the-zombais-are-coming/（05-blogs-hn.md）
• https://embracethered.com/blog/posts/2024/m365-copilot-prompt-injection-tool-invocation-and-data-exfil-using-ascii-smuggling/（05-blogs-hn.md）
• https://embracethered.com/blog/posts/2025/github-copilot-remote-code-execution-via-prompt-injection/（05-blogs-hn.md）
• https://embracethered.com/blog/posts/2026/breaking-claude-code-opus-5-and-automode/（05-blogs-hn.md）
• https://firecracker-microvm.github.io/（08-defenses.md）
• https://genai.owasp.org/2025/12/09/owasp-top-10-for-agentic-applications-the-benchmark-for-agentic-security-in-the-age-of-autonomous-ai/（02-threat-taxonomy-owasp.md）
• https://genai.owasp.org/llm-top-10/（02-threat-taxonomy-owasp.md）
• https://genai.owasp.org/resource/agentic-ai-threats-and-mitigations/（02-threat-taxonomy-owasp.md）
• https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/（02-threat-taxonomy-owasp.md）
• https://generalanalysis.com/blog/supabase-mcp-blog（04-journals-industry.md）
• https://github.com/Azure/PyRIT（08-defenses.md）
• https://github.com/NVIDIA/NeMo-Guardrails（04-journals-industry.md）
• https://github.com/NVIDIA/OpenShell（04-journals-industry.md）
• https://github.com/NVIDIA/garak（04-journals-industry.md）
• https://github.com/meta-llama/PurpleLlama（04-journals-industry.md）
• https://github.com/promptfoo/promptfoo（08-defenses.md）
• https://gvisor.dev/（08-defenses.md）
• https://huggingface.co/blog/mlabonne/abliteration（05-blogs-hn.md）
• https://huggingface.co/meta-llama/Prompt-Guard-86M（04-journals-industry.md）
• https://invariantlabs.ai/blog/mcp-github-vulnerability（05-blogs-hn.md）
• https://invariantlabs.ai/blog/mcp-security-notification-tool-poisoning-attacks（01-principles.md）
• https://invariantlabs.ai/blog/whatsapp-mcp-exploited（04-journals-industry.md）
• https://lbeurerkellner.github.io/jekyll/update/2025/04/01/mcp-tool-poisoning.html（05-blogs-hn.md）
• https://modelcontextprotocol.io/docs/tutorials/security/security_best_practices（04-journals-industry.md）
• https://modelcontextprotocol.io/specification/2025-06-18/basic/authorization（04-journals-industry.md）
• https://modelcontextprotocol.io/specification/2025-06-18/basic/security_best_practices（08-defenses.md）
• https://nvd.nist.gov/vuln/detail/CVE-2025-32711（06-incidents.md）
• https://nvd.nist.gov/vuln/detail/CVE-2025-53773（06-incidents.md）
• https://nvd.nist.gov/vuln/detail/CVE-2025-54135（06-incidents.md）
• https://nvd.nist.gov/vuln/detail/CVE-2025-6514（06-incidents.md）
• https://promptarmor.substack.com/p/data-exfiltration-from-slack-ai-via（04-journals-industry.md）
• https://security.googleblog.com/2025/06/mitigating-prompt-injection-attacks.html（04-journals-industry.md）
• https://simonwillison.net/2022/Sep/12/prompt-injection/（01-principles.md）
• https://simonwillison.net/2023/Apr/14/worst-that-can-happen/（05-blogs-hn.md）
• https://simonwillison.net/2023/Apr/25/dual-llm-pattern/（05-blogs-hn.md）
• https://simonwillison.net/2025/Apr/11/camel/（05-blogs-hn.md）
• https://simonwillison.net/2025/Apr/9/mcp-prompt-injection/（05-blogs-hn.md）
• https://simonwillison.net/2025/Jul/6/supabase-mcp-lethal-trifecta/（05-blogs-hn.md）
• https://simonwillison.net/2025/Jun/13/prompt-injection-design-patterns/（05-blogs-hn.md）
• https://simonwillison.net/2025/Jun/16/the-lethal-trifecta/（01-principles.md）
• https://simonwillison.net/2025/Nov/2/new-prompt-injection-papers/（05-blogs-hn.md）
• https://simonwillison.net/tags/prompt-injection/（05-blogs-hn.md）
• https://storage.googleapis.com/deepmind-media/Security%20and%20Privacy/Gemini_Security_Paper.pdf（04-journals-industry.md）
• https://www.anthropic.com/engineering/claude-code-sandboxing（04-journals-industry.md）
• https://www.anthropic.com/research/agentic-misalignment（04-journals-industry.md）
• https://www.anthropic.com/research/prompt-injection-defenses（04-journals-industry.md）
• https://www.koi.ai/blog/postmark-mcp-npm-malicious-backdoor-email-theft（01-principles.md）
• https://www.legitsecurity.com/blog/camoleak-critical-github-copilot-vulnerability-leaks-private-source-code（04-journals-industry.md）
• https://www.promptarmor.com/resources/google-antigravity-exfiltrates-data（06-incidents.md）
• https://www.usenix.org/conference/usenixsecurity24/presentation/liu-yupei（04-journals-industry.md）
• https://www.usenix.org/conference/usenixsecurity25/presentation/chen-sizhe（04-journals-industry.md）

未能驗證而省略

• OpenAI 部落格、MSRC、aim.security（EchoLeak 原文）、ACM DL：回傳 403，因此不放連結；EchoLeak 改用 NVD 與 HN 佐證。
• 已剔除 ID 錯誤的 arXiv：2402.14423、2501.17463、2501.11173、2504.11152，以及原 #23 DataSentinel 的 ID。