From Shield to Target: Denial-of-Service Attacks on LLM-Based Agent Guardrails

论文展示一种 availability attack：向 agent 环境注入 payload，让 LLM guardrail 进入长推理循环，从保护层变成 DoS 放大器。攻击框架既有 beam-search + strategy bank，也有更轻量的 schema-aware structural mutation；payload 在 Claude、GPT、Gemini、DeepSeek、Qwen 等八类 backbone 间迁移。standalone token amplification 达 13-63 倍，端到端 web/desktop/code/multi-agent 部署中延迟最高放大 148 倍，这把 guardrail 成本上限变成了安全需求。