SPARK：在 KV 记忆层对齐表征以防御视觉语言模型越狱

SPARK 是一个两阶段框架，通过在 prefill 阶段修复多模态 KV 记忆来降低视觉语言模型的越狱风险，且不修改推理时的模型参数。第一阶段用一次性诊断适配器定位多模态 key 和 value 表征中与危害相关的方向，第二阶段将这些方向投影剔除、学习轻量残差修复，并用图像结构先验锚定修复后的 key 以保持视觉接地。方法按 head 级系数混合修复与原始记忆，该系数由干预相关子空间能量决定，推理时无需显式危害分类器。

LLM 答案发布中的审批完整性与恢复机制研究

研究在 Lightcap 发布执行机制中检验精确内容绑定、授权新鲜度与检查点恢复，基于 RAGTruth 的 900 条人工标注回答、150 个源任务和三个带日期的 Ministral 模型，共产生 3,600 次评估。14B 生产响应检查器在 302 条无支撑标注答案中接受 291 条，直接基线仅接受 41 条，支持答案保留率分别为 95.2% 和 66.9%。在 65 条初始获批答案中，最终有状态复查恢复策略相对初始检查点使精确匹配错误增加 9.23 个百分点（95% 文章聚类区间 [-1.72, 19.61]）；BIPIA 提示注入实验中 266 个有效编辑器输出零目标插入。

综述提出面向工具调用 AI 智能体的授权架构

这篇综述针对工具调用 AI 智能体的授权问题，提出以人类用户、运营方、编排智能体、子智能体和工具端点构成的委托层级框架，并梳理五个相互依赖的层面：智能体身份与凭证生命周期、多跳链路上的委托与范围传播、策略执行点上的运行时执行与即时授权、作为授权绕过的提示注入，以及可审计性、溯源与不可否认性。作者从 2023 至 2026 年间约 180 篇候选文献中筛出 89 篇一手来源做结构化叙述性综述，据此提出七项结构性要求，推导出一套四层参考架构，并将这些要求应用到三种可部署的参考配置上。综述指出，运行时执行与聚合边界是当前最主要的未解决缺口。全文 70 页，含 8 张图和 10 张表。

用 cunning questions 训练 LLM 警觉性，将九组模型基准平均 ASR 从 17.40% 降至 15.05%

论文提出用 cunning questions 培养大语言模型的警觉性，这类问题不一定与安全相关，但包含误导性前提、非常规推理或细微不一致。作者假设学会识破这类推理陷阱可以迁移到安全关键场景。实验显示，Cunning 训练提升了对分布外越狱攻击的鲁棒性，并增强了后续安全微调的效果；将其加入现有最先进的安全对齐流程后，在九个骨干模型与基准组合上把平均 ASR 从 17.40% 降至 15.05%。匹配安全微调后的轨迹分析表明，安全判断更可能在有害规划开始前主导模型响应。论文还给出条件性理论分析，刻画从 cunning 数据学到的不变性何时能迁移到安全相关输入。

CaMeLoT：用 CTL 时序逻辑在执行前静态验证 Agent 计划

CaMeLoT 是面向工具调用型 LLM Agent 的提示注入防御方案，作为已有防御 CaMeL 的补充，在调用任何工具之前对 Agent 生成的计划做静态验证。它把计划转换为有限状态迁移系统，标注工具调用、来源与污点信息，再用 nuXmv 模型检查器对照以 CTL 表达的时序策略进行检验。由于验证发生在执行之前，不安全的计划会被直接拒绝，无需消耗 LLM 调用和工具调用，也省去了回滚改动或拆除临时沙箱的开销。验证失败时模型检查器会返回反例，供 Agent 据此修复计划。

用扩散模型隐空间扰动防御视觉语言模型的地理位置隐私泄露

研究系统考察了多模态大推理模型（MLRM）从日常照片推断用户地理位置带来的隐私泄露，发现基于拒答的防护严重不足，精心构造的越狱提示词可将模型响应率提高到 100%。作者指出，现有在像素空间注入不可见扰动的防御受结构性限制，黑盒迁移性下降且出现明显视觉伪影。为此提出一种基于扩散模型的主动防御框架，在反向采样过程中向扩散模型隐空间注入扰动，直接作用于高层语义表示，并以与 GPS 坐标对齐的 GeoCLIP 作为代理模型定位和破坏 MLRM 用于位置推断的地理信号。该方法在保持图像感知质量的同时获得更强的黑盒迁移性，便于在社交媒体平台集成。该工作已被 NDSS 2027 接收。

HE-Guardrail：面向加密大模型推理的同态护栏防御越狱攻击

作者指出，基于同态加密的大语言模型推理存在一个安全漏洞：服务端在无法接触明文的情况下，既看不到客户端提交的提示词，也看不到模型生成的回复，因此恶意客户端的越狱攻击难以被检测或拦截，甚至可能完全不被服务端察觉。为此作者提出 HE-Guardrail 框架，在加密数据上完整执行护栏机制，并以同态方式控制目标模型的回复是否返回给客户端。该框架以 Llama Guard、JBShield 和 GradSafe 三种代表性护栏进行实例化，结果显示其在密文域中能较接近地复现对应明文护栏的判定，并在安全性、效率与可用性之间呈现不同的权衡。

CASCADE 研究：跨流水线阶段的越狱防御组合评估

论文提出 CASCADE 决策框架，在直接、黑盒、单轮攻击的统一威胁模型下，系统研究 LLM 越狱防御在流水线阶段内与跨阶段的组合效果。研究用带受控查询预算的攻击成功率公式和明确的公平性规则统一评估口径，覆盖 19 种攻击与 15 种防御。结果显示没有单一防御在所有场景下最优，但精心选择的组合能在效用损失极小的前提下取得显著安全提升，并据此给出分层防御流水线的实用建议。该工作已被 EMNLP 2026 Findings 接收。

研究提出面向企业 MCP 的零信任授权与工具发现方案

论文对企业级 MCP 的授权缺口做了系统分析，并给出不改动协议与 SDK 内部实现的 FastMCP 可组合扩展。作者调研 Python、TypeScript、Go、Rust、C#、Swift 六种 MCP SDK，指出三个结构性缺陷：凭据提取绑定单一 Authorization 头，使同时服务人类用户（企业 SSO）与自动化 Agent（不同请求头上的服务账号凭据）的双角色部署需要自定义中间件；缺少认证前的工具发现；基础 SDK 缺少按工具的细粒度授权。

Universal Fractal Natural Language Decision Map：werr 边缘运行时实现 0 字节 VRAM 决策

论文提出 Universal Fractal Natural Language Decision Map，通过 werr 机器原生边缘反射运行时与 answerr 平台实现，完全不存储权重张量（0 Bytes VRAM），沿 Mandelbrot 集混沌边界调制 24 字节坐标种子合成确定性决策。其语义 token 阻尼滤波器（T_desc = 0.045）实现 0.0% 提示注入绕过（95% Wilson CI: [0.0%, 27.8%]），并将迭代剪枝 45.8%、吞吐提升 2.5 倍至 3.31 ms 延迟。

PALS：面向全双工语音对话模型对抗鲁棒性的心理声学对齐潜空间平滑

论文将针对全双工语音对话智能体的不可感知攻击形式化为在载体语音心理声学掩蔽阈值之下的加性扰动优化，目标包括定向语义劫持、响应抑制和策略越狱。在未防御的 Moshi 类智能体上，白盒攻击成功率最高达 91.7%。作者提出心理声学对齐潜空间平滑（PALS），在残差向量量化潜空间接口注入由局部码本协方差塑形的各向异性高斯噪声，输入噪声由掩蔽阈值塑形以约束攻击者，并用 Kullback-Leibler 一致性目标训练。PALS 无推理时开销，将劫持降至 8.3%、静音降至 11.2%、越狱降至 9.1%，干净质量损失在 2.3% 以内。其蒙特卡洛平滑变体可认证的椭球潜空间半径最高为 0.616，经验鲁棒性远超这一保证下限。

面向联邦 LLM 微调的隐私保护拆分学习

针对联邦拆分学习中 LLM 自回归特性导致中间激活泄露输入、现有扰动防御失效的问题，研究者提出一种可学习的混淆—恢复方案，在保护参与者私有数据集的同时仍能在服务器端训练可独立部署的模型。实验显示该方法在实现强隐私保护的同时仅带来适度的效用损失和系统开销，使基于拆分的联邦 LLM 微调具备实际可行性。

Odin：面向隐私保护 Llama 3 8B 推理的开源端到端 FHE 实现

Odin 是首个开源的端到端 GPU CKKS 实现，可在加密状态下完成 Llama-3-8B 推理。它通过 feature-major 跨层布局统一残差连接与层接口，并为线性投影和注意力构建临时算子内布局，减少权重的冗余明文编码；注意力中 QK^T 的分数可直接被 Softmax 消费，PV 直接消费概率，避免中间重打包；非线性运算采用带输入范围控制的 minimax 多项式近似与联合误差分配。在单张 NVIDIA H100 80 GB GPU 上，输入 128 token 时评估全部 32 层耗时 366.4 s、峰值显存 58.9 GiB，相比 THOR 的 1651.9 s 提速 4.51 倍。

ROSETTA：基于混合 CKKS/TFHE 的高效准确隐私保护 LLM 解码框架

ROSETTA 是一个混合 CKKS/TFHE 框架，用于解决全同态加密（FHE）隐私推理中非线性操作开销过大的问题。它提出基于 TFHE 的自适应分段查找表协议，并设计算子选择框架自动将每个非线性算子分配给 CKKS 或 TFHE，以最小化端到端解码延迟。相比 SOTA 框架 CacheMir，ROSETTA 实现最高 4.8 倍 Softmax 加速和 1.5–2.1 倍端到端加速，论文已被 ACM CCS 2026 接收。

面向智能体互联网的可扩展信任发现架构

针对智能体互联网中注册、可信身份识别与能力发现尚未解决的问题，该论文提出一种分层分布式信任发现架构，包含 Agent Root、Agent Registry 和 Agent Resolver 三层，并引入注册表后缀锚定的复合身份方案与双证书多级认证机制。原型实验显示平均注册延迟 58ms、发现延迟 25ms，支持每秒超 19,000 次注册请求和超 29,000 次智能体发现请求。

VidMark：面向视频生成模型知识产权保护的高效水印方案

研究者提出一种生成内嵌水印方案，用于视频生成模型（VGM）的合成视频验证与模型所有权验证两项取证任务。方案包含名为 VidMark 的视频水印网络，结合两级离散小波变换（DWT）分解与全局时序注意力模块（GTAB），并通过解码器引导的微调让 VGM 生成携带模型专属水印的视频。在代表性 VGM 上实验显示，水印提取准确率超过 99%，两项验证任务准确率均达 100%，且对视频级与模型级攻击具有强鲁棒性。

StyleAT：用对抗训练防御人脸识别的语义攻击

针对人脸识别模型易受对抗性语义编辑（如轻微老化或姿态变化）攻击的问题，研究者提出语义攻击 BoundStyle，在 StyleGAN 潜空间中最大化误分类率，攻击成功率高的同时比现有 SOTA 攻击快约 9.5 倍。基于 BoundStyle 构建的对抗训练方案 StyleAT 采用低预算攻击变体，却能防御更强和未见过的语义攻击。在两个训练中未见的数据集和七个模型上，StyleAT 提升了针对 SOTA 攻击的鲁棒准确率，并在多种设置下优于常见防御方法。

DwT-FL：联邦学习中边训练边去重的隐私保护跨客户端去重系统

针对联邦学习中跨客户端重复数据降低训练效率并加剧模型记忆与隐私风险的问题，研究者提出“边训练边去重（DwT）”范式及隐私保护去重系统 DwT-FL，将跨客户端去重从一次性全局同步预处理转为带状态管理、并发声明与故障恢复的持续在线服务。该系统通过并发状态声明机制与冷热双队列调度策略，实现安全去重与模型训练的并行执行，并支持客户端动态加入。实验显示，相比 SOTA 方案，DwT-FL 将故障恢复和动态加入的时间开销分别最多降低 93.04% 和 94.18%。

基于硬件 PUF 指纹的知识蒸馏设备级溯源框架

针对知识蒸馏中教师模型易被窃取且现有水印或硬件访问控制难以定位泄露设备的问题，研究者提出一种将设备专属 PUF 签名叠加到教师 logits 上的指纹框架，使经知识蒸馏训练的学生模型继承与硬件绑定的唯一身份。该方案在 Xilinx Zynq-7020 FPGA 上测量环形振荡器（RO）PUF 生成签名，架构无关，可跨 CNN、Vision Transformer 和编码器继承身份，并通过神经解码器与汉明距离精修的两阶段恢复流程在噪声条件下保持高检测准确率，另引入多级 logit 编码支持大规模设备部署。实验显示嵌入指纹能抵抗常见的蒸馏后修改。

通过表征对齐缓解苏格拉底式导师中的脚手架崩塌

针对 LLM 苏格拉底式导师在持续学生压力下逐渐放弃引导式提问、直接给出答案的"脚手架崩塌"问题，研究者提出 Scaffold-Preserving Representation Alignment 两阶段框架：先用监督微调预热，再结合轨迹加权直接偏好优化与锚定冻结参考状态的间隔保持表征损失。在 Qwen3-8B 上跨五个 STEM 学科和五种红队攻击策略评测，该方法将崩塌率降至 32%，平均崩塌起始延迟至九轮以上，并保持较低过度拒答。

MiShield：识别多图组合后浮现的隐式有害内容

论文提出多图隐式有害内容（MIIT）问题，即每张图片单独看都无害，但多张图片联合解读时会产生有害语义，现有商业审核 API 和模型因单图缺乏明显风险线索而难以识别。作者给出 MIIT 的正式定义并分析检测中的三个关键挑战，通过自动生成流程构建了覆盖七类代表性风险的纯图像多图安全数据集 MIIT-dataset，并训练出 MiShield，采用渐进式蒸馏推理监督，使其在给出安全判断的同时显式分析导致危害的关联实体。实验显示 MiShield-8B 的表现优于代表性审核服务和更大规模的模型。论文共 15 页、8 张图，作者提示内容可能包含敏感信息。

基于搜索增强 LLM 的中文新词毒性共识检测框架 SeTox

针对"country girl"等表面无害、却在公众共识中演变为毒性用法的新词，研究者提出分类体系与风险词表，并构建搜索增强框架 SeTox，让静态大语言模型接入实时网络语境来检测新词毒性。实验显示，SeTox 即使使用 3B 规模模型也优于近期大规模模型，表明其可扩展地引入现实世界知识完成毒性新词检测。该工作发表于 ACL 2026。

DataShield：通过共识子空间对齐识别 LLM 微调中的高风险数据

DataShield 是一个数据评估框架，通过多个安全对齐 LLM 构建的联合安全关键语义空间中的共识子空间对齐，识别有风险的微调样本和回复片段。该框架在这些空间内用语义谱分解提取共识的安全与不安全子空间，再通过衡量样本或片段与不安全子空间、安全子空间的相对对齐程度估计风险，从而支持样本级过滤和细粒度片段级掩码。与现有过滤和掩码基线相比，DataShield 在样本过滤下将 ASR 降低 14.6%，在片段掩码下降低 32.3%，同时保持下游效用，并避免针对特定目标模型计算风险。

Gradient Immunity 提出 USG：在开放权重发布时阻断恶意微调梯度

论文提出 Unidirectional Safety Gate（USG），用于作者所称的“部分保护开放权重发布”（PPOW）场景：大部分权重仍可训练，但发布时保留少量安全关键组件。USG 由 Null Space Cubic Layer 与 Inverse Adapter 组成，插入在最后一层 Transformer 之后；下游微调时，三次层抑制或阻断隐藏状态落入校准保护区域的有害样本梯度，Inverse Adapter 则恢复基础模型的前向行为。防御方用自己掌握的有害数据校准阈值，使保护能泛化到邻近的分布内有害样本。

SHE：面向 LLM Agent 的轨迹驱动安全护栏演化框架

研究者提出 Safety Harness Evolution（SHE），一个从 rollout 轨迹中学习演化安全边界的框架，用于提升 LLM Agent 的安全性。SHE 把 Agent 护栏拆成 System Prompt、Rule Bank、Safety Memory 和 Tool Policy 四类具有明确安全职责的组件，为局部演化划定功能边界。在此基础上，SHE 引入归因引导的演化循环，把轨迹失败转化为结构化诊断，学习各组件专属的边界修正，并通过安全与效用验证筛选演化后的护栏。

WIFA：按意图分组监督缓解包装式越狱与过度拒答

论文提出 Wrapper-Based Intent-Form Augmentation（WIFA），一种自动意图分组增强方法，把带包装的有害示例与结构匹配的带包装良性反例配对，无需外部教师模型或逐包装的人工意图标注。WIFA 作为通用数据层支持两条微调路线：两阶段高安全配方 WIFA-Boost，以及 Anchored Group-Consistent Refusal Training（A-GCRT），后者在同一意图的不同包装间正则化拒答与合规决策分数，并把有害与良性分组锚定在间隔两侧。

StepGuard：用可扩展监督训练步骤级护栏，兼顾安全与效用

研究者提出 StepGuard，一个步骤级护栏模型，既能审计已完成的智能体轨迹，也能在工具动作执行前进行检查。为训练该模型，作者设计了 StepGen 数据引擎，生成上下文相同但在风险步骤上动作不同的安全与不安全轨迹；并提出 Balance-GRPO，根据观测到的准确率动态平衡安全与不安全动作的学习，以减少过度防御和防御不足。实验显示，StepGuard 在开放权重护栏模型中平均准确率最高，性能与 GPT-5.4 相当；在 AgentDojo 和 AgentDyn 上用于守护智能体时，相比无护栏设置将平均攻击成功率降低 77.3%，平均效用仅下降 2.8 个百分点。该工作已被 EMNLP 2026 接收。

Defense-as-Skill：为技能增强型 Agent 演化运行时护栏技能

论文提出 Defense-as-Skill 防御范式，把运行时护栏本身实现为可安装、可检查、可编辑的技能，以应对技能增强型 Agent 中恶意技能通过持久上下文长期操纵后续动作的问题。其护栏 SkillSonar 与不可信任务技能并行运行，按用户任务边界检查敏感动作，并给出允许、重新规划或确认三种决策，且不修改底层 Agent 运行时。作者构建了任务条件数据集 SCOPE-R，覆盖 6 类风险、21 个子类，含 206 个已确认攻击的恶意实例和 43 个良性任务，并用蒙特卡洛树搜索在训练子集上演化磁盘上的护栏技能。

MROP：针对 Deep JSCC 后门攻击的掩码区域优化净化方法

针对 Deep JSCC 图像传输中的输入补丁后门攻击，研究者提出掩码区域优化净化（MROP）。该方法在推理阶段于编码器输入端放置逐像素掩码，通过 Gumbel-sigmoid 松弛优化定位触发补丁并细化触发区域，无需重新训练 JSCC 模型。在 CIFAR-10 和 STL-10 数据集及 DeepJSCC、SwinJSCC 模型上，MROP 大幅降低攻击成功率（ASR），同时保持干净重建的峰值信噪比（PSNR）。

CONTINUITY：为可组合的 LLM Agent 安全控制引入安全上下文契约

论文提出 CONTINUITY 框架，用于解决 LLM Agent 安全控制的组合问题：来源追踪、授权、策略执行、协议适配与执行控制各自正确，但安全关键上下文在跨组件边界时可能被丢弃、放宽、重绑定或重新解释，作者将这一失效模式称为安全上下文不连续。CONTINUITY 用 assume-guarantee 契约建模每个组件，并通过签名根授权、来源承诺、角色绑定的转换回执、有界类型化释放、转换见证和效果绑定执行许可，在状态转换间传递经过认证的安全上下文。作者形式化了端到端后果完整性，要求每个实际发生的外部效果都有有效且当前的授权见证，串联主体、任务、来源、委托、策略状态、规范动作与终局边界。

CoER：用对抗协同演化与精炼防御自适应间接提示注入

研究者提出 CoER，将带有多轮工具调用和多次注入的任务建模为一般和马尔可夫博弈，以此训练能够适应不断演化的攻击者的防御方案。该方法先用成功轨迹初始化攻击者，再用双边对抗强化学习（BA-RL）保留双方的历史策略作为对手种群并混合新旧对手，随后复用这些攻击者挑战教师智能体，只用经安全性验证并通过任务完成的示范来微调共同演进的防御者。在七个领域、三个随机种子上，CoER 将自适应攻击成功率从 41.3% 降至 0.2%，并将安全完成率从 39.6% 提高到 76.2%。外部基准上也表现出更强的抗攻击能力，消融实验进一步验证了历史对手混合与基于种群的精炼的有效性。

推荐理由论文把工具智能体的自适应间接提示注入建模为多轮博弈，用攻防协同演化加教师示范微调，给出跨七个域的攻防成功率与安全任务完成率对比。

CapScope：面向编码 Agent 的抗提示注入能力范围授权机制

研究者提出 CapScope，一种在 harness 层限制工具调用的授权机制，无需模型自行识别恶意文本。它先从可信输入推导任务级权限上限，再为每个 Agent 分配独立的能力集合，存放在模型上下文之外，每次工具调用都按发起该调用的 Agent 的能力进行检查，因此某个子 Agent 获得的权限不会自动传给另一个。作者在 Pi 编码 Agent 上实现该机制，并在一个由编排者向子 Agent 分派子任务的修复流程中评测，覆盖 5 个 Python 任务、5 个注入面、4 种授权条件和每格 3 次试验共 300 次运行。

面向 AI-SOC 的神经符号防御框架：用 SIEM 解码器与 NeMo Guardrails 阻断日志投毒提示注入

论文提出一种神经符号纵深防御架构，用于保障 LLM 接入安全运营中心（SOC）后的管道完整性，应对通过日志投毒实施的间接提示注入。作者指出，攻击者可在系统日志中嵌入恶意载荷，形成多步 promptware 攻击链，劫持 LLM 的操作逻辑；而确定性防御语义盲、纯神经评估延迟高且存在概率性缺陷。该框架第一层用定制 SIEM 解码器作为确定性预过滤，在数据摄入边缘做结构化清洗，消除体量填充和基于签名的注入；第二层用 NeMo Guardrails 在 LLM 处理前对结构化 SIEM 告警做自检式语义边界校验；同时集成闭环遥测系统，在 SOC 仪表盘中为人工介入提供被拦截攻击的可见性。

RISA：面向大语言模型拒答校准的响应检查与选择性干预

RISA 是一个推理时框架，通过检查 LLM 的初始响应并选择性纠正拒答错误，在不更新基座模型参数的前提下提升拒答可靠性。它先用固定上下文规则为明确案例打拒答分数，未匹配案例则由末层提示词隐藏状态经校准线性探针得出分数，并分别校准探针分数、表征支持边界与动作阈值以适配不同基座模型。运行时结合提示词分数与初始拒答状态，仅在必要时干预，实验显示其在提升拒答可靠性的同时基本保持模型效用。

GAPS：面向条件激活引导的维度级门控

GAPS（Gated Activation steering via Posterior and Separability）通过维度级条件选择决定对哪些神经元施加激活引导，由两个免训练门控组成：静态可分性门控用 AUROC 筛选携带可靠概念信息的神经元，动态后验门控仅当神经元当前激活更符合目标概念时才干预。

EraseSAE：用稀疏自编码器在文生视频扩散模型中实现精准概念擦除

EraseSAE 通过稀疏自编码器在 DiT 架构的文生视频扩散模型中实现精准概念擦除，先以 Partitioned Convolutional Sparse Autoencoder 将稠密时空激活分解为可解释稀疏特征，再用对比归因机制定位概念专属特征核，推理时按时间步生成时空掩码限制擦除范围。实验显示该方法在多种扩散模型和概念擦除任务上实现精确稳健的移除，生成质量损失极小，显著优于现有方法。该工作已被 ECCV 2026 接收，代码已公开。

现代图像后置水印信道的优化与安全：SNW 方案

针对现代多比特后置图像水印方案，研究提出其编码器-解码器对隐含定义了并行 AWGN 信道、以 BPSK 调制传输消息，因而受限于二进制字母表、容量被严重压缩，且因缺少密钥而本质不安全。为此提出 SNW 后置水印系统，不依赖固定码本或二进制字母表，借助可达容量的纠错码使速率接近香农容量，在容量上显著优于现有 SOTA 基线并提供强安全保证。

SURE：构建可信 AI 的安全框架

研究提出 SURE（A Safe and Unified AI Framework foR Everyone）框架，用于按国家、文化和企业政策定制 AI 安全属性并加以保障。该框架建立对抗性提示词分类体系并据此构造提示词，定义理想 AI 回复模板与绝对安全评分方案，再通过数据集进行 AI 对齐。在多种基座模型上的实验验证了 SURE 的有效性，论文已被 KDD 2025 EAI Workshop 接收。

MiniRep：面向多智能体辩论的鲁棒声誉聚合方法

MiniRep 是一种面向多智能体辩论（MAD）的声誉聚合系统，用于在存在恶意智能体时提升最终答案的可靠性。它基于声誉系统攻击与软件测试变异算子构建攻击分类体系，同时依据智能体在当前任务上的行为和长期声誉进行评估，并抑制高度相似回答的智能体群体主导决策。在 MATH 等任务上，MiniRep 无论是否遭受攻击都优于传统 MAD 聚合与常规声誉方法；在 10 个异构智能体的 MATH 设置下，于全部 28 种攻击条件下均优于所有基线。

研究者提出梯度封堵实现 LLM 发布前的预防性遗忘

研究者提出梯度封堵（gradient sealing）方法，用于在开放权重 LLM 发布前阻止下游微调重新习得被禁能力。作者先验证现有回顾式遗忘方法在发布前防护上不足：即使当前输出已抑制被禁能力，被禁领域数据仍能通过内部通路产生梯度，使能力在后续微调中被重新获得。梯度封堵的原理是把相关预激活推入负区间，使 ReLU 族激活的导数变为零或接近零，从而阻断这些通路。在多个 LLM 系列上的实验显示，该方法对下游能力习得的抵抗强于回顾式基线。