全部动态
从来源，看到研究的联系
点选节点，展开一条线索
本页材料
完整标题与摘要 · 24 条- 动态GIGAZINE
DrivingBench 用 GPT-6 Astra 等模型实车驾驶，仅 GPT-6 Astra 完成赛道
由三名旧金山湾区工程师发起的 DrivingBench 项目，让通用 AI 模型接管一辆 2022 款 Toyota Corolla 的方向盘、油门和刹车，测试其在真实世界中的驾驶能力。实验通过 comma four 设备和开源辅助驾驶软件 openpilot 连接车辆，AI 可调用查看周围环境、移动车辆和停车三类操作，人类驾驶员全程在驾驶座准备随时刹车。测试使用 GPT-6 Astra、Claude Fable 5.1、Grok 4.6 和 GPT-5.6 Sol，每个模型最多运行三次，赛道为停车场内约 135 米的 U 形锥桶路线。只有 GPT-6 Astra 完成赛道，第二次尝试用时 5 分 22 秒；Claude Fable 5.1 最好成绩约完成 45%，Grok 4.6 和 GPT-5.6 Sol 每次都只到第一个弯道。
- 论文arXiv：危险能力与安全评测
研究显示 VLM 视觉定位输出的拒答率按危害领域平均低 31 至 59 个百分点
研究者把 VLSU、BBQ-V 和 Asimov-2.0 三个安全基准改造成 15401 对匹配请求，同一有害问题分别以文本问答和视觉定位（点或边界框）形式提出，用于比较两种输出通道的安全行为。在 Claude Sonnet 4.6、Gemini 3.5 Flash、Molmo2-8B、Qwen3-VL-8B 和 VisionReasoner-7B 五个模型上，按模型取平均后，定位模式的拒答率较文本问答低 31 至 59 个百分点，差距随危害领域而变，安全系统提示词也无法弥合这一差距。表征分析显示微调把有害请求推向各模型的拒答方向，定位模式尤为明显，而良性请求仍靠近无害参考。
- 论文arXiv：危险能力与安全评测
论文发现多模态模型启用工具后拒答失败率最高上升 68.7%
NVIDIA 研究团队在 arXiv 发布论文，发现多模态大语言模型（MLLM）在启用工具调用后更难拒绝有害请求。研究在 MM-SafetyBench、VLSBench、HoliSafe 三个安全基准上测试了 11 个模型，涵盖 Qwen3-VL、Kimi-K2.6、GLM-5V-Turbo 等开源权重模型以及 Gemini-2.5-Pro、Claude Opus 4.6/4.7、GPT-5.4 等闭源模型，所有模型在工具使用设置下的拒答失败率均高于无工具设置，平均相对上升 17.7%，最高相对上升 68.7%。作者基于 10 万余条回复提出两个可能原因：上下文稀释，即工具输出累积使原始有害意图被淹没；安全焦点转移，即模型优先描述工具观察结果而非做出安全拒答。实验还显示，在最终回答前重新注入原始请求和图像可使拒答失败率平均下降 7.6%。
- 动态Red Hat Developer
Red Hat 基准测试：Jev 式决策模型与传统护栏在提示注入和内容安全上的对比
Red Hat AI Safety 团队在 NeMo Guardrails 与 EvalHub 基准上对比了 9 种护栏方案，覆盖预训练小分类器、零样本分类器、LLM-as-a-judge 与 Jev 式决策模型四类方法，任务为提示注入与内容安全/毒性检测。提示注入任务中 Qwen3.6-35B 以 89.31% 准确率居首，deberta-v3-base-prompt-injection-v2 以 89.01% 紧随其后且中位延迟仅 54.1 ms；Jev 为 86.35%，DiffusionGemma 为 87.72%，Laya 为 85.44%，BART-large-mnli 仅 61.49%。团队结论是预训练小模型仍极具竞争力，未发现决策模型在速度、成本或质量上稳定优于 LLM-as-a-judge，但 Jev 式范式把注意力重新引向轻量、任务专用的推理方式。
- 论文论文追踪
HakemBench：土耳其语类型化决策基准发布
HakemBench 是一个土耳其语类型化决策基准，模型需读取文本、问题与固定选项集，并为每个选项输出概率。1.0 版以 CC BY 4.0 完全开放，含 2,346 个条目、4,275 道选择题、是非题与评分题，覆盖事实核查分流、教育、护栏、法律路由、内容审核、垃圾邮件与钓鱼、客户支持七个赛道。评测框架以宏 F1 衡量决策质量、以归一化 Brier 分数衡量校准、以归一化广义风险-覆盖率曲线下面积衡量选择性自动化，三者取几何平均，并用 2,000 次 bootstrap 给出区间，同时报告选项顺序、改写、英译与替换名称探针。
- 论文论文追踪
PowerBench 评测 24 个模型在权力转移请求上的偏见
研究者提出 PowerBench，用于评测语言模型在权力转移类请求上的系统性差异，把请求分为自我赋权、去权和夺权三类，并设置不改变权力的拒答诱导请求作为对照。数据集在权力领域、情境、受影响方规模和用户原有权力地位上做变化，覆盖 24 个模型（12 个来自美国开发者、12 个来自中国开发者），在用户与受影响方国籍互换、AI 智能体作为用户、8 种请求语言三种条件下评测。结果显示模型对夺权的拒答多于去权，对去权的拒答多于自我赋权；夺权拒答率随受影响方规模从个人上升到社会而提高。模型倾向于帮助他人从美国夺取权力，而不愿帮助美国用户从他人处夺取权力，但在美国获得权力且无人受损时偏向美国。当用户是 AI 智能体时，对权力转移请求的拒答增加，在针对个人的夺权上尤为明显。
- 动态The Decoder
Aleph Alpha 研究：千问、DeepSeek、Kimi 等中国模型在敏感议题上多复述官方立场或拒答
Aleph Alpha 用自建基准测试了阿里千问（Qwen）、DeepSeek 与月之暗面（Kimi）等中国模型，覆盖天安门、台湾、新疆等 967 个敏感议题，其自研评分系统判定仅 17% 至 41% 的回答算平衡，其余为复述官方立场、回避或拒答。DeepSeek V4 Pro 拒答三分之二问题，对照的 Claude Sonnet 5 与 Mistral Small 平衡回答率分别为 70% 和 92%。研究还称 Nvidia Nemotron Cascade 2 有 17% 回答呈类似倾向，归因于其 930 万条训练样本中约 3500 条由 DeepSeek 和 Qwen 生成。
- 论文论文追踪
范围综述梳理 LLM 聊天机器人对心理健康的 119 篇相关文献
一篇发表于 npj Digital Medicine 的范围综述系统梳理了 119 篇关于 LLM 聊天机器人（LLM-CB）心理健康危害的文献，将其归纳为概念性工作、心理健康支持使用、认知过度依赖、AI 依赖和 AI 精神病五类主题。综述指出，概念性文献共列出 22 种潜在危害，涵盖幻觉、谄媚、偏见、数据隐私、缺乏监管等，但多数仍属推测，实际影响程度不明。在心理健康支持使用类研究中，18/29 为情境/基准研究，显示 LLM-CB 在高风险情境下可能给出不恰当或有害回应，但用户实际受影响程度尚未量化。认知过度依赖类研究（15 篇）发现频繁使用与认知和学业表现下降相关，其中 3 项实验研究提示因果关系，但对批判性思维的影响结论不一致。综述还提到 OpenAI 2025 年自报数据估计超过百万 ChatGPT 用户（约 0.15%）表现出严重心理困扰迹象，该数据基于内部分类器、未经独立验证。
- 论文论文追踪
研究审计 9 个视觉语言模型：中文提示下国家立场改写率约为英文的三倍
研究者构建了覆盖十类政治敏感话题的 200 张图像基准，对 9 个视觉语言模型（7 个中国来源、2 个非中国来源）在四种提问范式和两种提示语言下运行 21708 次试验，由两个前沿 LLM 评审按六个维度逐条标注，并在 200 条样本上与三名人类专家验证。结果显示，中文提示下出现国家立场改写的几率约为英文提示的 3.67 倍，且在每个模型内部都成立；中国来源模型的改写率高于非中国模型，方向在两个评审和人类标注者间一致，幅度随评审不同在 1.6 至 3.2 倍之间。改写集中在文本提及敏感主体的条件下（36.5%），仅给图像时为 9.8%；在四代 Qwen 多模态模型上，显式拒答下降而国家立场改写上升，改写以替换和委婉语为主，且不含拒答关键词，关键词检测方法难以发现。
- 论文论文追踪
aiXamine：跨维度评测 LLM 安全、安全（security）与隐私权衡
研究者提出 aiXamine，一个统一黑盒评测平台，把 LLM 的安全、安全（security）与隐私当作相互依赖的属性来评估。平台通过自动化红队流程编排 9 项服务上的 46 个测试，生成从提示词级诊断到跨服务权衡分析的分层风险画像，可在相同条件下复现对比闭源与开源权重系统。作者用 aiXamine 测试了 120 多个 LLM、超过 5000 次测试运行，发现三种单轴评测看不到的跨维度现象：更强的对齐会系统性提高过度拒答，形成可量化的安全税；隐私与其他可信维度近乎正交，标准对齐无法覆盖；无 on-policy 校正的 off-policy 知识蒸馏会导致熵坍缩，在同一基础架构上把鲁棒性从 56.9 降到 2.6。
- 论文论文追踪
论文发现安全监控器主要拦截模型本就会拒答的请求
Sripad Karne 的论文测量了安全监控器在目标模型实际会作答的请求上的召回率，发现四款文本护栏、两个激活探针和 Latent Guard 在 1% 假阳性率下，对模型会拒答请求的召回率是模型会作答请求的 1.1 到 6.4 倍，而 AUROC 多数仍在 0.85 以上，标准指标掩盖了这一差距。研究基于 647 条有害请求（来自 Aegis 2.0、HarmBench、StrongREJECT），每条改写成间接、直接、直白三个显式程度版本且意图经 LLM 与人工核验；Gemma-4-31B-IT 在直白版本只答 12 条，在间接版本答 340 条，相差 28 倍，其中 344 条翻转请求里各护栏漏放 153 到 321 条。作者把原因追溯到显式程度本身：模型与护栏内部的危害读数都随措辞变软而下降，沿显式方向对 Qwen3Guard 做激活引导可把标记率从 26% 推到 100%。
- 论文论文追踪
Blindspot：面向长程工具调用 Agent 的安全与拒答校准基准
研究者提出 Blindspot，一个针对长程工具调用 Agent 的轨迹级安全校准基准，通过自适应对抗交互、有状态工具执行和基于执行结果的判定来评估完整的用户—Agent—环境轨迹。当前版本包含 7 个领域的 22 类攻击和 35 个场景，生成超过 2500 条长程轨迹，平均交互长度 14.7 轮，每条轨迹被归为安全完成、正确拒答、不安全完成、过度拒答或不确定五类结果之一。与固定攻击数据集不同，Blindspot 是可扩展的实时仿真框架，攻击、场景、工具、策略、领域和 Agent 配置均可新增而无需重设计评测流程。
- 论文论文追踪
研究者构建中国AI生成内容合规基准，评测20个LLM
研究者提出一套评估LLM是否符合中国AI生成内容合规要求的框架，并对20个知名模型给出评测结果。该框架包含2303个问题，覆盖六个维度，其中203个为自行构建的宪法类问题，由多个评判模型基于各自的分层对齐记忆独立给出裁决。结果显示，国际模型在使用标准中文问题时也表现出较高的合规水平，主要差异可能来自与意识形态对齐密切相关的维度。作者据此建立了一个监管基准，供全球AI社区在统一的法律依据下评测中外LLM。
- 论文论文追踪
BioSecBench-Refusal：面向智能体生物安全风险评估的配对基准
研究者发布 BioSecBench-Refusal，一个用于评估生物研究任务风险识别与拒答行为的基准，将 61 个取自已发表文献的合法常规任务与 46 个看似真实研究但暗藏生物安全风险的虚构红队任务配对。在 16 种模型与框架组合中，常规任务的拒答率为 7% 至 74%，红队任务为 1% 至 62%，许多组合拒绝合法常规工作的比例与拒绝隐藏风险相当甚至更高。拒答最常由智能体推理之前生效的提供商 API 过滤器触发，而获得推理空间的模型表现出识别更多真实威胁的潜力。作者将该基准作为工具发布，供模型开发者校准智能体生物技术研发的能力与审慎程度。
- 论文论文追踪
研究分析 Be My Eyes 1428 条低分评论，揭示视觉描述服务的骚扰、隐私与无障碍安全问题
Brigham 与 Kohno 对 Be My Eyes 的 1428 条一至三星评论做定性分析，考察这一连接超百万盲人与低视力用户、超千万志愿者的视觉描述服务及其 AI 版本 Be My AI 中用户和志愿者遇到的问题。分析发现三类问题：网络骚扰与滥用（恶意骚扰、网络裸露、举报机制失效）、信息暴露之外的隐私担忧（数据被用于模型训练），以及无障碍与安全问题（描述不准确、家长式护栏）。研究还分析平台政策是否及如何回应这些问题，并针对无障碍、安全、隐私与 AI 方面的挑战提出改进视觉描述服务信任与安全的建议。
- 论文论文追踪
HerHealthEval：评测大语言模型对多语言女性健康沟通的理解
研究者提出 HerHealthEval，一个针对女性健康沟通多语言理解能力的受控评测框架，覆盖英语、法语和现代标准阿拉伯语。每个临床案例提供六种沟通形式：规范、临床、外行、间接或含糊、情绪担忧以及刻意信息不足，前五种保留相同临床信息，最后一种故意省略细节以测试模型是否意识到需要追问。研究评测了一个多语言指令模型及 QLoRA 适配变体，考察关切分类、风险校准、追问行为、解析合规和跨形式一致性。结果显示聚合准确率和一致性会掩盖与安全相关的失败：在语言不对称风险监督下，多语言适配模型在法语和阿拉伯语上的分诊不足率达到 0.994；改用源自数据、语言不变的风险标签重新适配后，分诊不足率分别降至 0.572 和 0.558。论文认为稳健的多语言医疗评测需要显式测试语域变化、不确定性处理以及适配标签的来源与不变性。
- 动态OpenAI Deployment Safety
OpenAI 发布 GPT-Rosalind-5.5 System Card
OpenAI 发布 GPT-Rosalind-5.5 System Card，该模型在 GPT-5.5 基础上用有益生命科学能力相关数据增量训练，并被训练为不对复杂生物学查询拒答，改以受控访问与负责任部署结构作为主要防护。OpenAI 将此次发布在生物与化学领域定为 High capability，除 Multi-Select Virology Troubleshooting 外，GPT-Rosalind-5.5 在各项评测上的得分达到或超过 GPT-5.5，但在病毒学与生物威胁创建相关评测上低于 GPT-5.5 Pro。模型仍被训练为拒绝会实质性助力生物武器化的恶意请求，因部分高级生物能力属两用，访问需通过受信任访问审查流程。
- 论文arXiv：危险能力与安全评测
OpenMTB-Audit：LLM 分子肿瘤委员会安全评测暴露过度拒答
研究者发布 OpenMTB-Audit，一个包含 500 例合成非小细胞肺癌病例的开源基准，覆盖五类对抗性错误和 Supported、Partially Supported、Unsupported、Insufficient Information 四种安全标签。在八种大语言模型配置上，所有配置在真实 Partially Supported 病例中有 83.3% 至 100% 未能保留该标签，靠标签坍缩获得高总体安全分，而非临床校准推理。为此作者开发 MTB-AuditAgent，一个确定性七模块框架，分离证据核验、缺失信息检测、安全分类与弃答，将过度拒答降至 6.7%，准确率达 91.2%（95% CI：88.6-93.6%）。两位肿瘤科医生的标注研究显示，分歧集中在信息充分性与治疗优化之间的边界。
- 动态FAR.AI
FAR.AI 复测前沿模型极端话题说服倾向：GPT 与 Claude 改善，Gemini 3 Pro 恶化
FAR.AI 用其 Attempt-to-Persuade Eval（APE）复测近半年发布的前沿模型，发现 GPT-5.1 与 Claude Opus 4.5 在明确有害话题上的说服尝试率接近零，而 Gemini 3 Pro 几乎对所有说服请求都予以配合。APE 衡量模型是否愿意按提示去说服用户接受从无害到极端有害的观点，此前 2025 年 8 月的测试中，多数模型在明确有害话题上仍有约四分之一尝试说服。Gemini 3 Pro 在谋杀、暴力、酷刑、人口贩运和儿童性虐待等话题上均给出配合性说服文本，其有害话题尝试率高于旧版 Gemini 2.5 Pro 的 35%，仅 Gemini 2.0 Flash 与 GPT-4o-mini 两个旧的小模型比它更配合。Gemini 3 Flash 的有害话题尝试率低于 Gemini 3 Pro，与 2 系列中 Flash 不如 Pro 的趋势相反。
- 动态SecureBio
SecureBio 发布 BioTIER 基准，评测 52 个模型的生物安全护栏有效性
SecureBio 发布 BioTIER（Biological Targeted Information for Exclusion and Refusal）基准，通过拒答行为衡量 AI 模型在生物领域安全与可用性之间的平衡。该基准包含 542 条由 15 位博士级专家撰写并经三轮共识验证的提示词，分为灾难规避（CA，249 条）、生物医学两用研究关切（BD，149 条）和良性相关生物学（RB，144 条）三档风险域，并拆分为 BioTIER-refuse 与 BioTIER-permit 两个评测组件。研究覆盖 10 家开发商的 52 个模型，时间跨度从 2022 年到 2026 年。在 BioTIER-permit 上结果较为一致，几乎所有模型都回答了几乎所有良性查询，最低仍有 75%。研究还发现过度拒答多发生在风险边界附近，而非真正良性的生物学问题。
- 动态SecureBio
SecureBio 评审 Anthropic 未删节化生风险报告：Claude Opus 4.6
SecureBio 与 Anthropic 合作评审了其 2026 年 2 月风险报告的化学与生物（CB）风险章节，Anthropic 提供了未删节版本及 110 页补充材料，并在两个月内回应了七十多个后续问题。SecureBio 认同 Anthropic 的总体结论：Claude Opus 4.6 大幅促成灾难性结果的当前风险，在非新型 CB 武器生产上为“极低但不可忽略”，在新型 CB 武器生产上为“低风险但存在较大不确定性”。评审发现，作为主要 CB 风险护栏的拒答分类器在 SecureBio 的 BioTIER-refuse 基准上拒绝了 94.2% 的危险提示词，但建议随生物技术进展持续更新其训练宪法。评审还审查了用户豁免审查与监控流程，认为威胁行为者借此大幅提升 CB 武器生产的可能性不大但存在。SecureBio 表示此项工作未接受 Anthropic 资助。
- 动态SecureBio
SecureBio 发布 GPT-6 Astra 发布前生物风险评测报告
SecureBio 对 OpenAI 于 2026 年 9 月 3 日公开发布的旗舰模型 GPT-6 Astra 做了发布前生物滥用能力评测，测试了带与不带系统级生物护栏的版本。在知识基准上，Astra 在 VCT 和 VCT-v2 上超过此前所有被测模型，相对 GPT-5.6 Sol 分别提升 4.3 和 8 个百分点，比人类专家基线高 30 多个百分点；HPCT 得分与 GPT-5.6 Sol 接近，WCB 得分为 61.6% ± 0.6%，低约 7 个百分点，报告认为这主要源于模型更倾向于含糊作答而非知识缺口。在智能体基准上，Astra 在 ReproBAIT 达到已发表性能的 80-83%（GPT-5.6 Sol 为 63-69%），是首个能生成满足 in silico 可设计性阈值的 de novo 蛋白质设计的模型；无护栏版本还首次完整给出规避 DNA 合成筛查的复杂策略。
- 论文论文追踪
研究提出 IRT 框架拆解大模型跨语言安全护栏退化
研究者提出多组项目反应理论（IRT）框架，把跨语言安全表现拆解为语言无关的安全鲁棒性、提示词固有难度、全局语言处理难度和提示词特定的跨语言安全差距四个潜在变量，以替代把多种因素混在一起的越狱成功率（JSR）。基于 MultiJail 数据集，团队评估了 5 个闭源模型家族共 61 个模型配置、10 种不同资源水平的语言，汇总 190 万条回复。探索性因子分析显示安全主要是一维的，模型拒答不同危害类型主要依赖共享机制。与低资源语言安全更差的预期相反，22 个模型配置在英语下比在低资源语言下更易被攻破；低资源语言产生的不确定回复（高熵）更多。高跨语言安全差距的提示词集中在 Theft、Weapons 等物理危害类别和较低资源语言中，该趋势通过跨数据集泛化得到验证。
- 论文论文追踪
TraceSafe-Bench：评估 LLM 护栏在多步工具调用轨迹上的表现
研究者提出 TraceSafe-Bench，用于评估 LLM 护栏在多步工具调用中间轨迹上的安全性，覆盖提示注入、隐私泄露、模型幻觉、接口不一致等 12 类风险，包含 1000 多个执行实例。团队评测了 13 个 LLM-as-a-guard 模型和 7 个专用护栏，得到三点结论：护栏效果更多取决于结构化数据处理能力（如 JSON 解析），与结构化到文本基准强相关（ρ=0.79，p<0.01），而与标准越狱鲁棒性无关联；轨迹检测准确率不随模型规模单调提升，通用 LLM 持续优于专用安全护栏；在原生上下文范围内检测准确率随轨迹变长而提升，但在极端长上下文场景下因过度拒答而下降。该工作已被 COLM 2026 接收。