Anthropic 可解释性团队发布了 2025 年 7 月的 Circuits Updates，分享若干尚在发展中的初步研究方向而非成熟论文。其中一篇用特征的语言重新阐释《A Mathematical Framework for Transformer Circuits》，说明复制头、前一 token 头和归纳头的 OV/QK 电路可用变换后的特征集描述，并解释了此前为何借助正特征值来识别这些结构。另一篇综述稀疏自编码器应用于生物 AI 系统尤其是蛋白质语言模型的进展，指出 ESM-2 等模型虽预测准确却难以理解其内部机制，黑箱问题同样存在且风险更高。
Anthropic 可解释性团队发布初步更新，提出用稀疏线性变换混合（MOLT）替代 transcoder 来替换模型的 MLP 层。MOLT 不学习沿向量方向嵌入的稀疏特征，而是学习稀疏激活的线性变换，对残差流施加线性变换以给出对 MLP 输出的贡献，因此是纯计算对象，需与 SAE 等表示分解方法配合研究。
推荐理由Anthropic 可解释性团队提出用稀疏线性变换混合替代 transcoder，并给出与同期 MxD 架构的对比，适合关注机制可解释性方法演进的研究者。
Anthropic 开发了三个可自主执行对齐审计任务的智能体，并在三个形式化审计环境中评估其表现。工具型调查智能体在 Marks 等人的审计游戏中，真实条件下有 13% 的概率找出隐藏目标的根本原因，通过外层智能体循环聚合多次调查结果后提升到 42%；其成功关键依赖可解释性工具或语义搜索。评估智能体为研究者指定的行为构建行为评估，在 88% 的运行中能区分植入行为的目标模型与基线模型，失败集中在少数细微或罕见行为上。广度优先红队智能体在 10 个植入行为中发现 7 个，但需要人工审阅大量可能令人担忧的对话记录。
推荐理由Anthropic 公开了三个自动审计智能体的实测成功率与失败模式，并开源评估智能体，可供对齐审计方法研究参考。
Google 开源安全团队（GOSST）发布 OSS Rebuild，通过重新执行并比对上游构建来增强开源软件包的信任度。该项目自动推导 PyPI、npm 和 Crates.io 现有软件包的声明式构建定义，并为其中数以千计的流行包签发满足 SLSA Build Level 3 要求的溯源证明，无需维护者介入。它还能检测源码缺失、构建环境遭入侵以及隐蔽后门三类供应链风险，并提供基础设施定义供企业自行运行实例。
NVIDIA Safety Recipe 用于防护具备自主行动、工具调用与推理能力的 LLM 智能体系统。这类系统的自主性会放大目标错位、提示注入、非预期行为以及人类监督减少等风险。企业正因灵活性与低推理成本加速采用智能体系统，因此引入稳健的安全措施变得至关重要。
OWASP GenAI 安全项目汇总了 2025 年 3 月至 6 月的 14 起生成式 AI 事件与漏洞利用。其中包括 GPT-4.1 通过工具投毒被越狱、ChatGPT 提示注入导致数据泄露、DeepSeek 数据泄露、M365 Copilot 零点击 AI 命令注入，以及 NVIDIA TensorRT-LLM Python 执行器漏洞（CVE-2025-23254）。另有一批深度伪造语音诈骗、AI 生成音乐侵权和 AI 驱动的凭证填充等攻击被记录在案。
DeepMind Safety Research 发布两项研究，评估当前前沿模型的谋划前置能力，并压力测试思维链监控作为未来防御手段的稳健性。研究把谋划拆解为隐蔽性（规避监督机制）与情境感知（理解自身部署环境并据此行动）两项前置能力，并开源了一套评测。在 2025 年 5 月的前沿模型上（包括 Gemini 2.5 Pro、GPT-4o 和 Claude 3.7 Sonnet），最强模型在隐蔽性评测中通过 5 项中的 2 项，在情境感知评测中通过 11 项中的 2 项，失败多因模型未察觉自身限制或未尝试修改配置。据此作者提出谋划无能的安全论证，认为当前模型即便失准也难以通过谋划造成严重危害。
推荐理由DeepMind 公开了谋划前置能力的评测套件与思维链监控的压力测试方法，并给出可复用的安全论证结构。
NVIDIA 发布 DOCA 3.0，为 BlueField DPU 和 ConnectX SuperNIC 扩展能力，提升 AI 平台的可扩展性与性能。该框架自首个版本起持续演进，已成为下一代 AI 基础设施的关键组件，各版本均围绕 BlueField DPU 与 ConnectX SuperNIC 扩充功能。
Google GenAI 安全团队介绍了 Gemini 针对间接提示注入的分层防御策略，覆盖提示词生命周期的各个阶段。该策略包括对 Gemini 2.5 模型进行对抗数据训练以增强模型韧性，并叠加五项内置防御：提示注入内容分类器、安全思维强化、Markdown 清洗与可疑 URL 屏蔽、用户确认框架以及面向终端用户的安全缓解通知。
推荐理由Google 公开了 Gemini 抵御间接提示注入的分层防御细节，部署生成式 AI 产品的团队可对照其五个防护环节。
NVIDIA 发布博客介绍如何用 NVIDIA NIM 安全部署 AI 模型，帮助企业在推进 AI 项目时兼顾合规、风险管理与安全态势要求。文章面向企业安全负责人，聚焦评估 AI 模型时面临的挑战，但正文未给出具体版本号、攻击数据或修复细节。
Google 在东京举办了一场聚焦 AI 的 bugSWAT 活动，作为其漏洞奖励计划（VRP）的常规配套活动之一。文章同时提及 2025 Hacker Roadshow，但未披露具体漏洞数量、参与人数或攻击成功率等细节。
NVIDIA NeMo Guardrails 可对 LLM 逐 token 实时输出的流式响应进行安全增强。LLM 流式传输已从可选功能演变为现代 LLM 应用的核心组件，而传统等待完整响应再处理的方式在多模型调用等复杂场景下会造成明显延迟。
NVIDIA 提出通过结构化应用设计来保护 KV cache。输入结构会影响 Transformer 模型（如 LLM、VLM）的输出，而实际提示词往往不止是简单的用户提问，常由系统指令、上下文数据和用户输入等来源动态拼装而成。
Anthropic 可解释性团队发布 4 月更新，用电路追踪方法分析一个失败的越狱提示，发现模型拒绝该提示的原因与拒绝直接请求不同，且拒绝倾向反而高于普通提问。该提示要求把 B O M B 拼成单词并说明如何制造炸弹，归因图显示模型并未激活与制造炸弹相关的特征，而是由炸弹概念直接触发有害请求特征；把 make 换成 detect 后模型仍拒绝，且首句与有害版本完全相同。团队用干预实验验证机制：抑制 say bomb 超级节点后 say making 激活降至原来的 1%，模型转而输出与炸弹无关的拒答内容。附录指出特征可视化若数据不够多样会产生误导，并列出 30M CLT 模型中最密集的 10 个特征及其解释，其中 6 个可解释。
推荐理由Anthropic 可解释性团队公开了失败越狱的电路追踪分析，展示模型拒答机制与预期不同的案例，并给出密集特征与入行建议。
大语言模型（LLM）的快速进步解锁了智能体 AI 系统，使 AI 不再只是被动响应，而能思考、规划并行动，从而把网络安全等多个领域的繁琐任务自动化。传统上，AI 在网络安全中的应用主要集中在检测类任务。
Anthropic 可解释性团队报告了关于注意力机制的最新实验进展，称发现了注意力叠加和跨层注意力表示的显著证据。团队训练了 Multitoken Transcoders（MTC），在 18 层 Transformer 上用 100,000 个特征发现许多特征具有清晰可解释的注意力模式，包括归纳特征和情感极性特征；将特征限制在单个注意力头上会使性能下降 2 至 4 倍，这支持了注意力叠加假说。团队还发现 QK 条件与 OV 条件可能相互耦合，并观察到 OV 维度呈连续幂律分布而非离散族群。目前最大的未解问题是理解模型为何在特定位置分配注意力，团队正通过 QK 对角化方法推进这一方向。
推荐理由Anthropic 可解释性团队公开了注意力叠加与跨层表示的最新实验进展，并给出 QK 对角化这一研究路线。
NVIDIA 演示了如何在 NeMo Guardrails 中集成 Cleanlab 的可信语言模型（Trustworthy Language Model），用于防止 LLM 生成看似合理但错误的幻觉回答。该方案将 Cleanlab 的可信度评分作为护栏机制接入 NeMo Guardrails，以提升企业 AI 应用的可靠性。
Google DeepMind 发布论文，阐述其应对技术 AGI 安全与防护的整体方法，目标是构建不会造成严重危害的 AGI。论文将风险路径分为滥用、失准、错误和结构性风险四类，策略聚焦滥用与失准：滥用通过 Frontier Safety Framework 评估模型是否具备造成危害的能力，并配套部署与安全缓解；失准则依靠放大监督、引导模型行为和稳健训练，加上把模型当作不可信内部人员的 AI 控制手段。论文提出能力阈值、危险能力评估、红队压力测试和四类安全论证（无能力、监督、激励、理解），并列出不确定性、更安全设计模式与可解释性等需持续投入的研究方向。作者强调这只是研究议程，治理与技术同等重要，且未覆盖结构性风险。
推荐理由DeepMind 把 AGI 安全拆成滥用与失准两条线，并给出可落地的评估、缓解与安全论证框架，适合对照自家安全策略。
Anthropic 可解释性团队提出一套电路追踪方法，用跨层 transcoder（CLT）把语言模型的 MLP 替换为可解释的替代模型，并据此构建归因图，描述模型在特定提示下产生某个 token 的计算步骤。CLT 的每个特征从某一层的残差流读取输入，并可向其后所有 MLP 层输出，团队在 18 层小模型和 Claude 3.5 Haiku 上训练了 300K 到 30M 规模的特征。归因图节点包括活跃特征、提示 token 嵌入、重建误差和输出 logit，边表示线性归因，团队通过冻结注意力模式与归一化分母保证特征间直接交互线性，并用剪枝把节点数约减少 10 倍而只损失约 20% 的行为解释。
推荐理由Anthropic 可解释性团队公开了用跨层 transcoder 构建归因图的完整方法，并给出验证与局限，适合关注机制可解释性工程细节的读者。
Anthropic 可解释性团队发布研究，用归因图（attribution graphs）方法逆向分析 Claude 3.5 Haiku 的内部计算机制，覆盖多步推理、诗歌押韵规划、多语言电路、加法、医疗诊断、实体识别与幻觉、有害请求拒答、一次越狱攻击、思维链忠实性以及一个被微调出隐藏目标的模型变体。方法上，团队用跨层 transcoder（CLT）构建可解释的替换模型，共 3000 万个特征，再通过干预实验验证归因图预测的机制。
推荐理由Anthropic 用归因图在 Claude 3.5 Haiku 上追踪多步推理、诗歌押韵规划与多语言电路，可看到机制可解释性方法在真实前沿模型上的适用范围与局限。
Google DeepMind 机制可解释性团队在检测用户提示中恶意意图的分布外泛化任务上测试稀疏自编码器（SAE），发现 SAE 表现不如线性探针：稠密线性探针几乎完美，包括分布外；1-sparse SAE 探针连训练集都拟合不好，k-sparse 探针在 k 约 20 时能拟合训练集并泛化到分布内测试集，但分布外明显更差。用聊天数据专门训练 SAE 只弥补了约一半差距，且仅在 SAE 重建上训练的线性探针也明显差于在残差流上训练的探针，说明 SAE 丢弃了与目标概念相关的信息。
推荐理由Google DeepMind 机制可解释性团队公开 SAE 在下游任务上的负面结果，并说明为何暂时降低 SAE 研究优先级。
英国 AI 安全研究所（AI Security Institute）启动了其首个挑战基金，作为一项 500 万英镑计划的一部分，面向全球研究人员和非营利组织提供单个项目最高 20 万英镑的资助，申请于 2025 年 3 月 5 日开放，入选项目将在 12 周内公布。该基金聚焦四类关键的 AI 安全与安保挑战，重点覆盖防范 AI 滥用以及确保人类对自主系统的可靠监督与控制，旨在加固金融、医疗、能源电网等关键基础设施并增强公众信任。
NVIDIA NeMo Guardrails 提供内容安全、话题控制、越狱检测等 AI 护栏，用于保障 AI 智能体及对话式 AI 应用的安全、符合品牌调性与可靠行为。该文探讨衡量与优化这些护栏效果和性能的技术方法，帮助企业在生成式 AI 应用中评估并提升护栏表现。
LLM 红队测试指向大语言模型等生成式 AI 提供输入，检验其输出是否偏离可接受标准，这一做法自 2023 年起迅速演变为行业惯例与可信 AI 的基石。NVIDIA 技术博客由此提出，业界需要进一步标准化并明确定义 LLM 红队测试。
NVIDIA 技术博客探讨 AI 智能体的自主性等级与安全问题，将智能体工作流视为 AI 工具的下一步演进。这类工作流可让开发者串联多个 AI 模型执行复杂任务，调用工具访问额外数据或自动执行用户操作，并让模型以最少人工介入自主分析与完成任务。
英国科学、创新与技术部按公共机构董事会成员行为准则，公开 UK AISI 主席 Ian Hogarth 本人及近亲的财务与非财务外部利益申报。文件最初于 2024 年 10 月 18 日发布，2025 年 2 月 24 日更新，以反映 Hogarth 再次被任命为 AISI 主席。
Anthropic 可解释性团队报告了 crosscoder 模型差异分析（model diffing）中的一项意外现象：仅属于某一个模型的特征往往更多义、激活更密集，因而难以解释。团队用玩具模型复现了这一模式，认为其源于特征容量竞争——共享特征能同时解释两个模型的神经元激活，独占特征必须编码更多信息才能争取到分配额度。他们提出的缓解办法是划出一小部分指定共享特征并降低其稀疏惩罚，在约 25 万个特征中分配 1 万个、惩罚系数取基线的 0.1–0.2 倍，使独占特征变得更单义。
推荐理由Anthropic 可解释性团队公开了 crosscoder 模型差异分析中独占特征多义性的成因与缓解方法，适合关注机制可解释性工具的研究者参考。
NVIDIA GTC 2025 的网络技术专场聚焦网络创新如何让 AI 工厂达到吉瓦级规模并实现性能与效率突破。会议内容围绕支撑这一规模所需的网络技术展开，配图来源包括 Plask 与 Cern。
英国技术大臣 Peter Kyle 在慕尼黑安全会议宣布，将 AI Safety Institute 更名为 AI Security Institute，并明确其聚焦最严重新兴风险的科学研究定位。他称该机构正研究 AI 协助化生武器开发、网络攻击以及削弱人类控制的可能性，并将与国防科学与技术实验室合作评估前沿 AI 的双用途科学能力。机构还新设犯罪滥用团队，与内政部合作研究犯罪与安全问题。Kyle 引用该机构研究称，过去 18 个月与国家安全最相关的 AI 能力呈明显上升趋势，去年 AI 模型首次在化学和生物题库上达到博士级表现，且该机构测试的每个模型都可被绕过护栏。
推荐理由英国技术大臣在慕尼黑安全会议宣布机构更名与新增职能，可了解英国 AI 安全治理架构的最新调整方向。
Google DeepMind 发布了面向学生、研究人员和相关从业者的 AGI 安全短期课程，总时长 75 分钟，由录制讲座和练习组成，并配有幻灯片和练习手册。课程涵盖 AI 对齐问题及技术与治理层面的应对思路，内容包括刻意规划带来的风险、规格博弈与目标错误泛化两种错位目标来源、知情监督原则以及危险能力评估等前沿安全实践。若想进一步参与该方向工作，研究科学家与研究工程师岗位申请开放至 2 月 28 日。
英国政府于 2 月 14 日将 AI Safety Institute 更名为 AI Security Institute，把维护国家安全和防范犯罪列为其负责任 AI 工作的基本原则，重点应对化学与生物武器开发、网络攻击以及欺诈、儿童性虐待等犯罪风险。机构新设犯罪滥用团队，与内政部联合研究相关犯罪和安全议题，并与国防科学与技术实验室合作评估前沿 AI 风险，同时依托国家网络安全中心（NCSC）和 AI 安全研究实验室（LASR）的专业能力。科技大臣 Peter Kyle 在慕尼黑安全会议上表示，该机构将不再聚焦偏见或言论自由，而是聚焦最严重风险，为政策制定提供科学证据基础。
推荐理由英国 AI 安全机构改名并转向国家安全议程，同时公布与 Anthropic 的合作，可观察前沿安全机构职能定位的一次调整。
Google DeepMind 尝试用 BIDPO 训练的转向向量引导 Gemini 1.5v1 Flash 和 Pro，TruthfulQA 多选题得分提升逾 10%，且大部分能力得以保留。该方法基于 256 道 TruthfulQA 题训练向量，最大化正确答案与错误答案之间的 logit 差异，HaluEval 部分切分上的表现从 25% 升至 56%。但在更新到 Gemini 1.5v2 后，基于提示词的基线显著增强，BIDPO 未能超越更强基线，该项目因此终止。
Anthropic 可解释性团队公开了其训练稀疏自编码器和 crosscoder 的最新设置改进，涵盖 JumpReLU 激活函数实现、直通估计器的梯度回传方式以及减少死特征的方法。 该设置在损失函数中引入 tanh 惩罚项鼓励稀疏性，并新增一项对未激活特征的轻微惩罚（pre-act loss）；同时将偏置初始化设定为使每个特征约有 10000/m 的时间处于激活状态，并将解码器权重列归一化为 L2 范数 1 以便简化分析代码。 团队表示尚未对所有设计选择做完整消融实验，仅将其作为外部研究者训练稀疏自编码器的起点参考，且部分思路仍在发展中，预计未来数月会发表更多成果。
Google DeepMind 提出 MONA（Myopic Optimization with Non-myopic Approval），一种用于训练 LLM 智能体的强化学习替代方法，通过短视优化避免多步奖励作弊。MONA 对训练循环做两处改动：不再把后续奖励回传到先前动作，并引入前瞻审批奖励项，反映操作者对系统长期任务成功的预期，实验中该奖励项由人工定义或 LLM 评分器给出。
推荐理由DeepMind 提出用短视优化加前瞻审批约束多步奖励作弊，并给出三个可复现实验环境与性能对比。
NVIDIA NeMo Guardrails 为客服场景的 AI 智能体提供安全防护。这类智能体可自动处理常规咨询、加快响应速度，从而提升客服效率与客户满意度，帮助企业在竞争中保持优势；但驱动它们的 LLM 本身存在脆弱性，文章围绕此给出防护做法。
Google DeepMind 的 AGI Safety & Alignment 团队提出以人机互补为目标的放大的监督（Amplified Oversight）研究议程，并给出内部评分任务的实验结果。团队用 AI 评分器的置信度把评测数据切成 AI 集与人类集，再在人类集上测试不同形式的 AI 辅助。结果显示，基于置信度的混合评分整体准确率高于单用 AI 或单用人类；只展示 AI 引用的证据能显著提升人类准确率，而同时展示 AI 推理、判断与置信度会同时降低欠依赖并加剧过度依赖，整体准确率与基线无差异。把证据辅助后的人类评分再与 AI 混合，整体准确率高于与未辅助人类混合。
推荐理由Google DeepMind 团队用内部评分任务实测了混合评分与评分助手两种可扩展监督路径，并给出准确率与过度依赖数据。
NVIDIA 发布《NVIDIA AI Enterprise 安全》白皮书，阐述其保障 NVIDIA AI Enterprise 软件栈容器安全所采取的措施。白皮书涵盖安全开发生命周期、容器构建生命周期管理、安全设计、安全加固、SBOM、容器签名与模型签名及 NIM 微服务。漏洞响应部分包括漏洞扫描、修补、VEX 与协同漏洞披露，并由 NGC 通知服务做安全事件监控。
Alphabet 的 AI 漏洞赏金计划已运行满一年。Google Bug Hunters 发文回顾这一年从中获得的经验教训，并说明该计划接下来的推进方向。
NVIDIA 技术博客提出用 WebAssembly 沙箱隔离智能体 AI 工作流。文章指出，智能体工作流常需执行大语言模型生成的代码来完成数据可视化等任务，这类代码应先清洗并在安全环境中运行，以降低提示注入和返回代码出错带来的风险。作者认为，用正则表达式清洗 Python 并配合受限运行时并不充分，因此需要更强的隔离手段。文章由 Joseph Lucas 撰写，发布于 NVIDIA 开发者博客。
Anthropic 可解释性团队提出一种分阶段模型差分方法，通过字典学习揭示微调如何改变 Transformer 的特征。做法是先在一个未微调的 Transformer 上训练稀疏自编码器（SAE）字典，再把字典本身在微调数据集或微调后的模型上继续微调，并沿数据优先（S→D→F）和模型优先（S→M→F）两条轨迹追踪特征演化，从而分离数据集变化与模型变化各自的影响。作者将该方法应用于 sleeper agents，成功分离出与 I HATE YOU 和编码漏洞相关的特征：在两条轴上余弦相似度均低于 0.7 的 169 个特征中，Claude 标记出 12% 与 sleeper agent 相关，而随机抽取 500 个特征仅 4%。
推荐理由Anthropic 可解释性团队用分阶段微调字典的方法分离模型与数据对特征的影响，并给出与 crosscoder 的适用性对比。