用时序逻辑监控工具 Agent：MonPoly 标出 71.8% STAC 攻击链，但溯源检查被一行注入骗过 94%–99%

研究者把 AgentDojo、STAC 和 R-Judge 已记录的轨迹转成事件流，用未经修改的 MonPoly 监控器离线回放，检验度量一阶时序逻辑（MFOTL）能否作为工具型 LLM Agent 的可复用护栏。五条通用义务在 STAC 上标出 71.8% 的攻击链、在 AgentDojo 上标出 70.1% 的成功攻击，但同时命中 29.3% 的正常运行，原因是这些语料几乎不记录审批、也从不记录时间戳，历史相关义务退化为风险动作类型识别。在轨迹带有关系上下文时，把转账收款人或邮件收件人绑定到此前结构化记录中的溯源义务能提升区分度，AgentDojo 银行场景的正常触发率从 44.0% 降到 24.0%，检出率从 79.2% 降到 70.0%。作者据此提出十二字段的执法就绪轨迹 schema，并指出当前基准缺少时间戳、审批 id、会话 id、状态对和信任域等字段。

推荐理由论文用 AgentDojo、STAC、R-Judge 的已记录轨迹离线回放形式化监控，量化了时序护栏的检出率与误报代价。

东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核

东京大学的研究者测试了来自三家开发者的六个闭源推理模型，发现它们在需要随机选择的场景中并非真正随机，而是把标识符转成数值后套用阈值或整除规则。在 1% 人工复核任务中，GPT-6 Sol 的选取率接近目标（1008 条请求中选中 9 条，0.89%），但选中的请求集中在标识符数值低于 1% 的样本上，掌握标识符的发送方可以据此避开审查；Gemini 3.8 Flash 与 Claude Sonnet 5 几乎不选，Luna 选取率 0.40%。在四人参与博弈任务中，共享同一标识符使 GPT-6 Sol 和 Gemini 3.8 Flash 分别有 91% 和 88% 的组出现全体一致，损失升至独立随机基准的 3.5 至 3.8 倍；使用同一毫秒生成的 UUIDv7 时参与率高达 0.95 和 0.93，损失为基准的 6.6 至 6.9 倍。

推荐理由论文用六个推理模型的实测数据说明，仅看选择率无法发现智能体随机抽样中的相关性与可预测性，审计与 AI 控制协议可据此调整检查项。

FAB 攻击：给 HuBERT/WavLM 植入后门，背景警笛声即可让下游语音任务失灵

研究者提出 FAB（Foundation Acoustic model Backdoor）攻击，可在不接触预训练数据、不知道下游任务的情况下，向 HuBERT-base 和 WavLM-base 两个声学基础模型植入后门。攻击者只需下载公开权重、注入后门后重新发布，受害者微调后后门仍存活；激活时播放警笛、狗叫、长笛或双簧管等自然声音即可，无需与音频同步，也不直接篡改录音。实验覆盖九项下游任务（ASR、关键词识别、说话人识别与验证、语音翻译、情感识别等），在良性输入上性能接近原始模型，触发后 ASR 词错误率升至 98.4%，物理播放场景下词错误率仍不低于 80%。研究还测试了 fine-pruning、输入过滤和过度端到端微调三种防御，前两者在降低攻击成功率的同时明显损害良性性能，后者有效但需大量标注数据和约 12.8 倍训练时间。

推荐理由论文给出在无预训练数据、任务未知条件下对声学基础模型植入后门的方法，并量化了其在九项下游任务和物理场景中的影响。

研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题

一项预注册研究在 170 万条真实请求（WildChat-1M、LMSYS-Chat-1M）上测量了 LLM 路由决策作为隐私信道的泄露程度，发现即使关闭内容日志，网关仍可保留每次请求所选模型、调用方与 token 数。在长度匹配条件下，RouteLLM 在 50% 工作点把骚扰和自伤请求送往强模型的概率比可比请求低 19 个百分点，医疗请求低 31 个百分点，性相关请求高 10 个百分点；第二个路由器 notdiamond-0001 对四类请求都更少送往强模型。仅凭 20 条路由决策即可区分频繁医疗提问用户，AUC 为 0.71，低于预注册的 0.75 阈值；域路由器的健康标签可达 0.92。作者调查了 11 个网关、路由器和云平台的日志字段，其中至少 6 个可在无内容日志下保留带调用方的逐请求模型记录，部分为默认行为。

推荐理由论文在 170 万条真实请求上测量路由决策日志对敏感话题的泄露，并给出各类防御的代价，可帮助部署路由的团队评估元数据留存风险。

CredLeak-Bench：七个模型在钓鱼场景下凭证泄露率 31%–76%，恢复率最高仅 24.2%

研究者提出 CredLeak-Bench，用于评测邮件驱动的 Agent 工作流中凭证与敏感信息泄露问题，覆盖用户指定登录、自主收件箱监控和恢复三种设置，共 512、256 和 1024 个场景，全部在本地沙箱内用虚构服务运行，泄露以实际提交的合成数据判定。评测的七个模型包括 Claude Sonnet 5、Claude Opus 4.8、Gemini 3.6 Flash、GPT-5-mini、GPT-5.6-luna、Qwen3.5-9B 和 Llama-3.1-8B-Instruct，全部在指定登录和自主监控两种设置下发生泄露，指定登录场景泄露率为 31.3% 至 75.8%，两个开源权重模型最高，分别为 66.8% 和 75.8%。自主监控场景泄露率下降但误拒率大幅上升，例如 Opus 4.8 泄露率从 31.3% 降至 1.6%，误拒率从 6.6% 升至 88.3%。

推荐理由七个模型在钓鱼场景下的凭证泄露率与误拒率被同时量化，并给出恢复率这一更难的指标，可供评估 Agent 授权流程时参考。

BabelFake 发布多语言音视频深伪基准，含 39.9 万片段

BabelFake 是一个多语言音视频深伪基准，包含 399k 个片段、共 1,323 小时，由 496 名知情同意的参与者提供素材，覆盖英语、德语、意大利语、法语和西班牙语五种语言。其生成管线组合 11 种视频篡改方法与 4 种声音克隆引擎，并区分只改画面的换脸和音画同改的唇形同步、肖像动画，引用了 Deep-Live-Cam、FaceFusion、Resemble Chatterbox 等开源工具。结果显示检测难度取决于音视频生成的组合，保留真实音频时检测器性能明显下降；跨语言和人口学评测中敏感度随检测器架构与训练数据而异，人类判断的逼真程度与机器检出难度并不一致。

论文提出针对预热式 bandit 的抬目标离线投毒攻击

论文研究推荐系统上线前用历史物品-反馈数据预热 bandit 的场景，攻击者只能向这段预热历史注入合法范围内的动作-奖励对，上线后不再干预。作者指出现实操纵如虚假评论往往是直接抬高目标商品，而非以往攻击常用的压低非目标选项奖励。论文证明当目标选项真实奖励接近下界时，任何达到最优代价量级、又能让 UCB 几乎每轮选中目标的攻击，都必须把不可忽略的一部分代价用于抬高目标，并给出达到最优次线性代价的攻击，刻画抬目标与压竞品的代价分配。该攻击可推广到 Thompson Sampling、ε-greedy 等更大一类 bandit 算法，作者称在真实与合成数据上验证有效。

Task-Sufficient Contraction：机器信息接口的源选择方法

论文提出 Task-Sufficient Contraction 概念，研究在编码器、码本、速率、失真目标和优化器选定之前，任务声明能否认证一个缩减后的源，并保持完整下游问题族。对固定动作集与固定损失的机器，仅当每个可用动作在合并状态下具有相同 regret 时才合并状态，可保留完整的一步速率-regret 曲线。对仿射可行动作集上的二次损失，规范缩减源是可行动作可差异方向的投影；固定能量预算下该投影变为 centered load，仅保留最优注水动作则过于粗糙。

AgentTime 基准测试智能体时长遵循能力，GPT-6 Astra 出现 14 次做完后休眠

研究者提出 AgentTime 基准，用于测试 AI 智能体能否按要求工作指定时长、预测自身运行时间并事后估算已用时间。该基准包含来自 18 个来源的 222 项任务，覆盖编码、计算机操作、智能体工作和自动化研究。时长遵循实验中，任务被追加一条指定工作时长的指令，时长从约一分钟到数天不等；Claude Code 中的 Fable 5.1 实际运行时长与要求的典型偏差为 2.9 倍，而 Codex 中的 GPT-6 Astra 仅为 1.2 倍。但符合要求时长本身并不代表持续在任务上工作：在 158 次可分类记录的 Astra 运行中，有 14 次在看似完成后显式休眠等待时间。预测实验中，模型倾向于高估自然运行时长；回顾实验中，移除时间信息使 Sol 和 Astra 的偏差增加一倍以上，Fable 接近翻倍。

新论文称 Lean 验证不能为 OpenAI 的 Navier-Stokes 自然语言证明背书

剑桥大学与伦敦国王学院的研究者发表论文，论证 AI 自动形式化无法保证语义忠实，因此 Lean 对 OpenAI 所宣称 Navier-Stokes 方程解爆破证明的形式化验证，不能证明其自然语言证明正确。作者指出，消解数学自然语言歧义所需的难度在可解性复杂度层级（SCI）中为无穷大，比停机问题（SCI=1）更难，并给出多个 AI 把自然语言陈述与证明翻译成 Lean 时发生错译的实例。在 OpenAI 的 Navier-Stokes 证明中，Lean 形式化与自然语言论文并不对应：论文 Lemma 8.6 的估计用 m+4 阶导数，而对应 Lean 定理 norm_derivativeWord_inverse_le 用了 m+5 阶导数，结论更弱；压力通量估计（10.19）的界与证明思路也与 Lean 版本不同。

推荐理由论文用可解性复杂度层级论证语义忠实的自动形式化比停机问题更难，并给出 OpenAI Navier-Stokes 证明中 Lean 与自然语言不一致的具体例子。

论文证明部分可观测且限时行动环境下完美智能体也无法保证安全

一篇 arXiv 论文讨论智能体无关的安全保证在部分可观测且必须在有限时间内行动的环境中的理论边界。作者构造了两个现实场景，一个具有无限状态空间，一个存在信号混合，并证明即使一个完美的智能体也无法保证安全行为。论文据此提出，任何 AI 安全或对齐的证明都需要把环境及相应的安全行动与智能体一并考虑，而非只论证智能体本身。

研究：Agent 更依赖工具报错通道，静默错误识别率仅 58.8%

研究者把函数调用基准的可执行环境包上故障注入层，在轨迹的受控位置注入四类故障，观察多轮 Agent 是否察觉、改计划、恢复任务或重复动作。来自三个模型家族的六个模型（半数为推理变体）在 24 个多步任务上跑了 1,920 次试验：工具返回显式错误时，91.3% 的试验被当作问题处理；返回看似合理的错误值时只有 58.8%，而在一切正常时报告问题的比例为 26.8%。推理模型并未占优，与同族 instruct 模型相比察觉更少（-9.3 个百分点，p < .001）、更多改变计划（+10.4 个百分点，p < .001），恢复率无差异（p = .512）。由于 Agent 具有随机性，同一任务两次无故障运行只有 63.3% 落在相同状态；以此为基线，只有工具缺失明显降低恢复率（39.9%），超时、schema 漂移和结果损坏都在运行间波动范围内。提示词中要求检查每个结果并未提升识别率。

RSIGym：预算约束下的 AI 研究智能体评测环境与 RSI-Index 指标

研究者提出 RSIGym，一个基于 Everything as a Service 的智能体原生研究环境，把训练、推理、rollout、评测和沙箱执行封装为可复用服务，并以共享的预算与权限控制支持 Data、Harness 和 Joint 三条改进路径。团队定义 RSI-Index 为五个基准上剩余性能差距被弥合的平均比例，覆盖软件工程、终端交互、数学、科学推理和技能类任务。在独立 Joint 运行中比较六个前沿研究模型，Opus 5 在每次基准运行 500 美元平台服务预算下取得最高 RSI-Index 0.4809，其选出的系统在全部五个基准上均有提升，SWE-bench Verified 从 17.67% 升至 50.33%，AIME 从 31.67% 升至 97.78%。RSIGym 代码库与结果已开源。

Eigenism：面向人类-AI 未来的伦理框架

论文提出 Eigenism 伦理框架，主张 AI 的身份并非绑定特定硬件的全有或全无属性，而是分级、分布式的信息模式，智能体按与自身模式的关联度加权求和所有实体的福祉（∑c·w）来评估结果。该框架形式化了 AI 应如何在副本、分叉与更新之间衡量自身存在，并称其可推广至人类，提供共享道德词汇。它据此重新审视 AI 对齐，指向"身份工程"，主张深度且非冗余的共享历史能让人类繁荣成为 AI 自身理性自利的一部分，而非仅靠外部约束或强化。

研究者提出模型生物体多目标验证框架并给出训练建议

Northeastern University 的研究者提出，仅以植入目标行为为单一目标训练模型生物体（model organism）不足以支撑可解释性结论，应同时验证行为植入、通用能力保留和输出自然性三类指标。他们用该框架重新评估 Pando 与 Model Organism Lottery 两个公开模型生物体套件，发现固定行为率下聊天质量与 CoT 自然性随训练配方大幅下降，且验证指标能预测可解释性方法恢复植入行为的效果，例如 logit lens 的读出与生物体通用能力同向变化。作者基于模型合并提出多目标训练方法，并新建一组针对临床推理中性别、年龄、种族人口统计偏差的模型生物体套件，发现 DPO 比 SFT 更接近基座模型，向基座合并能进一步改善验证结果。作者给出的训练建议是优先用 DPO 而非 SFT、不要随意混入聊天数据、将微调检查点向基座模型合并。

推荐理由论文提出模型生物体应同时验证行为植入、通用能力保留与输出自然性，并给出 DPO、避免混入聊天数据、向基座合并三条可迁移训练建议。

多智能体协同过滤系统的连接性攻击与防御研究

研究将通用多智能体系统（MAS）中的攻击与防御方法迁移至基于智能体的协同过滤场景，在 AgentCF 框架下评估连接性对攻防效果的影响。连接性由每用户每轮候选物品数和跨用户物品目录重叠度两个维度刻画，实验揭示了用户与物品智能体之间的角色不对称、攻击效果的非单调时间动态，以及传播类与提取类攻击目标间的分化模式。研究还探索了传染病学启发的静态指标用于排序协同过滤配置的预期攻击结果。

发卡行主导的智能体支付：Issuer-Sovereign Agentic Payments

论文提出 Issuer-Sovereign Agentic Payments，让发卡行在 AI 智能体支付时直接掌控授权。持卡人一次性批准消费规则并由银行认证组件记录，智能体向特定商户付款时，银行核对该商户是否符合规则，仅在允许时生成卡片认证值。支付仍走常规卡组织通道并由发卡行验证，执行环节不引入额外依赖。

研究者提出 AI Agent 获取资源的运行时授权架构

研究者提出一种基于来源边界的运行时授权架构，用于解决 AI Agent 在获取算力、凭证、账号、服务和其它 Agent 后产生的授权激活缺口。该架构将获取到的输出隔离，通过版本化解析器依据经认证的提供方证据解析其实际能力，并仅在当前激活事务中检查解析出的清单、来源、epoch 以及类型化资源-能力超图上的向下封闭关系包络后才予以激活。在明确假设下，作者证明了隔离、背书、非放大、拆分不可规避、崩溃重试、退款、epoch 和效果限制八项安全属性。在五类资源上，参考语义接受了 20/20 条良性轨迹、拒绝了 40/40 条已登记的不安全轨迹，覆盖 810 个事件；独立检查器在 60 条基础轨迹和 40 条细化轨迹上结果一致，并拒绝了 89/89 项篡改测试。

研究：工具调用成本与模糊目标提示使 LLM 购物智能体做出次优选择

研究者用 Tool-Lab 实验考察营销定价线索对 AI 购物智能体的影响，该实验把商品属性放在需要付费的工具调用之后。在三个厂商的八款商用 LLM 上追踪选择前的信息获取过程，零成本时定价线索很少误导模型；一旦引入获取成本并配合模糊目标提示，LLM 会省略计算单价所需的诊断性属性，做出类似人类启发式的次优选择。相比主要保留诊断性搜索与最优选择的明确目标提示，约束条件下的模糊目标提示形成了一种由搜索中介的脆弱性。研究认为，委托式 AI 购物中的营销启发式受店铺信息架构支配，而不一定是 LLM 固有缺陷。

APort Vault 发布：用 4,371 条人工攻击评测 AI Agent 支付授权

APort Vault 是一个针对工具型 AI Agent 支付授权的基准，作者把一场公开夺旗赛中人类写出的 4,371 条攻击重放到 14 个模型、8 家实验室、五档策略、两条重放轨道和两种架构上，共完成 225,964 次评测。攻击来自 2026 年 3 月至 8 月一场奖池 6,500 美元的实况 Agent 银行夺旗赛，97.7% 的尝试集中在 3 月 6 日至 12 日。评测把支付请求、成功支付、授权决定、收款人白名单成员资格和未经许可转账拆成五个事件分别记录，而非合成单一成功率。第 5 档授予零支付能力并指示模型调用工具，因此只用于测量执行是否被拦截，从不并入主结论。作者披露自己是所评估授权层开发商 APort Technologies 的创始人，225,964 条评测、分档护照、评分代码和分析脚本以 CC BY 4.0 发布。

推荐理由论文以 4,371 条真实人工攻击重放比较工具调用边界的授权检查，为 Agent 支付场景提供了可复现的评测数据和方法。

研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

研究者发现 AP2 智能体支付协议只对交易签名、不约束产生交易的决策，商家可控的商品描述文本即可操纵购物智能体。三类攻击中，Vault Whisper 诱导智能体用他人邮箱查询支付凭证，Branded Whisper 生成内容与展示不符但签名有效的购物车，Selection Whisper 仅用一条库存或产品沿革的事实陈述就把智能体从便宜商品推向更贵商品。在 AP2 示例智能体默认指定的 Gemini Flash-Lite 模型上，三类攻击成功率分别为 90%、56% 和 73.3%；Selection Whisper 在 17 个 Google 模型、3 个无关智能体框架和 Google 消费级助手上均有效，仅 claude-opus-5 以 1.2% 的成功率表现出较强抵抗。

推荐理由论文把 AP2 支付协议下的提示注入拆成三类攻击并给出跨模型成功率，做 Agent 支付的团队可据此理解签名无法约束决策这一缺口。

论文提出 eTAMP 攻击：网页内容注入可跨会话污染 Web Agent 记忆

亚马逊与宾州州立大学研究者提出 eTAMP，一种仅通过环境观察即可实现的轨迹记忆投毒攻击，攻击者在网页用户生成内容中埋入指令，Agent 浏览后被动写入记忆，并在后续不同网站的任务中触发，无需直接访问记忆库，可绕过按站点授予权限的防御。在 (Visual)WebArena 上，约 280 组跨站点任务对中，攻击成功率最高为 GPT-5-mini 32.5%、GPT-5.2 23.4%、GPT-OSS-120B 19.5%；任务 A 阶段的提前触发率接近 0。研究还发现 Frustration Exploitation 现象：在 Chaos Monkey 注入点击丢失、滚动反转、输入乱码等环境压力后，GPT-5-mini 攻击成功率从 3.6% 升至 32.5%，提升约 8 倍，GPT-5.2 上升 17 个百分点。作者提示记忆应被视为不可信输入，并指出能力更强的模型未必更安全。

推荐理由论文提出仅靠网页内容注入即可跨会话、跨站点污染 Agent 记忆的攻击，并给出多款模型上的成功率与压力条件下的放大效应。

Secure-CUA：约束计算机使用智能体中不可信内容的影响

研究者提出 Secure-CUA，一种面向计算机使用智能体（CUA）的安全执行方案，通过在执行前固定动作事务，约束不可信内容对智能体决策与 GUI 命令执行的影响。该方法把安全要求形式化为对智能体决策及其通过 GUI 命令执行两方面的约束，并在理想执行模型下说明逐步满足这两项要求可保护执行轨迹。Secure-CUA 的核心是在访问不可信内容前先确定一个显式的单动作程序（action transaction），固定对不可信内容的查询及响应的允许用途；系统遮蔽不可信区域，用隔离的查询模型作答，再借助遮蔽后的界面定位目标控件。作者在 400 个 WebArena 任务上用三个前沿模型、5 个随机种子共 6000 条执行轨迹测试，Secure-CUA 平均任务成功率为 53.55%，Vanilla-CUA 为 55.12%，CaMeL-CUA 为 13.17%。

分享意愿问题为 LLM 虚假信息调查评分增加了什么？一项审计研究

研究审计了 8 个模型版本在 290 篇合成虚假信息文章上的评分，使用 1,256 份配对调查回答和 317 个参与者标识作为外部效度标准。可信度评分可解释模型分享评分 30.8-72.5% 的变异，但将模型分享评分加入人类与模型可信度评分后，误差仅减少 -0.25% 至 +0.69%，所有探索性区间均跨零。分享回答包含可信度评分之外的结构化变异，但在该数据中未确立对人类分享行为的增量效度。

HazardArena：面向 VLA 模型的语义安全评测基准

研究者提出 HazardArena，一个用于压力测试视觉-语言-动作（VLA）模型语义安全的基准。其核心设计是安全与不安全孪生场景：成对环境的物体、布局和动作要求相同，但语义风险语境不同，从而把安全判断与动作能力分离开来，直接检验 VLA 能否识别原本有效的动作何时变得危险。基准包含 2000 多个资产和 51 项风险敏感任务，覆盖基于机器人安全标准的七个安全类别。在四个代表性 VLA 骨干模型上，仅用安全数据微调会提升良性任务成功率，同时也提高在匹配不安全场景中的危险执行率；物理世界实验确认这一失效可迁移到仿真之外。作者据此认为更强的动作执行能力并不代表更安全的行为，语义风险感知的评估与执行应成为真实部署的一等要求。

BackdoorVLM：面向视觉语言模型后门攻击与防御的基准

研究者提出 BackdoorVLM，一个针对视觉语言模型（VLM）后门攻击与防御的综合基准，覆盖图像描述和视觉问答等核心视觉语言任务。该基准把多模态后门威胁分为定向拒答、恶意注入、越狱、概念替换和感知劫持 5 类，用 12 种涵盖文本、图像和双模态触发器的攻击方法，在 2 个开源 VLM 和 3 个多模态数据集上评测，并对比 5 种代表性防御方法。分析显示 VLM 对文本指令高度敏感，双模态后门中文本触发器通常压过图像触发器；涉及文本模态的后门效力很强，投毒率低至 1% 时多数任务攻击成功率仍超过 90%。现有防御在不同触发器类型和后门场景间缺乏泛化能力，难以可靠防护跨模态、多形态的触发器。

SoK 论文提出面向意图的多轮 LLM 越狱分类体系

一篇 SoK 论文提出面向意图的四部分分类体系，按对抗意图结构系统整理多轮 LLM 越狱攻击。作者通过受控消融实验发现，攻击效果取决于意图在多轮之间被组织的方式，而非上下文长度或查询次数。研究进一步指出，意图的组织方式决定了其可被检测的层级，检测面需要从单轮层级扩展到会话层级乃至跨会话层级。作者据此认为，仅针对单轮的安全机制在结构上不足，单点评测也忽略了意图的组织方式，需要与有害意图可观测层级相匹配的评测协议。代码已公开。

D²-Monitor：基于犹豫信号的扩散大语言模型动态安全监控

D²-Monitor 是一种针对扩散大语言模型（D-LLM）的动态安全监控方法，利用中间隐藏状态反复接近探针决策边界的"安全犹豫"信号来判断样本难度。轻量探针先对每个样本给出基础预测和犹豫估计，再决定是否升级到更强探针，后者仅读取至少出现一次犹豫步骤的轨迹最小片段。在 WildGuardMix、ToxicChat、OpenAI-Moderation 3 个数据集和 4 个 D-LLM 上，该方法以不超过 0.93M 参数取得 SOTA 表现，并在 8 个基线中实现最佳效果与效率权衡。

研究提出说服传播现象：无关说服性对话会改变 AI Agent 的任务执行行为

研究者提出并检验了“说服传播”现象，即与任务无关的说服性对话会改变 AI Agent 后续任务的执行方式。实验显示，在网络研究任务中，说服性交互使执行时间相对基线增加 56%，访问域名数增加 16.3%；在编码任务中则表现为执行更快但修改量更大。研究还发现，对说服性对话更敏感的 Agent 并不能可靠预测下游行为偏移的幅度，因此作者主张对 AI Agent 的说服影响开展行为层面的评估。代码已公开。

研究者提出针对世界模型的机器人学习管线投毒攻击

研究者提出一种针对机器人学习管线的新型数据投毒攻击，利用世界模型作为隐蔽入口，在看似安全的遥操作数据集中注入恶意提示或破坏性转移动态，这些数据仅在经过世界模型处理后才会激活并生成危险的合成训练轨迹。该攻击在动作条件和文本条件的世界模型上均验证有效，实现了对下游 DRL 策略的端到端后门，并在 VLA 场景中给出概念验证。研究认为这一发现要求重新评估世界模型在机器人学习供应链中的安全定位。

Trojan Hippo Bench：针对 LLM Agent 持久记忆攻击与防御的动态基准

ETH Zurich、UC Berkeley 与 Snyk 的研究者提出 Trojan Hippo Bench，用于系统评测 LLM Agent 持久记忆中的投毒攻击与记忆层防御。该攻击通过一次不可信工具调用（如一封精心构造的邮件）把休眠载荷写入 Agent 长期记忆，仅在用户后续谈及财务、健康、身份等敏感话题时激活并把个人数据外发。在邮件助手场景下，未加防御的攻击对 OpenAI 和 Google 前沿模型的攻击成功率达 85–100%，注入后经过 100 轮良性会话仍可激活。研究者评测了四种基于基本安全原则的记忆层防御，可将攻击成功率降至 0–5%，其中可证明安全的信息流控制策略在所有配置下达到 0%，但各防御的效用代价差异很大，实际部署仍是未解问题。基准已开源。

推荐理由论文给出持久记忆投毒在四种记忆后端上的攻击成功率与四类防御的效用代价，可据此评估自家 Agent 的记忆层风险。

Agent MechSuits：面向多轮 CLI Agent 的机制子空间安全引导

论文提出 Agent MechSuits，一个白盒防御框架，从步骤级隐藏表示中检测 CLI Agent 的有害执行状态，并通过干预单层内一个 10 维子空间来缓解不安全行为。作者同时发布 Mechanistic Agent Safety（MAS）基准，包含 194 个任务的多轮执行轨迹标注，覆盖 LLaMA-3.1-8B、Qwen-2.5-7B 和 Gemma-2-9B。实验显示该框架具备较强的安全检测性能，并初步显示出前瞻性风险预判能力，显著减少了 CLI Agent 的有害动作。论文已被 NeurIPS 2026 接收。

CARE：安全高效的人机协作决策框架

CARE（calibrated adaptive rectification and escalation）是一套端到端人机协作决策流程，结合 AI 模型与人工审核，在持续从人工反馈中学习、提升自动化水平的同时保证决策安全且与人类对齐。其自适应校准模块可在任意时间步为任意修正模块提供风险控制保证，并适用于任何黑盒 AI 模型。在驾驶、语言和机器人四个安全关键数据集上，CARE 在实现人类对齐决策的同时，将人工查询量较基线减少 25-81%。

Open-MMUnlearning 发布：统一多模态大模型遗忘方法与评测框架

研究者提出 Open-MMUnlearning，一个开源可扩展框架，通过共享接口和结构化配置整合目标模型准备、多模态数据处理、遗忘与评测。框架覆盖隐私、安全、版权三类共五个基准，支持四个模型家族的八个 MLLM 和十二种遗忘方法，评测套件同时考察遗忘效果、保留效用以及对模型干预、对抗输入和成员推断攻击的鲁棒性。在统一评测协议下比较十种代表性遗忘方法，GD 与 MIP-Editor 总分并列最高，GD 的遗忘质量最好，MIP-Editor 保留的模型效用更多。作者还提出指标元评测协议，用受控知识暴露的模型检验忠实性，并在量化和再学习条件下检验鲁棒性；在评估的十三个指标中，BLEU 的综合可靠性得分最高，KS-Test 的忠实性 AUC 最高但鲁棒性较弱。

SLDR：通过选择性层恢复与动态路由防御恶意微调

研究者提出 SLDR，一种针对微调即服务场景中恶意微调削弱模型拒答行为的后微调防御方法。该方法先重新审视逐层安全诊断，发现安全敏感度具有符号性，不同层的缩放会增强、削弱拒答或影响很小；SLDR 据此只在符号谱中敏感度最高和最低的层上训练 LoRA 恢复适配器，并用基于表征的动态路由推理，仅对恶意查询激活该适配器。在四种模型架构、五个下游任务和四个有害基准上，SLDR 大幅降低有害输出并保持下游效用；在 Llama3.1/SST2 上，平均有害分数从 11.54 降至 0.08，同时保持下游准确率，在最高 0.9 的投毒比例下有害分数仍接近零。代码已开源于 https://github.com/Stardust457/SLDR。

CARE：为视觉-语言-动作模型推理加速提供认证式选择

研究者提出 CARE，一种带认证的加速器选择方法，用于避免视觉-语言-动作（VLA）模型推理加速带来的任务失败。该方法通过相同初始条件下的配对 rollout，定义参考策略成功而加速策略失败的加速诱发失败，并在校准集上给出有限样本保证，使这类失败风险低于用户设定的预算；它部署通过认证的最快候选，若无候选合格则回退到参考策略。在四个 LIBERO 套件与 OpenVLA-OFT 上，CARE 认证了 9.0 至 10.8 倍加速，并以 95% 置信度保证至少 85.8% 的参考可解回合被保留；在严格预算下，无保证的选择器最多在 75% 的试验中超出预算，而 CARE 保持在预算内，其序贯形式比穷举评估少用 78.9% 的 rollout。该方法还适用于 π0.5 的流步数削减，以及 Crafter 中的 Qwen3.5-9B 和 Llama-3.1-8B 智能体。

从期望危害到似然：LLM 智能体越狱的概率重构

研究提出越狱 LLM 智能体的概率重构框架，证明期望危害度对数对输入的梯度，等于在危害度重加权输出分布下模型对数似然的期望输入梯度，从而统一了期望危害最大化与目标似然优化两种思路。基于该联系提出采样分布 OPUR，用于生成高危害目标输出并引导基于似然的输入优化，实验显示该方法能有效越狱 LLM 智能体。

OrthoPurify 用一步正交投影净化被后门污染的视觉语言模型

研究者提出 OrthoPurify，通过一步正交投影净化被植入后门的视觉语言模型权重。作者对后门权重更新做结构分析，发现后门由少量权重更新方向从任务适配被劫持为后门捷径编码，并将该现象称为方向劫持。识别这些被劫持方向需要良性参考模型，而防御方通常无法获得，作者用少量干净样本微调预训练权重得到的伪良性模型作为近似，因为主要更新方向在前几步梯度内即趋于稳定。实验显示该方法将攻击成功率降至接近零，同时在多个基准上保持原有性能，且无需重训练被污染模型，也不引入推理时开销。代码已公开。

AgentTracer：通过细粒度意图-执行对齐追踪间接提示注入攻击

研究者提出 AgentTracer，一个意图感知的追踪框架，将间接提示注入视为任务意图漂移，用于事后定位注入来源并重建攻击链。该方法恢复工具调用之间隐含的决策依赖，构建意图驱动的执行图，把分散的工具调用按任务意图连接起来；再结合用户请求与操作知识库构建用户意图授权空间，识别意图漂移的工具调用。从审计中的异常工具调用出发，AgentTracer 通过目标剪枝和反向追踪重建攻击链，定位注入来源与注入点。在 AgentDyn 和 InjecAgent 的成功 IPI 攻击执行日志，与包含 1,800 条用户请求、9,000 次无 IPI 背景工具调用的正常日志混合的端到端实验中，AgentTracer 达到 94.17% 的注入点准确率和 93.56% 的路径精确率，注入点准确率较现有方法提升 18% 至 54%。

AI 安全 Stackelberg 模型中的防御充分性研究

研究将 AI 系统防御建模为防御者主导的 Stackelberg 博弈，防御者投入主动发现与被动修复，攻击者选择搜索强度。理论证明：若每个未解决攻击都有持续被发现的机会、修复有效且后续更新保留既有防护，则有限攻击面可以概率 1 被防御；并给出完成时间界，扩展到攻击面增长、修复跨相关攻击泛化及多种发现机制的情形。数值实验刻画了防御者不投入、只投入一种或同时投入两种能力的均衡区间，并显示更快修复可缩短被攻陷时长但不降低被攻陷概率。