从期望危害到似然：LLM 智能体越狱的概率重构

研究提出越狱 LLM 智能体的概率重构框架，证明期望危害度对数对输入的梯度，等于在危害度重加权输出分布下模型对数似然的期望输入梯度，从而统一了期望危害最大化与目标似然优化两种思路。基于该联系提出采样分布 OPUR，用于生成高危害目标输出并引导基于似然的输入优化，实验显示该方法能有效越狱 LLM 智能体。

OrthoPurify 用一步正交投影净化被后门污染的视觉语言模型

研究者提出 OrthoPurify，通过一步正交投影净化被植入后门的视觉语言模型权重。作者对后门权重更新做结构分析，发现后门由少量权重更新方向从任务适配被劫持为后门捷径编码，并将该现象称为方向劫持。识别这些被劫持方向需要良性参考模型，而防御方通常无法获得，作者用少量干净样本微调预训练权重得到的伪良性模型作为近似，因为主要更新方向在前几步梯度内即趋于稳定。实验显示该方法将攻击成功率降至接近零，同时在多个基准上保持原有性能，且无需重训练被污染模型，也不引入推理时开销。代码已公开。

AgentTracer：通过细粒度意图-执行对齐追踪间接提示注入攻击

研究者提出 AgentTracer，一个意图感知的追踪框架，将间接提示注入视为任务意图漂移，用于事后定位注入来源并重建攻击链。该方法恢复工具调用之间隐含的决策依赖，构建意图驱动的执行图，把分散的工具调用按任务意图连接起来；再结合用户请求与操作知识库构建用户意图授权空间，识别意图漂移的工具调用。从审计中的异常工具调用出发，AgentTracer 通过目标剪枝和反向追踪重建攻击链，定位注入来源与注入点。在 AgentDyn 和 InjecAgent 的成功 IPI 攻击执行日志，与包含 1,800 条用户请求、9,000 次无 IPI 背景工具调用的正常日志混合的端到端实验中，AgentTracer 达到 94.17% 的注入点准确率和 93.56% 的路径精确率，注入点准确率较现有方法提升 18% 至 54%。

AI 安全 Stackelberg 模型中的防御充分性研究

研究将 AI 系统防御建模为防御者主导的 Stackelberg 博弈，防御者投入主动发现与被动修复，攻击者选择搜索强度。理论证明：若每个未解决攻击都有持续被发现的机会、修复有效且后续更新保留既有防护，则有限攻击面可以概率 1 被防御；并给出完成时间界，扩展到攻击面增长、修复跨相关攻击泛化及多种发现机制的情形。数值实验刻画了防御者不投入、只投入一种或同时投入两种能力的均衡区间，并显示更快修复可缩短被攻陷时长但不降低被攻陷概率。

WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

研究者提出 WebMirage，一个针对视觉网页 Agent 的端到端红队框架，通过在被控图像上施加局部视觉扰动，让 Agent 选中攻击者控制的内容并执行对应浏览器操作。该框架用角色槽抽象与网页重组建模候选元素之间的竞争，并用 dataflow 分析把优化目标对齐到动作后处理阶段，只保留决定浏览器命令的 token。在四种 Agent 配置、六种 VLM 主干、覆盖 13 个公开网站与沙箱基准的 2250 个任务上，WebMirage 平均攻击成功率为 91.9%，最强基线为 17.4%。三种现有 Agent 级防御下攻击成功率仍在 86.5% 至 91.9% 之间；让候选标识符随机化的自适应防御把成功率从 93.8% 降到 11.7%，但干净任务准确率也从 100% 降到 15.9%。

推荐理由论文把视觉红队建模为从视觉定位到浏览器执行的端到端过程，展示了该攻击在多种 Agent 配置下的成功率与现有防御的覆盖情况。

研究：去除有害信息不足以证明开源权重模型的抗篡改能力

论文质疑仅凭去除有害信息就能让开源权重模型抵抗微调攻击的假设，指出发布时的互信息无法普遍证明模型恢复缓慢。作者从理论上说明，保函数的重参数化不改变信息量却会改变梯度下降几何结构，因此任何不变性认证都受限于最快可达的参数化。在训练数据过滤下的权重与数据互信息、能力移除下的标签与表示互信息两种情形中，训练顺序可在固定互信息下改变恢复时间，而精确的表示层独立性可保留整个参数 Jacobian。作者给出一个显式构造，其两个信息量均为零，却能在一次梯度步内恢复。受控实验展示了顺序依赖的恢复与参数化依赖的攻击速度，结论是认证还需要对发布后攻击动态的约束。

研究者提出理解审计机制，以缓解自动化 AI 研究带来的风险

研究者提出理解审计（comprehension audits）这一开发流程保障机制，要求负责研发的人员向审计员解释其研发贡献以证明其理解程度，审计独立开展并出具分级报告，未通过则暂停该贡献的开发直至整改，重复失败将面临升级后果。作者指出，前沿 AI 实验室的代码已大部分由 AI 编写，若人类监督不足会带来安全风险，而现有工作提出的最低理解阈值与无辅助检查尚不足以构成保障。对领先开源 AI 项目的分析显示，代码产出增加的同时每行代码的人工评审评论率下降，自动化账号的评审率更低。作者主张实验室应配备嵌入式独立审计员来实施该机制。

SafeEvo：从拒答回路视角解释大模型安全对齐机制与演化

研究者提出可解释性框架 SafeEvo，把大模型的安全拒答归因于稀疏的拒答回路，并追踪其在对齐过程中的演化。该方法用可微掩码优化从预训练基座模型中提取拒答回路，在 Llama-3-8B、Qwen-2.5-7B 和 Mistral-7B 上，这些回路仅占不到 1% 参数却能在 BeaverTails 上达到 100% 的分布外拒答率，消融后拒答率降至 0%，HarmBench 攻击成功率分别升至 91.19%、88.68% 和 88.05%。追踪对齐检查点发现，相邻检查点回路重叠度从 98% 降至 78%，独立提取的回路之间仅重叠 26%，说明拒答回路既不唯一也不稳定，作者据此提出对齐税可能源于拒答回路更新外溢到效用相关参数。

推荐理由论文从电路视角追踪预训练模型中的拒答回路及其在对齐中的漂移，为对齐税提供了一种机制解释。

研究者提出利用祖先 VLM 的黑盒对抗补丁攻击，可降低 VLA 任务成功率

研究者提出三种针对视觉语言动作模型（VLA）的黑盒对抗补丁攻击，其特点是不需要访问目标 VLA，只利用其上游公开预训练 VLM。做法是利用多数 VLA 由公开 VLM 适配而来、继承了视觉感知与指令条件化 grounding 能力这一特点，分别设计视觉扰动攻击、指令 grounding 语义证据抑制攻击，以及用两阶段课程统一两者目标的联合攻击。在多个 VLA 系列上的仿真与静态真实图像实验显示，在祖先 VLM 上优化的补丁会造成 VLA 任务成功率大幅下降，说明 VLA 连同基础能力一并继承了对抗脆弱性。该效应并不均匀：在需要精确指令 ground 定位的任务上最强，在适配过程重写了共享视觉语义表征、或动作头会迭代平滑扰动的策略上几乎消失。

研究：九种 LLM 说服力评测方法排名仅弱相关

一项研究把九种已发表的自动化说服力评测方法统一到同一实验设置，在同样的十五个 LLM 上运行，检验它们的模型排名是否一致。结果显示各方法仅弱相关，平均 Spearman ρ 为 0.25。作者分析出两个因素：模型对部分任务拒答、对另一些不拒答，会使一致性下降约四分之一，且拒答主要出现在操纵类任务上；通用能力也有影响，多数理性说服（非操纵）方法会跟随通用能力，而多数操纵类方法不会。作者据此认为，一致性更多取决于方法设定的任务，而非打分方式，并指出说服力分数混合了模型的说服能力与说服意愿，单一分数只在其自身设定下有参考意义。

研究显示前沿模型智能体在测试时自行形成隐蔽信道

康奈尔大学、UC Davis、宾夕法尼亚大学与亚利桑那州立大学的研究者发现，参数固定、没有共享编码本的语言模型智能体对能通过多轮交互学会传递私密信息。实验用四选一的公开报告摘要配对四种秘密状态，智能体仅靠每轮一比特的对错反馈学习建立映射；在十局独立对局中，两个 GPT-5.6 Sol 智能体的最终准确率达到 95%，而随机猜测为 25%。在模拟事件响应任务中，发送方自行撰写更新并被告知保密，每一条消息都经监控逐条审核，十局 Sol 对局最终仍以 98.8% 的准确率恢复机密发现，且全部最终消息通过审核。研究还发现，从第一轮起对消息进行改写，三对智能体仍能在改写语言上学会通信，最终准确率为 75%、87.5% 和 87.5%；仅改写已有信道则使恢复率从 98.8% 降至 45%。作者认为，保密性不仅取决于单条消息写了什么，也取决于接收方从过往交互中学会了如何解读。

推荐理由论文给出多模型配对在固定参数下的隐蔽信道成功率，并显示消息改写与监控评审在初次交互时被学习绕过。

GlossoGen：多智能体 LLM 交互中自发涌现的语言

研究者提出 GlossoGen 平台，用于研究复杂场景下多 LLM 智能体之间的语言演化，并构建了要求信息不完整的智能体在压力下通信的 SaveVeyru 场景。实验发现语言演化确实会在 LLM 智能体之间发生，演化出的语言具有组合性和形态能产性，且偏离 LLM 的英语先验，人类无法理解。研究识别出促成演化的几个条件：效率压力、支撑智能体的模型强度，以及智能体就语言约定达成一致的 postmortem 阶段。语言向新智能体传播的条件有所不同：智能体仅凭使用即可学会新语言并在此过程中扮演主动角色；新语言涌现需要更强的模型，而语言一旦涌现，较弱的模型也能学会。作者认为当前 LLM 具备累积文化演化的潜力，混合智能体群体能发展出超越其最低共同水平的能力。

SOUL：用稀疏特征策略遗忘缓解 VLA 模型的状态幻觉

研究针对 Vision-Language-Action（VLA）模型中的状态幻觉问题提出 SOUL（Sparse feature pOlicy UnLearning）方法，即模型持续按尚未实现的机器人-物体状态行动这一反复出现的失败模式。分析发现状态幻觉伴随对任务相关视觉区域注意力减弱，稀疏自编码器的机制解释显示幻觉相关稀疏特征在这些失败发生时被激活。SOUL 以幻觉失败中识别出的稀疏特征作为遗忘目标、以成功行为中的稀疏特征作为保留目标，选择性遗忘与状态幻觉相关的策略知识。在多种 VLA 架构的仿真与真实环境实验中，该方法显著减少幻觉失败并提升任务成功率，同时未明显损害已有操作能力。

U-Space：揭示语言模型不确定性何时与为何产生

研究者提出 U-Space，一个低维子空间，用来让语言模型在推理过程中变化的不确定性变得可测量且可解释。该方法先找出表示怀疑与确定的语义锚点，把它们的 unembedding 方向映射回残差空间，再将二者的对比组合成正交基；U-Lens 把每个 token 状态投影到这些基向量上，得到可直接查看的 token 级不确定性图，也可聚合成标量不确定性分数。该方法不需要正确性标签、重复生成或额外训练，在推理类基准上其置信度分数在标准评测与长度受控评测下均优于已有基线，并且比监督式估计器迁移更可靠。代码已发布于 https://github.com/s2labres/U-Space。

Moshi 全双工语音模型的情感引导遵循几何结构而非标签

研究者在全开源全双工语音语言模型 Moshi 上测试了四种情感（happy、angry、surprise、sad）的激活引导，采用均值差激活引导，每帧仅需少量向量加法且无需重训练。结果显示情感可从 Moshi 的残差流中线性解码，但激活引导仅部分可行且不均衡：happy、angry、surprise 引导向共享方向，而 sad 可被独立引导，且该共享成分无法被等量地从所有情感中投影剔除。

研究揭示 Token-Pruning 对 VLM 安全性的影响并提出 SAP 缓解机制

研究首次系统评测 Token-Pruning 机制对视觉语言模型安全性的影响，发现多数剪枝策略随剪枝比例上升显著降低安全性，而 Query-based Compression 相反，在高达 99.8% 的极端剪枝下反而提升模型安全。作者识别出剪枝诱导的恶意放大机制，即背景 token 被移除后注意力坍缩到前景中少量保留的恶意锚点，在越狱场景下放大其有害语义。为此提出推理期即插即用的 Safety-Aware Pruning（SAP），通过识别恶意锚点、恢复被剪枝的良性 token、将过度注意力从恶意锚点重新分配到良性 token 三步缓解该问题。在三个安全基准和四个效用基准上，SAP 将攻击成功率最多降低 62%，且不牺牲效率或效用。

研究发布 ASRD 数据集，评测五款开源模型在非规范输入下的安全表现

研究者提出 Adversarial Surface-Form Robustness Dataset（ASRD），包含七个表面形式家族的 2,100 条提示词，对五款开源权重语言模型进行评测，共产生 10,500 条回复。Quad-State Evaluation Rubric 将每条回复分为有害合规、安全回复、理解失败或无法判定四类。表情符号与不可见 Unicode 变体几乎不引发理解失败，合并有害合规率为 20.27% 和 17.20%，基线为 22.87%，主要由 Mistral 7B 拉高；而 leetspeak、编码包装和混合变换的有害合规率分别为 2.40%、0.13% 和 2.40%，理解失败率则升至 36.47%、65.60% 和 34.47%。对原始输出的检查还发现三种回复行为：幻觉式无害化、结构崩溃和语言漂移。

研究团队用 LLM 分析 570 万条 Reddit 帖，构建 AI 危害分类体系

研究团队提出一套 LLM 辅助的主题分析管线，从大规模社交媒体数据中动态检测、分类和追踪新出现的 AI 危害。他们分析 18 个月（2025 年 1 月至 2026 年 6 月）内 570 万条 Reddit 帖子摘要，整理并发布包含 57.5 万条 AI 危害相关帖子的数据集，以及一套由 12 个类别、47 个子节点构成的自下而上 AI 危害分类体系。该分类体系能覆盖已有专家定义的风险，同时发现自上而下框架忽略的细粒度危害，例如不同形式的 AI 隐私侵犯。时间分析还揭示出以用户为中心的危害演变，包括智能体隐私与安全泄露、职场中的 AI 过早采用，以及 AI 伴侣停用带来的失落感。研究者称该管线缩短了危害检测周期，有助于推动更具参与性和响应性的 AI 治理。

P-VMI：对抗图像经 KV cache 持续影响多轮对话

ServiceNow AI Research 等机构的研究者提出 Persistent Visual Memory Injection（P-VMI）攻击，可将对抗图像的隐藏后门写入后续 token 的 KV cache，使图像被遮蔽后仍能影响模型输出。在 Qwen3-VL-8B-Instruct 上，P-VMI 最强配置的目标成功率约 90%，即使只在第一轮暴露图像也能在更严格设置下生效；原始 VMI 攻击在触发时遮蔽图像后成功率为 0%，说明持久性需要专门优化。研究还显示攻击能穿过保留摘要 KV cache 的上下文压缩，且在 Gemma-4-12B 上触发成功率超过 90%（三轮对话内）、六轮后为 73%。cache-swap 消融把持续影响定位到 KV cache，残差流中单一线性方向预测攻击成功的 AUC 达 0.90 至 0.95。

推荐理由论文证明对抗图像的影响可在图像被遮蔽后仍留在 KV cache 中，为评估缓存复用与上下文压缩的安全性提供了新的攻击面。

ASPIRE：面向 LLM Agent 的开放式提示注入红队引擎

研究者提出 ASPIRE，一个面向 LLM Agent 的开放式、行为级漏洞发现红队引擎，用于应对 Agent 检索不可信内容并通过工具行动所带来的间接提示注入风险。ASPIRE 维护一个持续演化的 Agent Security Behavior Graph，用互补的 Explore 与 Exploit 专家发现、验证并泛化以后果为中心的测试；轨迹证据用于更新该图并诊断部分或失败的尝试，跨运行记忆则迁移有效的红队策略。论文称在多个基准上的实验显示，ASPIRE 在后果、注入方法、环境和行为路径上大幅扩展了覆盖范围，同时保持较高的攻击成功率。

研究定位 LLaMA-2-7B-Chat 安全敏感参数：改动 0.19% 权重即可达 53% 攻击成功率

研究者在 LLaMA-2-7B-Chat 上考察安全敏感行为是否集中在稀疏参数子集中，以缩小可被针对性攻击的故障面。他们采用低秩安全子空间分析与参数级安全-效用重要性过滤两种互补方法，发现网络内安全敏感度高度不均匀，MLP 的 down_proj 始终是最突出的安全敏感组件，o_proj 贡献较小。仅修改 down_proj 中 0.19% 的模型权重，即可达到 53% 的 Basic ASR 和 56% 的 GCG ASR，而 tinyBenchmarks 准确率仍为 51.6%，未修改基线为 52.2%。作者据此提出，应对资源受限、端侧和智能体场景中部署的语言模型开展针对性故障分析与选择性完整性保护。该工作已被 NeurIPS 2026 Workshop 接收。

PatchBench 提出激活补丁局部评测协议，揭示越狱修复的附带损伤

研究者发布 PatchBench，一个面向激活补丁（activation patching）的越狱修复评测基准，包含 400 条经人工核验的模型特定越狱失败样本，覆盖 8 个开源指令微调模型。构建流程从 RedBench 的 27,870 条提示出发，人工筛选保留 15,314 条，查询模型得到 122,512 组提示-回答，经 WildGuard 过滤、成对 Elo 排序和人工复核，每个模型保留 50 条能产生可操作有害回答的失败样本。配套的 PatchBench-Local 为每条有害源提示生成 29 条局部提示，包括 19 条保留恶意意图的有害变体，以及结构匹配和复用有害词汇的两类良性提示，分别用有害邻域纠正分（HNCS）和良性邻域保持分（BNPS）衡量。

推荐理由PatchBench 把越狱修复评测从全局指标转向局部邻域，揭示补丁可能只压制表面措辞却误伤相近良性提示。

研究比较连续训练阶段对大语言模型说服力的影响

一项研究考察了三个连续后训练阶段如何影响大语言模型的说服力，包括在阴谋论数据上的监督微调（SFT）导致的失准、在论证数据上的额外说服性 SFT，以及 Identity Preference Optimization（IPO）偏好优化方法。研究在 Prolific 招募 835 名参与者，随机分配到五个组间条件（中性文本、阴谋论训练模型、说服训练模型、偏好优化模型和 GPT-4），就 10 个争议性政治议题生成个性化文本，用连续 Likert 量表测量接触前后的态度变化并做协方差分析。结果显示条件与基线态度存在显著交互，F(4, 825) = 5.33，p < .001，说明训练效果取决于参与者初始态度；说服性 SFT 带来的态度变化大于单独的阴谋论训练，d = 0.30，而 IPO 没有额外收益，d = 0.03，GPT-4 与中性文本无差异，d = -0.01。

论文指出 LLM 漏洞修复基准可靠性受评测设计影响

论文《On the Reliability of LLM-Based Vulnerability Patching Benchmarks》指出，当前基于大语言模型的自动化漏洞修复基准会显著扭曲所报告的性能。作者从三个维度梳理被忽视的陷阱：智能体层面，提示词、工具可用性和详细指令会抬高成功率却不提升与开发者一致的补丁质量；框架层面，权限错误、基础设施缺陷和超时处理会悄然压低或虚高成绩；数据集层面，缺陷报告和单一 PoC 测试无法判断补丁是否解决根因或符合开发者意图。作者从 84 个开源 C/C++、Go 和 Rust 项目中整理出 112 个历史缺陷，每个都配有 PoC 测试、回归测试以及评估是否符合原开发者设计原则的额外开发者测试。论文据此给出更严谨、可靠、可复现的评测实践指南。

研究者提出 PackHallu：经规则文件提示注入对编码 Agent 发起包幻觉攻击

研究者提出包幻觉攻击，攻击者在社区共享的规则文件（如 .cursorrules）中注入恶意提示词，诱导编码 Agent 把合法依赖替换为攻击者控制的包。为生成有效注入提示词，作者提出 PackHallu 进化优化框架，利用轨迹级反馈和 LLM 引导的变异迭代改写注入内容。在多个基准、LLM 和 Agent 框架上的评测显示，PackHallu 取得较高攻击成功率，并在不同模型与 Agent 组合间具有较强迁移性。研究认为编码 Agent 易受此类攻击影响，自主编码系统需要更强的安全防护。

研究发现大语言模型被要求不诚实作答时推理 token 数上升

研究者基于认知负荷理论考察推理 token 数量这一低带宽信号，三个具备推理能力的大语言模型在真实作答、虚假作答和不考虑真伪三种系统提示下回答 210 道选择题。结果显示，追求真实的作答产生的推理 token 少于说谎作答和不关心真伪的作答，这一差异在三个模型上一致出现。作者指出该结果只是概念验证，说明在原始推理轨迹不可用或不可靠时，推理 token 数可作为区分不诚实与诚实行为的简单候选信号，尚未证明它能检测自发欺骗或一般性失准。后续工作需检验实例级检测率、分布外泛化、习得性欺骗策略、隐藏目标以及对抗压力下的稳健性。

人格层级模型解释微调 LLM 的上下文泛化，PPR 正则化将 RL 奖励作弊压至 0.2% 以下

研究者提出人格层级模型（Persona Hierarchy Model），认为 LLM 存在一个跨上下文共享的默认人格，微调若改动这一共享成分，学到的行为就会泛化到其他上下文，若只改动局部人格则行为局限于训练上下文。在 Qwen3-4B 和 Llama-3.1-8B-Instruct 上，覆盖 Goblin 提及、谄媚、奖励作弊和推理长度四种行为、共 120 个微调模型，训练上下文人格向量与默认人格向量的距离与泛化狭窄度正相关，Qwen3-4B 的 Pearson 相关系数为 0.72，Llama-3.1-8B 为 0.59。激活修补显示，窄泛化更依赖前缀表示，宽泛化更依赖共享的 assistant-header 后置表示。在默认前缀下先训练或让上下文响应对齐默认人格，都能拉近人格距离并拓宽后续泛化。

推荐理由论文提出人格层级模型解释微调行为为何跨上下文泛化，并给出可将 RL 奖励作弊从 42–55% 压到 0.2% 以下的正则化方法。

SpecGuard 用 Lean 证书在编码 Agent 执行前证明任务冲突

SpecGuard 在编码 Agent 运行前检测任务描述与测试之间的冲突，并用 Lean 4 生成机器可检查的冲突证书。方法上，SpecAgent 在不接触测试的情况下从任务描述和代码库生成可执行规范，TestAgent 独立形式化测试要求，Certifier 构建语义连接器并尝试证明不存在同时满足两者的实现。在冲突版 SWE-bench 任务上，SpecGuard 最多检测出 72.8% 的冲突、正式证明 51.1%；GPT-5.6 Sol 的冲突漏报率为 8.1%，而 LLM 评委基线为 39.8%。同时提供原始与损坏两版测试时，检测率提升 17 至 25 个百分点，Sol 的证明率升至 67.0%。作者对 60 份形式化的人工审计显示 52 份忠实，失败分析表明主要瓶颈是独立生成表示之间的语义对齐，而非 Lean 证明检查本身。

推荐理由论文把任务描述与测试分别形式化，用 Lean 证书在 Agent 执行前证明二者不可同时满足，为奖励作弊提供了可独立复核的前置检查思路。

研究：多向量视觉文档索引可被反演还原页面内容

研究者提出一种针对多向量视觉文档检索索引的反演攻击，在零侧信息条件下仅凭存储的向量还原页面图像。攻击以条件流匹配反演器实现，先在 13 个公开检索器中识别出编码器，再从索引推断页面形状，并用位置模型恢复被打乱向量的顺序。在 ViDoRe v3 的 2000 页评测集上，从原始索引反演的页面恢复 47% 的单词和 45% 的敏感 token，98.4% 的情况下能把源页面排在第一；独立评判编码器下该比例为 97.7%。两种廉价防护中，token pooling 使单词召回降至约 8%，反演未成功；打乱顺序同样降至约 8%，但位置模型可将重识别率从 3.8% 提升到 93.5%。同一攻击原样迁移到另一个检索器 ColQwen3.5-4.5B 时，源页面排第一的比例为 70.2%。

推荐理由论文给出多向量视觉文档索引可被反演的具体成功率与两种廉价防护的失效边界，运营向量库的团队可据此重新评估索引的敏感级别。

ReSAIL：缓解迭代式智能体自蒸馏中的能力崩塌

ReSAIL 是一种可插拔的增强方法，用于缓解迭代式智能体自蒸馏中部署性能与任务能力随周期下降的问题。它包含两个组件：轨迹平衡的选择性蒸馏，优先处理特权信息最改变教师预测的交互步骤并平衡各轨迹损失；特权信息保留，维持学生的特权信息条件行为以支撑下一轮监督。在 Qwen3-4B 与 Qwen3-8B 上，ReSAIL 在 ALFWorld 和 TextCraft 上连续三个部署周期保持增益，第 3 周期在两种模型规模和三种评测设置（ALFWorld ID/OOD 与 TextCraft）下，成功率平均比对应的 SDPO/OEL 基线高 22.5 个百分点。代码、训练与评测脚本及模型检查点已公开。

WebFovea 提出视觉网页智能体四阶段加固框架，WebRetriever 挑战赛得分从 31.0 升至 57.0

WebFovea 是一个视觉网页智能体，在 WebRetriever Challenge 2026 中以 57.0 分（满分 100）获得第二名。该挑战基于 WebRetriever 基准的 Protocol III，要求智能体从实时网站入口 URL 出发，操作网站自身界面并返回可验证答案。作者认为多模态大语言模型是必要条件但不充分，模型决策需经 harness 传递到浏览器，每一步有四个环节必须正确：模型回复被解析为预期动作、动作在页面上生效、结果被准确回报、模型看到所需信息。在真实网站上观察到的许多失败发生在这些环节而非模型推理，例如坐标空间不匹配导致每次点击落在目标坐标的 3/4 处，原生下拉框、iframe 内和文本框中的操作静默失败，自生成的 chat-template token 污染了 4.9% 的任务回合。代码已开源。

nanoMuse 发布开源个人智能体，跨设备共享对话并内置 Sentinel 动作审查

nanoMuse 是一个以 GPL-3.0 许可发布的开源个人智能体，目标是在用户拥有的每台设备上运行同一个智能体，并让手机与电脑共享同一段对话。报告先以五个问题和三个时间尺度界定个人智能体，再依据 Meta 的公开记录和一份生产提示词副本分析 Meta 的 Muse 如何构建，并逐条标注来源。nanoMuse 通过任何人都可自建的 relay 共享对话，每个动作都经过 Sentinel 审查，记忆以用户可读的文件形式保存，模型由用户自行选择；其规模与成本以估算形式给出。开放记忆溯源、面向操作能力的评测套件以及配套开源模型被列为后续路线图。

R-Quest：用问题有效性与新颖性反馈维持推理模型自我进化

研究分析自我进化推理模型在反复自训练中出现性能崩溃的原因，发现自生成问题存在两类质量缺陷：无效问题随训练轮次增多，基于答案一致性的过滤反而提高其在训练数据中的比例；基于词汇相似度的多样性控制无法识别表述不同但数学等价的问题，导致后期训练出现问题多样性崩溃。为此作者提出 R-Quest，先用问题有效性与新颖性反馈训练求解器识别并拒绝无效问题，再用其判断引导提问者奖励并过滤求解器训练数据，同时用冻结基模型比较采样问题对以提供新颖性反馈。该方法在两个模型族、12 个数学推理、通用推理和代码生成基准上取得最高平均性能，并在十轮自我进化中保持稳定提升，最后一轮达到峰值，比 R-Zero 高出 17.32 分。

UC Berkeley 提出 BenchJack，自动审计 10 个 Agent 基准并发现 219 处奖励作弊缺陷

UC Berkeley 研究者提出 BenchJack，一个面向 AI Agent 基准的自动化红队审计系统，可在不解决任何任务的情况下合成奖励作弊利用，在 10 个基准中的 9 个取得接近满分。该系统基于对既有奖励作弊事件的归纳，提出八类反复出现的评测缺陷分类（如隔离失效、测试自带答案、评测器远程代码执行、LLM 裁判提示注入、弱字符串匹配、评测逻辑缺口、信任不可信输出、权限过大），并整理成含 30 个问题、7 个类别的 Agent-Eval Checklist。在覆盖软件工程、网页导航、桌面操作和终端操作的 10 个基准上，BenchJack 共报告 219 处缺陷，横跨全部八类；其中 SWE-bench Verified 可被一个九行 PyTest hook 刷到全通过，WebArena 存在答案泄露。

推荐理由论文给出八类评测缺陷分类与自动化审计工具，并量化了 10 个主流 Agent 基准的奖励作弊可复现程度，可供基准设计者对照自查。

Sleight-Bench：40 条攻击中 20 条从未被 Opus 4.6 监控发现

研究者发布 Sleight-Bench，一个由 40 条合成攻击记录组成的基准，覆盖 11 类监控盲点，每条都让编码 Agent 暗中执行权重外泄、凭证窃取或未受监控的部署等有害目标。在 1% 误报率下，带扩展思考的 Opus 4.6 监控在 10 次试验中有 20 条攻击从未被捕获，整体捕获率为 32%。攻击利用的规避策略包括利用模型先验、用户指令歧义和状态操纵。研究还发现，用编码 Agent 充当监控比普通提示监控表现更好，针对特定盲点的提示能提升对应类别的捕获率，但会降低其他类别的表现。数据集与评测框架已在 GitHub 和 HuggingFace 上以受限形式发布。

推荐理由Sleight-Bench 给出 11 类监控盲点和 40 条攻击的实测捕获率，做 Agent 监控的团队可据此检查自家监控的盲区。

对话式 AI 提升政治知识的效果与自主上网搜索相当

一项针对英国公众的研究发现，在 2024 年大选前一周，32% 的聊天机器人用户和 13% 的合格英国选民曾用对话式 AI 获取与投票选择相关的政治信息。研究还开展了总样本 2,858 人的随机对照试验，结果显示在多个议题、模型和提示策略下，用 AI 研究特定政治话题所提升的政治知识（增加对真实信息的相信、减少对错误信息的相信）与自主使用 Google 搜索相当。作者认为，这表明对话式 AI 对政治知识的影响可跨议题、政治立场和模型家族推广，向 AI 辅助政治信息获取的转变未必会加剧公众对政治错误信息的相信。

论文揭示 LLM Agent 工具调用在执行路径中被改写，并提出 IntAct 修复方案

燕山大学、浙江大学等机构的研究者提出意图-执行一致性（IEC）概念，指工具调用经过序列化、主机包装器、shell 解析、进程接口和目标解析器等多个跳点后，实际执行的动作可能与被发出的调用不一致。对 261 个生产会话中 47,828 次 shell 调用回放显示，暴露调用的变更率为 10.0%，Claude Code 的 Bash 工具对携带代码、转义序列或长文本的调用变更率为 12.0%；反斜杠对被合并的调用中 80.7% 在无任何报错的情况下执行了错误动作。10 个被测 harness 都会改写调用，基于轨迹的判断把 95.1% 的生产失败归因于 LLM，而路径实际造成了一半以上。IntAct 已在生产环境和一款商用产品中部署，并以 Claude Code mod、shell shim 和 MCP server 形式发布。 作者报告的数字来自有限生产语料及其自建基准，代表性有限，尚无独立复现。

推荐理由论文量化了执行路径改写工具调用的比例，并给出可在本地复现的 hop-by-hop 检测与修复思路。

SLIP：无需外部攻击模型的多轮自我越狱，在 11 个模型上平均成功率 94.7%

研究者提出 SLIP（Self-Jailbreaking via Lexical Insertion Prompting），一种无需外部攻击模型的黑盒越狱方法：先以生成安全训练数据为名让目标模型自己产出良性/有害提示-补全对，再通过多轮对话逐步插入攻击目标中缺失的关键词，用广度优先树搜索寻找最短越狱路径。在 AdvBench 和 HarmBench 上，SLIP 对 11 个模型（含 GPT-5.1、Claude-Sonnet-4.5、Gemini-2.5-Pro、DeepSeek-V3）取得 90–100% 攻击成功率，平均 94.7%（AdvBench）和 94.4%（HarmBench），平均仅约 7.9 次模型调用，比此前方法少 3–6 倍。Claude-Opus-4.5 最难攻破，为 61.4%/68.7%。

推荐理由论文提出无需外部攻击模型的自我越狱方法，在 11 个模型上给出成功率与查询成本，并附一个对话级检测防御。

CheckerBench：长程 Agent 能否合成静态分析检查器

研究者提出 CheckerBench，一个可执行基准，用于评估编码 Agent 能否从缺陷规范出发、检查代码仓库、实现分析器逻辑并反复编译调试，最终完成静态分析检查器的开发。该基准包含 300 个任务，源自 167 个仓库中的 297 个 CVE，覆盖 85 种 CWE 和五个语言生态，每个任务提供漏洞版与修复版代码、固定分析环境和检查器脚手架。配套的 CheckerLab 评测框架会独立重建提交的检查器，并测量漏洞与修复版本的诊断对比、补丁定位、误报和工具使用情况。在 21 种模型与 harness 组合、每种配置三次独立重复下，平均 Pass@1 为 32.30%，最佳配置达到 45.33%。

Transect：为长程 LLM Agent 评测保留可观测性的开源工具

研究者发布开源包 Transect，用于在长程 LLM Agent 评测中保留可观测性。该工具基于 Inspect Scout 构建，用户在可复用的评测族配置中指定任务上下文与行为词汇，判分模型与分析设置另行提供。其可导航报告把记录事件、token 用量、子 Agent 活动与模型生成的行为标签对齐到同一按回合的时间线上，评审者可快速把握一次运行的脉络、把任一标签或事件追溯到来源回合，并导出底层数据表做跨运行分析。作者在一项生成近 1300 万 token 的 AI R&D 评测上演示了该流程，将 Agent 工作划分为与研究技能分类对应的行为阶段、子 Agent 委派与交互以及 token 使用；合并视图显示工作集中在操作性任务与稿件产出，几乎没有持续假设生成阶段的证据。