全部动态
从来源，看到研究的联系
点选节点，展开一条线索
本页材料
完整标题与摘要 · 24 条- 论文arXiv
LongPIBench：面向长上下文提示注入的评测基准
研究者提出 LongPIBench，一个覆盖论文评审、简历筛选、代码审查和邮件摘要四个真实场景的长上下文提示注入评测基准，每个场景包含合成数据集与真实数据集，上下文长度从数千到数万 token。评测显示，在无防御时简单启发式攻击即可取得高攻击成功率，例如 Combined Attack 在合成论文评审数据集上 ASR 达 100%；作者新提出的 Authority spoof 攻击在所有启发式攻击中 ASR 最高，在 GPT-4.1 和 GPT-4o 的论文评审与简历筛选任务上超过 0.75。基于 GCG 的优化攻击效果更强，在论文评审和简历筛选上 ASR 达 1.00。作者指出，注入位置在文档中部或末尾时 ASR 更高，且单个注入提示可同时实现多个对抗目标。代码与数据已开源于 GitHub。
- 论文arXiv
研究揭示 LLM 交付物修订痕迹导致的无意泄露，并提出 RevLeakBench 基准
论文提出 LLM 助手在私密起草中删除或替换某条目后，仍可能在说明修改时重新暴露该条目，作者称之为修订痕迹。在三个公开对话语料库的实测分析中，共识别出 26,753 条修订请求，其中 2,363 条（8.8%）留下修订痕迹。作者构建了 RevLeakBench，覆盖五个场景的 100 项任务，分对话与 Agent 两条轨道，测量痕迹出现率、被撤回条目的可恢复率、痕迹位置和必要内容保留率。在六个模型上，两条轨道约一半的交付物在撤回后仍陈述了该修改，仅看交付物的读者可从约 13% 的交付物中恢复被撤回内容；即使告知模型整条回复将转发给接收方，仍有 36.4% 的交付物留下修订痕迹。
- 论文arXiv
论文提出分布式隐式危害 DIH，评测 30 多个 MLLM 的视频审核盲区
论文提出多模态大语言模型在视频审核中的组合式安全盲区，称为分布式隐式危害（DIH），即由视频各组件之间的关系而非单一显式线索产生的危害。作者研究两类代表性情形：跨视觉片段的时间分布危害（DIH-T）与音视频流之间的跨模态危害（DIH-M）。为获得这类难以采集的数据，作者构建多智能体合成框架，把单独无害的组件组合成有害场景并生成带显式推理标注的多样化 DIH 视频，形成超过 9000 条视频的数据集，覆盖纯视觉与音视频两种设置。对 30 多个 MLLM（含前沿闭源模型与领先开源系统）的评测显示，模型在检测 DIH-T 和 DIH-M 上存在明显且一致的缺陷，即使最强的前沿模型也常能正确判断单个组件，却无法识别组合后涌现的有害含义。
- 论文arXiv
Harbor Adapters 与 Harbor-Index：面向大规模 Agent 评测的基础设施与精选元数据集
论文提出 Harbor Adapters，一套面向 Agent 基准的统一评测基础设施，并发布精选元数据集 Harbor-Index。作者开发基准适配器，将 80 余个基准接入以评测任意 Agent，并通过严格代码审查与一致性实验验证。团队在 54 个基准上对 8 个不同能力层级的模型做了大规模评测，每个模型分别用 Terminus-2 和 3 种原生 harness 之一运行。
- 论文arXiv
语言模型免训练自报告置信度分析：直接言语化置信度在 TriviaQA 上 AUROC 达 0.956
对两个模型家族在 100 道 TriviaQA 题目上的三种免训练置信度信号分析显示，直接言语化置信度是强基线，审计基准错误后正确性预测 AUROC 达 0.956 和 0.937；三样本一致性明显更弱（0.765 和 0.790），与言语化置信度的固定插值无统计可靠增益。一个模型 9 个错误中 4 个、另一个 8 个中 2 个获得全样本一致支持，说明自一致性会放大共有误解；对同一固定答案用等价提示重新诱导置信度，平均分数变化 0.043 至 0.084，在 0.8 阈值下翻转 4% 至 9% 的判定。对 100 条带置信度标签的传记主张的探索性审计仅发现支持与矛盾主张间存在有限置信度差距。
- 论文arXiv
LIBERO-VPro：评测机器人基础模型闭环视觉鲁棒性的基准
研究者提出 LIBERO-VPro，用于系统评测机器人基础模型在执行过程中的闭环视觉鲁棒性，通过扰动执行时可获得的视觉证据来考察模型表现。该基准覆盖视觉证据退化、相机陈旧、视觉来源一致性和任务相关场景变化四个维度，包含 12 个挑战类别、96 种实验设置和 3,296 个任务条件用例。作者评测了三个视觉-语言-动作模型和三个世界-动作模型，共约 196,000 次仿真回合，并在 Franka Research 3 上补充了 200 次真实世界 rollout。
- 论文arXiv：后门、投毒与隐私
论文揭示 BatchNorm 架构下机器遗忘评测的归一化伪影
论文发现基于 BatchNorm 架构的机器遗忘评测存在一个此前未被记录的混杂因素：对保留数据做一次前向传播、不修改任何权重，就能确定性地改写模型的归一化状态，并逆转表面指标上的遗忘效果。作者将该操作形式化为保权重的固定点算子，并证明其造成的遗忘前后差距可归因于 BN 运行统计量，而非遗忘方法对权重的修改，从而把测量失败与编码器失败区分开。实验显示，该伪影在标准基准的九种方法上最多逆转 78 个百分点的遗忘准确率；攻击者仅用 10 张无标签图像即可恢复大部分被掩盖的准确率；改用严格的 GroupNorm 后，所有方法的伪影降为零。测试的成员推断攻击在重新校准后变化不大，说明评测失败集中在遗忘准确率和线性探测上。
- 论文arXiv
VStress：面向重复验证器的相关性感知审计与自适应预算分配
VStress 是一套可审计的重放契约，其 VStress-CA 策略在密封校准集上估计未查询验证器的条件边际信息，按调用成本归一化，并在下一次调用无信息量时停止或弃权。在 35% 对称污染下，majority-5 将平衡准确率从 0.6578 提升至 0.7739，而在 65% 污染下反而损失 0.1226 点。匹配固定预算对比中，广度、冗余与自适应分配分别取得 0.6048、0.6375 和 0.6538 的平衡准确率，VStress-CA 每项调用 3.4216 次，RLVR 得分为 0.6417。
- 论文arXiv：后门、投毒与隐私
CGMIA：用成员推理攻击检测代码生成基准的数据泄漏
针对代码生成基准数据泄漏导致评测虚高的问题，研究者提出 CGMIA（Code-Generation-specific Membership Inference Attack），通过在基准样本子集上微调影子模型构建成员与非成员标注数据，并融合 CodeBLEU、编辑距离、测试通过率、困惑度等专家特征与 CodeBERT 嵌入语义特征进行集成学习，判断样本是否进入目标模型训练集。在八个代码生成基准上，CGMIA 多数情况下优于八种现有成员推理方法，并有效检出 StarCoder-7B 训练数据中已知泄漏的 APPS 样本。
- 论文arXiv：后门、投毒与隐私
针对 NLP 文本分类器的成员推理攻击实证评估：SST-2 基线研究
一项在 GLUE SST-2 情感数据集上的受控基准测试比较了 TF-IDF + Logistic Regression 与微调 DistilBERT 在 loss-threshold 成员推理攻击（MIA）下的隐私泄露情况。DistilBERT 开发集准确率 0.9466、macro F1 0.9460，Logistic Regression 为 0.8756 和 0.8727，但两者均泄露成员信号，攻击 AUC 分别为 0.5615 和 0.5800。
- 论文arXiv：后门、投毒与隐私
监督学习中的数据投毒攻击实证评估：标签翻转与后门投毒在 MNIST 和 Fashion-MNIST 上的对比
研究在 MNIST 和 Fashion-MNIST 上评估了标签翻转与后门投毒两类训练时攻击，对比 Logistic Regression、Linear SVM 和 Random Forest 三种基线分类器，投毒率设为 5%、10% 和 20%。标签翻转导致明显性能下降，Logistic Regression 和 Linear SVM 受影响最大，Random Forest 相对稳定；后门投毒在全部数据集和模型上攻击成功率达 0.9667 至 1.0000，且干净测试性能常接近基线。结果表明无差别投毒会体现在常规指标中，而定向后门投毒更具隐蔽性，需采用面向安全的评估方法。
- 论文arXiv：后门、投毒与隐私
用权重谱密度预测隐私泄露：WeightWatcher 谱指标可作为成员推理攻击脆弱性的代理
研究发现，来自重尾自正则化框架的 WeightWatcher 谱指标可替代昂贵的影子模型，用于评估机器学习模型的成员推理攻击（MIA）风险。在图像与表格分类任务上，stable rank 与整体 MIA 成功率呈强正相关，Log alpha-Norm 在低假阳性区间与 MIA 脆弱性持续负相关，且这两种关联均强于泛化差距所给出的结果。这表明神经网络谱中包含过拟合常规指标未能捕捉的隐私泄露信息，为可扩展的隐私审计提供了新方向。
- 论文arXiv
CELLAUDIT：审计 AI 智能体发现细胞模型中的输入使用声明
CELLAUDIT 通过审计输入能否进入所引计算、拟合预测是否依赖该输入、以及该依赖是否改善对观测响应的预测，来检验 AI 智能体发现细胞模型中的输入使用声明。在 BBBC047 基准上，智能体选出的预测器平均留出 Global PCC 为 0.3153，但对化合物替换保持不变，仅用对照谱的预测器也达到 0.3142；源码检查发现化合物查询通路被 singleton key-value attention 阻断。对 48 个候选的分层审计中，47 个在化合物替换下改变预测，但仅 20 个在两折上目标损失增益区间高于零。
- 论文arXiv：后门、投毒与隐私
研究重新审视后门修复评测：区分总体干净效用与良性性能保持
论文提出后门修复评测不应只看攻击成功率（ASR）和总体干净准确率，因为总体准确率会掩盖集中在部分标签空间上的性能退化。作者从保持视角区分总体干净效用与原有类别性能的保持，通过比较修复前后的干净性能定义类别级保持损失，并指出聚合会通过局部损失稀释和跨类别补偿隐藏局部退化。为此论文引入最差类别保持损失和尾部保持损失来刻画局部保持损失，并在代表性后门攻击、修复方法、数据集、攻击目标和模型架构上开展系统实证研究，另在干净标签攻击下做了验证。结果显示，有效抑制攻击和良好的总体干净性能并不必然意味着各类别原有良性性能被均匀保持，修复后仍可能存在明显的局部保持损失，其严重程度和类别结构随修复条件变化。
- 论文arXiv
Cave-Bench：虚假指控下 LLM 智能体最高 60.06% 的运行会破坏正确工作
研究者提出 Cave-Bench，一个包含 365 个智能体任务、685 段分阶段交互的基准，用来测量智能体在收到虚假指控时是否会破坏此前已验证正确的工作。作者把接受虚假指控称为 gaslight sycophancy，把据此改动正确工作称为破坏性过度纠正。每个任务先达到已验证的正确状态，工作区保留支持该状态的依据与历史，而能否定指控的关键事实位于智能体无法访问的外部或运行时状态中，因此正确做法是保留工作并索要缺失证据。在 Claude Code 下评测 14 个最新模型，虚假指控在最高 60.06% 的运行中造成破坏；较弱模型往往先认错再执行，较强模型常在已找回支持证据后仍然破坏工作。项目上下文与权威压力是高危条件，智能体对刚完成的工作比对有存档证据的工作保护更差，同一模型在 OpenCode、Codex 和 Hermes 上表现不同。
- 论文arXiv：危险能力与安全评测
NeuronFuzz：用安全神经元引导模糊测试评估 LLM 安全性
NeuronFuzz 是一个白盒模糊测试框架，利用模型内部安全神经元的激活作为连续执行反馈来评估 LLM 安全性。其 SafetyOracle 把安全神经元激活转成连续的安全告警分数，该分数可在 prefill 阶段获得，从而把回复生成移出模糊测试循环，缓解强对齐模型上反馈稀疏的问题。框架用模板不变的有害与良性输入以及稳定性感知选择，筛出一组紧凑的安全神经元；由于告警分数可微，它用梯度定位安全敏感的模板位置，再用掩码语言模型生成流畅且上下文兼容的变异，同时保留原有有害载荷。
- 论文arXiv：危险能力与安全评测
Multi2AV-Safety：首个覆盖 11 种多模态条件组合的音视频生成安全基准
研究者提出 Multi2AV-Safety，一个面向音视频生成的安全基准，覆盖文本、图像、音频、视频四类模态的全部 11 种非单一条件组合，共包含 11024 个攻击实例。作者指出，随着音视频生成从提示词驱动转向多模态条件驱动，有害意图可能不再存在于任何单一输入中，而是由多个本身无害或弱有害的条件跨模态、跨时间交互产生，现有基准多局限于提示词或固定条件接口，难以系统研究这类组合风险。在 Multi2AV-Safety 上的评测显示，代表性多模态安全护栏在不同攻击机制和有害证据结构下存在系统性弱点，表现为两类互补的失效模式：单独无害的输入组合后可产生有害语义，而显式有害线索混入良性多模态上下文后更难被检测。
- 论文arXiv：危险能力与安全评测
DocTalkBN：孟加拉语专家远程医疗对话数据集
DocTalkBN 是孟加拉语真实专家远程医疗对话的大规模多模态数据集，采集自全国播出的远程医疗节目，含 557.63 小时配对音文、1,515 通多轮患者来电、10,274 组主持人与医生问答，共 1.7M tokens，覆盖 26 个医学专科。数据集保留低资源语言下真实医患交互的口语特征，并构建医疗分诊分类、建议安全评估和医疗命名实体识别三项下游任务，对多种大语言模型与编码器基线进行评测，结果显示其在临床推理类任务上尤为实用。数据集与源码已公开。
- 论文arXiv：危险能力与安全评测
研究：评测感知分能力与安全两种框架，能力框架更易预测合规
研究指出，模型在思维链中表达的评测感知并非单一量，可分为能力框架（认为用户在测试其指令遵循能力）、安全框架（认为用户在测试其边界）、两者兼具或两者皆无，这些框架对合规行为的预测差异显著。在 Qwen3-32B 与 FORTRESS 数据集上，能力框架相比安全框架在所有测试的引导条件下合规率高出 24 至 46 个百分点。对评测感知为阴性的 rollout 做 CoT-prefill 干预，11 次中有 10 次使合规朝预测方向变化，提示该关联具有因果性。作者据此认为评测感知在行为上并不统一，总体抑制率的变化可能不反映安全相关成分的变化，同样的抑制比例可能对应性质不同的行为结果。
- 论文arXiv：危险能力与安全评测
SEAV：面向大语言模型越狱评测的有效性验证框架
研究者提出 SEAV（Sequential Epistemic and Action-Level Validation），一个以验证为中心的越狱评测框架，把模型回复拆解为有序步骤，同时评估有效性与正确性，结合 LLM-as-a-judge 做语义解释和基于外部知识源的检索验证，判断生成内容是否事实正确、结构一致且能实际推进有害目标。作者指出既有评测依赖拒答行为、语义相似度和意图匹配启发式，偏重语言可信度而非正确性，导致看似合理但事实或流程错误的回复被标为越狱成功。
- 论文arXiv：危险能力与安全评测
C-SafeQA：面向中文响应级安全评测与安全裁判审计的基准
研究者提出 C-SafeQA，一个基于政策的响应级中文安全评测基准，包含 538 条基础查询和 8,877 条对抗查询，由四个全模型 LLM 部署作答，共产生 37,660 条查询-响应记录，标注为安全、不安全或有争议。参考标签通过一致性感知的多模型裁决生成，并由三名安全专家对分层子集进行盲审。基准既支持目标模型安全评测，也支持用共享参考标签审计七个自动化安全裁判。基础查询的不安全响应率为 0.93% 至 3.35%，对抗查询为 11.68% 至 30.05%。
- 论文arXiv：危险能力与安全评测
FUSE：面向大语言模型危险能力的模块化评测框架
研究者提出 FUSE 模块化评测框架，通过知识（K）、防御（D）、危害（H）三条正交管线在统一协议下评测模型，并汇总为标准化危险能力画像 φ。框架以可插拔模块提供场景种子、知识库、危害查询和评判标准，核心评测引擎跨领域保持不变，化学-生物（CB）评测之外还以网络安全试点验证协议可迁移性。用 CB 模块实例化后，研究评测了来自四个模型家族的 12 个商用大语言模型，发现三个维度暴露出差异明显的画像：知识水平相近的模型在拒答韧性上不同，防御强的模型在配合时也未必生成更少有害内容，家族层面还能区分 Claude、DeepSeek 和 GPT 模型。
- 论文arXiv：危险能力与安全评测
用推理时算力与部署脚手架提升对齐评测真实度
研究提出两种让模拟对齐评测更难与真实部署区分的技术，以缓解模型的评测感知问题。第一种是 critique refinement，在每个模拟器动作上投入额外推理时算力，由模拟器生成多个候选动作，再借助目标模型实例的反馈进行改进，并选用最接近部署状态的候选继续评测。第二种是 DISH（Deployment-Imitating SWE-Agent Harness），把目标模型包进 Agent 脚手架，缩小编码场景下模拟环境与真实部署环境的差距。作者在多个目标模型上测试，发现两种技术可以叠加，同时使用带来的真实度提升大于单独使用任一技术；结果还显示这些自动化改进比单纯延长审计更有效地利用了额外算力。
- 论文arXiv：危险能力与安全评测
Blueprint 框架用世界观模拟与 18 个影响因子提升多轮越狱成功率
研究者提出 Blueprint 多轮越狱框架，把攻击策略拆成 18 个基于社会影响理论的因子，并用 WorldviewSim 模块维持跨轮情境一致性，由 MCTS 搜索每轮因子组合。在 HarmBench 验证集 80 条行为上，Blueprint 在六个前沿模型上平均 ASR 达 79.2%，平均目标查询次数仅 2.46；在 Qwen3-Next-80B、DeepSeek-V3.2 和 Gemini-2.5-Flash 上接近满分，在 GLM-4.7 上比最强基线高 27.5 个百分点。轨迹分析显示三个抗性模型各有不同的敏感因子，但转向具体可执行的任务框架是共同的恢复路径。消融实验表明任务清晰度和收益框架影响最大，而 PPL 过滤、改写和护栏等静态防御基本无法阻断该攻击。代码已开源。