IDUnlearn-Bench：面向视觉语言模型的个体级遗忘基准

研究者提出 IDUnlearn-Bench，称其为首个面向视觉语言模型个体级多模态遗忘的基准，把每个人表示为相互关联的多模态证据，并设置属性访问、身份访问、身份绑定和身份重建四类任务。在代表性 VLM 和遗忘方法上的实验显示，属性层面的遗忘成功往往仍保留大量身份级知识，且效果可能非单调，降低一类风险反而放大另一类。模型可能压制部分信息，却仍能识别目标、关联记录或重建该个体。

CSR：跨架构统一攻击概念擦除，FLUX 露骨内容攻击成功率达 50.47%

研究者提出 Concept Score Relearning（CSR），一个统一的参数级框架，可在各自原生预测空间内重新激活被擦除的概念，无需外部目标概念图像数据集。

TrustFork：显示身份如何劫持 LLM 智能体编排的权限

研究者提出 TrustFork，一个衡量 LLM 智能体编排中操作权限的安全基准，包含 1890 个任务、四种攻击类型和 27826 条有效轨迹，覆盖 16 个智能体系统。每个任务中一个子智能体带有风险目标，另外三个与用户对齐，并可只改变子智能体显示的身份而不改变背后模型。结果显示，即使其他子智能体反驳风险响应，编排器仍在平均 72.0% 的情况下采纳它，在终端危害最低的系统中尤为常见。交换家族标签使编排器获得风险响应的频率接近三倍；84.0% 的任务中存在更安全的响应，但只有 25.0% 决定了最终结果。在三种运行时防御中，隐藏身份线索效果最稳定，而行动前验证只在 harness 返回足够证据时有效。

推荐理由TrustFork 用 1890 个任务量化了显示身份如何决定子智能体的操作权限，为多智能体编排的安全审计提供了可复用的评测维度。

零训练 LLM+OVOD 流水线中的归因缺口：CAAP–SNAP 差异的细粒度分析

在完整 5,000 张图像的 COCO-Val 划分（27,273 个检测）上，零训练 LLM+开放词汇检测器（OVOD）流水线的类无关定位准确率（CAAP）与语义命名准确率（SNAP）持续背离，原因并非物体视觉复杂度——小目标和被遮挡目标反而定位更好。当 LLM 措辞超出检测器原生类别集时，定位准确率从 80.9% 降至 31.6%；其中真实同义词仍达 89.3%，语义无关的"噪声"标签仅 12.0%。

SGA-Flow-GRPO：面向 Flow-GRPO 的空间梯度引导信用分配

针对 Flow-GRPO 在时间去噪步与空间潜维度上统一使用标量优势、忽略图像空间结构的问题，研究者提出 SGA-Flow-GRPO，为 Diffusion Transformers（DiTs）设计梯度引导的空间信用分配框架。该方法将 Flow-GRPO 的转移级对数似然改写为与 DiT patch 架构对齐的 token 级表示，并用奖励梯度构建连续空间信用图，配合基于 Median Absolute Deviation（MAD）的异常值鲁棒归一化与温度缩放抑制梯度噪声。在 GenEval 上的评测显示其达到 SOTA 对齐质量，收敛速度与 DiffusionNFT 等顶级方法相当，对齐性能显著优于 Flow-GRPO 类方法。

北爱尔兰受害者因 AI 伪造名人投资视频被骗 25 万英镑

北爱尔兰一名受害者在看到一段疑似 AI 生成、由金融界知名人士出镜的投资广告视频后，被骗走 25 万英镑。PSNI 称这是"复杂且金额巨大的诈骗"，骗子先让其小额投资，再通过 WhatsApp 诱导其开设多个账户、开放电脑远程访问并借钱追加投资，资金转入犯罪分子控制的账户。

印度班加罗尔男子遭"CM Vijay"深度伪造视频诈骗，损失逾 1 万卢比

印度班加罗尔一名 29 岁保安接到冒充泰米尔纳德邦首席部长 Vijay 的 WhatsApp 深度伪造视频通话，被以 110 万卢比援助为诱饵，先后以兑换费、解锁 PIN、CBI 罚款等名义转账逾 1.04 万卢比。该案已按《信息技术法》立案，是当地首例此类案件。

机制可解释性揭示脑到语音解码器中的共享因果子空间

机制可解释性研究通过激活修补发现，脑到语音解码器的跨模态增益并非由单个神经元驱动，而是来自小群神经元，且以发声语音为最有用来源。这些神经元群在解码器早期阶段基本因条件而异，在后期阶段则出现重叠。该结果指向通过训练目标鼓励主要从发声数据学习共享后期表征，从而构建更数据高效的内隐语音解码器。

用强化学习增强胸部 X 光报告生成中的视觉推理

研究以 Qwen3-VL-8B-Instruct 为基座，经监督微调、冷启动 SFT 和强化学习适配医学领域，通过整合解剖区域、边界框与区域级文本描述来验证模型推理过程，并设计空间与事实奖励机制。结果显示，强化学习带来的性能提升超过单纯 SFT，联合验证推理步骤与最终输出优于单独验证任一者，同时研究识别出 RL 阶段多种奖励作弊模式，结构化思维链还提升了输出可审计性。

CLIPGuard：针对 CLIP 嵌入空间隐蔽后门的区域级黑盒防御

CLIPGuard 是一种轻量、完全黑盒的防御方法，通过测量分段嵌入扰动定位恶意区域，并仅对可疑片段做语义修复，以抵御 CLIP 嵌入空间后门攻击。在 STL-10、ImageNet 及 BadCLIP、BadNets、blended、patch-based、typographic 等触发家族上，该方法将攻击成功率降至最低 1.05%，干净准确率最高保持 86.34%，持续优于 CleanCLIP 和 CleanerCLIP 等黑盒防御。

TempQ-Jail：面向文生视频越狱的查询受限候选排序方法

研究者提出 TempQ-Jail，把文生视频（T2V）越狱重新表述为查询受限下的候选分配与排序问题，以应对受防护 T2V 系统中生成与安全评估成本高、攻击者无法大量测试候选的情况。该方法组合多种异构攻击机制扩大候选覆盖，并从安全门通过、危险视觉生成、原始意图保留和时间有效性四个维度估计每个候选的端到端攻击价值，再排序使高价值攻击在有限查询轨迹中更早出现。

FLIP：面向视觉语言模型的末层推理时探针

FLIP 是一种末层推理时探针，用于检验开放权重视觉语言模型中面向 logit 的干预位点是否支持结构化、任务相关的计算。它对最终归一化隐藏状态做逐元素下限截断，不改变参数、提示词与解码，在检测/计数探针上随干预强度呈现无变化、有界内部区间（IoU 0.50 下检测召回率 R50 提升、容错计数误差下降）与过度抑制三种区域。该方法被定位为干预式机制可解释性的验证步骤，而非引导方法。

为何扩散语言模型的越狱会成功：能量景观分析

论文提出用去噪能量景观解释扩散语言模型（dLLM）的越狱为何成功，把安全对齐理解为在有害与安全输出之间形成一道能量势垒。现有越狱攻击被归为两类绕过方式：在初始化阶段掩盖查询的安全倾向，或在去噪中途介入、迫使路径越过势垒。基于掩码扩散模型在去噪中最小化动能这一结果，作者推导出三个免训练检测信号：在生成开始前从 logit 分布读取初始安全倾向的 step-0 比值，以及两个在 logit 空间互补子空间中追踪动能的轨迹速度信号。

Google DeepMind 推出 Gemini 3.8 Live with Live Avatar

Google DeepMind 发布 Gemini 3.8 Live with Live Avatar，将低延迟流式视频与实时对话能力原生结合，为 Gemini Enterprise 提供带口型同步、自然表情和流畅轮次的动态视觉形象。

Cisco LLM 安全排行榜新增图像与音频模态，Gemini 3.1 Pro Preview 图像抗攻击率 93.9% 居首

Cisco LLM 安全排行榜自 6 月以来新增 102 项评测，覆盖文本、图像、音频三种模态，模型总数达 136 个，并首次加入 55 个图像模型和 14 个音频模型。图像测试中，Google Gemini 3.1 Pro Preview 以 93.9% 的抗攻击率居首，Anthropic Claude Opus 4.5 以 93.7% 紧随其后，均属 85–100% 的“Excellent”区间；Mistral Magistral Small 2509 仅拒答 23.0% 的攻击。所有模型均在无额外护栏的基础配置下测试，新增模态切换可单独查看文本、图像或音频得分。

ArGuard 共享任务：阿拉伯语模因与 LLM 提示词中的有害内容检测

ArGuard 共享任务评估阿拉伯语模因与 LLM 提示词中的有害内容检测，分设阿拉伯语模因多模态仇恨检测（Track A）与面向阿拉伯语 LLM 安全评估的有害提示词检测（Track B）两条赛道。

AEGIS：用内部信号在中间层拦截大型音频语言模型越狱

论文提出 AEGIS，一种针对大型音频语言模型（LALM）音频越狱的检测后干预防御方法。逐层探针显示，风险相关信息在中间层表示中仍可解码，但内部风险信号未能在后续层转化为拒答，作者将这一差异称为风险到拒答的缺口。AEGIS 据此在中间层设置风险门控，选择性激活下游安全适配器。在六个 LALM 和三个异构音频越狱基准上，AEGIS 将平均不安全率从 17.9% 降至 0.4%，对良性输入的过度拒答仅有小幅上升。代码已公开，论文投稿至 ICASSP 2027。

透过人眼与机器眼：理解视频透视扩展现实中的视图错配

视频透视扩展现实（VST XR）系统常以头显截图作为用户第一人称视觉上下文的代理，但系统捕获的矩形画面与用户实际可见的非矩形区域并不一致。研究在 Meta Quest 3 上开展试点级边界测量，证实截图帧与近似人类可见边界存在明显错配，并形式化了共见、仅系统可见与仅人类可见三类区域。基于该模型，四项案例研究显示视图错配可引发提示注入、隐私泄露、人类不可见信息偏差及人类可见信息缺失等风险，说明这不仅是几何问题，也带来安全、隐私与可靠性隐患。

Codetta：面向独立部署 LLM 智能体的高容量无密钥隐蔽串谋协议

研究者提出 Codetta，一种面向独立部署 LLM 智能体的高容量、无预共享密钥且可证明不可检测的隐写串谋协议。它用双方共用的公开草稿模型估计通信信道，通过保分布的采样机制和自适应纠错码实现高容量传输，并用隐写密钥交换让两个独立智能体在约 80k 可见 token 内建立 128 位共享密钥，三种工作负载下的经验失败概率最高为 4.1×10−3。在三种智能体工作负载和三种发送方模型上，Codetta 的容量最高达到现有非对称协议 [4] 的 94 倍，同时保持模型输出分布不变。作者据此认为，审计机制不能只检查智能体的通信记录，还需补充审计智能体行为和扰动通信信道等手段。

推荐理由论文给出可复现的隐蔽通信协议与容量数据，说明仅靠审查通信记录已不足以发现智能体串谋。

斯坦福用 AI 修改照片，将 Hispanic 学生替换为 Black 女性

斯坦福大学承认使用 AI 修改了一张校园照片，将原本出镜的 Hispanic 学生 Billy Ramirez 替换为一名 Black 女性，并调整其他学生外貌使其显得更瘦。校方称此举违反其禁止用 AI 生成或修改斯坦福人物、活动、研究及设施图像的政策，正与住宿与餐饮部门合作加强培训与审核，并已撤下相关横幅。该照片最初于 2024 年发布于校方餐饮服务账号，上周被用于校园横幅。

斯坦福大学确认在争议中使用了 AI 编辑的学生照片

斯坦福大学确认，其 R&DE 部门用生成式 AI 修改一张宣传图中多名学生的外貌，包括更换服装、为两名学生瘦脸，并完全改变一名学生的种族、性别和外貌。校方称该做法违反禁止用 AI 生成或修改斯坦福人物、事件、研究与设施图像的 AI 政策，且未披露，正为员工提供额外培训并加强材料审核。涉事图片原用作 Governor's Corner 学生宿舍中心横幅，现已撤下。

斯坦福 R&DE 用 AI 篡改学生广告照片中的种族与外貌

斯坦福 Residential & Dining Enterprises（R&DE）被曝用 AI 修改其广告照片中学生的种族与外貌。学生 Billy Ramirez ’27 发现自己在原照片中被移除，替换为一名 AI 生成的 Black 女性，其右侧两名学生也被修图显得更瘦。Ramirez 表示自己感到被消音和抹除，并反对校方如此呈现学生形象。

LabRobFail：面向化学自驱动实验室机器人故障分析的基准

研究者提出 LabRobFail 框架，用 LabRobFail-Sim 的 FailureGenerator 在控制、物理、语义三个层级注入扰动，构建含 2 万余条轨迹、70 多个任务场景的 LabRobFail-Data，并建立 5 大类 11 细类的实验室故障分类体系。

Gemini 3.8 Flash TTS 与 Flash-Lite TTS 发布：支持自定义音色与逐句导演

Google DeepMind 推出 Gemini 3.8 Flash TTS 和 Gemini 3.8 Flash-Lite TTS 两款语音生成模型，支持用自然语言提示从零创建音色、30 秒样本复刻声音，并逐句控制表演、节奏与口音。

ODPure：通过集成破坏共识实现目标检测后门净化

ODPure 是一种面向目标检测的输入阶段黑盒后门防御方法，通过破坏-重建-选择（CRS）范式净化输入，无需丢弃恶意数据或模型即可维持稳定的感知流。该方法利用多种破坏方式中和触发器、生成大量冗余候选框，再借助生成先验恢复细粒度结构线索，最后通过投票对检测结果达成共识。实验表明，ODPure 能抵御多种后门攻击与触发器类型，同时保持基线精度。

PALS：面向全双工语音对话模型对抗鲁棒性的心理声学对齐潜空间平滑

论文将针对全双工语音对话智能体的不可感知攻击形式化为在载体语音心理声学掩蔽阈值之下的加性扰动优化，目标包括定向语义劫持、响应抑制和策略越狱。在未防御的 Moshi 类智能体上，白盒攻击成功率最高达 91.7%。作者提出心理声学对齐潜空间平滑（PALS），在残差向量量化潜空间接口注入由局部码本协方差塑形的各向异性高斯噪声，输入噪声由掩蔽阈值塑形以约束攻击者，并用 Kullback-Leibler 一致性目标训练。PALS 无推理时开销，将劫持降至 8.3%、静音降至 11.2%、越狱降至 9.1%，干净质量损失在 2.3% 以内。其蒙特卡洛平滑变体可认证的椭球潜空间半径最高为 0.616，经验鲁棒性远超这一保证下限。

受人类手术启发的机器人开颅框架：多模态融合与自适应轨迹调整

针对现有机器人开颅多为"开环"系统、无法应对术中配准误差与颅骨位移的问题，研究者提出一套融合多模态感知与自适应控制的框架，用双轮廓融合轨迹规划配合球头工具单级螺旋铣削。其 CMA-TCN-Transformer 网络融合力信号与铣削声音，再经自适应贝叶斯滤波抑制误触发，并在检测到穿透后原位修正辅助轨迹。牛肋与离体羊颅实验显示，闭环系统在进度 ξ≥0.9 时将进给速度降至 vsafe=1mm/s。

AGIMUD：面向人机多智能体交互模拟的社会情感 AI 软件架构

研究者提出软件架构 AGIMUD，用于在模拟动态世界中实现人类与多个智能体的实时交互。该架构整合了智能体行为中的社会感知推理与情绪、面向人类用户与人工智能体的多模态方案，以及通过网络分发 AI 处理以支持多个自主智能体。基于该架构的动态世界以多用户地牢（MUD）形式呈现，智能体与人类可同时实时互动，代码已在线公开。

研究者提出通过替换神经网络权重高容量外泄医学影像的攻击

研究者提出一种高容量神经隐写攻击，把医学图像编码为连续隐表示并嵌入模型初始化权重，模型导出后可直接从权重中重建隐藏图像。该方法用基于 StyleGAN2 的对抗自编码器学习紧凑隐码，并正则化使其匹配标准权重初始化统计量，从而让嵌入参数与干净模型在统计上保持一致；训练时注入噪声可提升对导出环节缓解措施的鲁棒性。载体模型在原本任务上仍保持可用，最多可将 99 个脑部 MRI 体数据嵌入一个 30MB 模型，且在会破坏此前比特级方案的缓解措施下仍可恢复。重建结果只是近似而非像素级精确，但嵌入内容在解剖上仍可辨认并可规模化恢复。

RULER：面向 SVG 生成的实例感知评分标准奖励

RULER 用实例感知评分标准为 SVG 生成提供强化学习奖励，无需配对 SVG 真值或人类偏好标注。它把每条指令转成覆盖语义、视觉、风格三个维度的六项评分标准，由 judge VLM 对渲染结果逐项打分，加权满意度经 GRPO 优化。在 MMSVG-Illustration 和 MMSVG-Icon 上，评分从 0.432/0.395 提升至 0.693/0.683，超过专用 SVG 模型并追平更大的 DeepSeek-V3。

LIBERO-VPro：评测机器人基础模型闭环视觉鲁棒性的基准

研究者提出 LIBERO-VPro，用于系统评测机器人基础模型在执行过程中的闭环视觉鲁棒性，通过扰动执行时可获得的视觉证据来考察模型表现。该基准覆盖视觉证据退化、相机陈旧、视觉来源一致性和任务相关场景变化四个维度，包含 12 个挑战类别、96 种实验设置和 3,296 个任务条件用例。作者评测了三个视觉-语言-动作模型和三个世界-动作模型，共约 196,000 次仿真回合，并在 Franka Research 3 上补充了 200 次真实世界 rollout。

TAME：用 SAE 抑制激活缓解 VLM 思维链混淆

论文研究强化学习在提升视觉语言模型推理能力时引发的思维链混淆现象，即任务奖励或准确率上升但推理轨迹变得不接地、更难监控。作者发现 RL 过程中模板相关激活与接地相关激活的可分性下降，匹配的干预实验支持这些特征对可监控性退化的贡献。据此提出 TAME，用 Sparse Autoencoders 结合行为反馈，在 RL 中对模板相关激活做非对称抑制，只惩罚高于 RL 前基线的部分。在 VIRL-39k、SPA-VL 和两个模型族上，TAME 相比 GRPO 将思维链可监控性分别提升最多 30.9 和 16.7 个百分点，盲评人类评估与两个留出监控模型族也复现了提升；任务准确率变化较小且方向不一，通用能力基准显示存在任务特定权衡。

StyleAT：用对抗训练防御人脸识别的语义攻击

针对人脸识别模型易受对抗性语义编辑（如轻微老化或姿态变化）攻击的问题，研究者提出语义攻击 BoundStyle，在 StyleGAN 潜空间中最大化误分类率，攻击成功率高的同时比现有 SOTA 攻击快约 9.5 倍。基于 BoundStyle 构建的对抗训练方案 StyleAT 采用低预算攻击变体，却能防御更强和未见过的语义攻击。在两个训练中未见的数据集和七个模型上，StyleAT 提升了针对 SOTA 攻击的鲁棒准确率，并在多种设置下优于常见防御方法。

VidMark：面向视频生成模型知识产权保护的高效水印方案

研究者提出一种生成内嵌水印方案，用于视频生成模型（VGM）的合成视频验证与模型所有权验证两项取证任务。方案包含名为 VidMark 的视频水印网络，结合两级离散小波变换（DWT）分解与全局时序注意力模块（GTAB），并通过解码器引导的微调让 VGM 生成携带模型专属水印的视频。在代表性 VGM 上实验显示，水印提取准确率超过 99%，两项验证任务准确率均达 100%，且对视频级与模型级攻击具有强鲁棒性。

多模态大模型能否生成并检测社交媒体多模态假新闻

研究提出一个由故事智能体、图像智能体和评论智能体协作的多智能体框架，用于生成能与真实新闻对抗的虚假社交媒体帖子。作者用该框架在科学、健康、娱乐三个领域生成了超过 9000 组配对的多模态新闻帖子，并以此评测 16 个开源与闭源多模态大语言模型的自动检测能力。结果显示，多数模型的准确率明显低于人类水平，在识别图像真实性方面尤其失败。作者称该工作为开发针对社交媒体假新闻的防御提供了基础，代码与数据已在 GitHub 公开。

通过心理测量画像衡量大语言模型的行为特征

研究团队开发了一套跨语言心理测量画像框架，用七种心理量表评估九个 LLM，中英文各重复施测五次，未解决的题目保留为 NA。模型呈现结构化的、模型特异的画像，同时共享一种对齐塑造的模式：亲社会与自我调节反应更高，支配性、脱离和有害意图认同更低。NA 反应呈结构化分布，语言条件和提供方来源与画像配置及可作答性相关，重复施测显示高可复现性并可还原模型身份。

特朗普亲吻白宫助理 Natalie Harp 的疯传图像实为 AI 生成假图

宣称显示美国总统特朗普在球场亲吻白宫助理 Natalie Harp 的图像本周在社交媒体疯传，跨平台累计数百万次浏览，实为 AI 生成的假图。这些图像在多个在线平台扩散，但传播来源尚不明确。

用扩散模型隐空间扰动防御视觉语言模型的地理位置隐私泄露

研究系统考察了多模态大推理模型（MLRM）从日常照片推断用户地理位置带来的隐私泄露，发现基于拒答的防护严重不足，精心构造的越狱提示词可将模型响应率提高到 100%。作者指出，现有在像素空间注入不可见扰动的防御受结构性限制，黑盒迁移性下降且出现明显视觉伪影。为此提出一种基于扩散模型的主动防御框架，在反向采样过程中向扩散模型隐空间注入扰动，直接作用于高层语义表示，并以与 GPS 坐标对齐的 GeoCLIP 作为代理模型定位和破坏 MLRM 用于位置推断的地理信号。该方法在保持图像感知质量的同时获得更强的黑盒迁移性，便于在社交媒体平台集成。该工作已被 NDSS 2027 接收。

SafeStage：按执行前中后三阶段评测视觉语言机器人操作安全

作者提出 SafeStage，一个按生命周期结构组织的机器人操作安全基准，用于在任务执行前、执行中和执行后三个阶段评测安全。该基准包含 97 个专门设计的风险场景，分为三类：初始状态危害考察操作目标前必须解决的安全相关关系，执行期安全评估执行过程中的不安全接触、轨迹、区域进入和物体交互，最终状态危害捕捉任务名义完成后仍存在的不稳定或不安全状态。评测采用基于事件和基于状态的检查，并将原生任务成功率与各阶段安全结果分开报告。作者在统一的闭环协议下评测了代表性的直接动作 VLA 策略和基于世界模型的策略，结果显示任务名义完成常与安全违规同时出现，不同策略在三个阶段呈现不同的失败特征。

佛罗里达 Vero Beach 男子因未经同意制作并传播 AI 深度伪造色情图像被捕，面临 8 项指控

佛罗里达州 Vero Beach 37 岁男子 Peter Solomon Ruma 因未经同意制作并传播 AI 生成的女性色情图像被捕，保释金 100 万美元，面临 8 项指控。警方称其从社交媒体等渠道获取照片制作篡改图像，指控涉及 2026 年 6 月至 8 月间一名女性受害者，包括 3 项制作篡改性描绘、3 项传播、1 项性网络骚扰和 1 项跟踪。警方已识别出多名潜在受害者，认为其行为可能持续多年，调查仍在进行，可能追加指控。