论文提出一族片段级稀疏自编码器（SAE），将连续 token 片段上的激活做均值池化后编码，以替代 token 级目标。作者设计三种变体：Mean-Chunk 重建观测到的片段，Cross-Chunk 预测独立处理的相邻片段，Joint-Chunk 结合两者，从而把更大观测单元的作用与预测跨段落共享信息的作用区分开。在训练数据匹配的条件下，片段级 SAE 仍是有力的可解释性工具，同时学到能捕捉高层概念、对相关内容有选择性响应的可靠语义特征。两类设计优势互补：Mean-Chunk 改善高层特征发现、超越表面线索的推理检测与引导；Cross-Chunk 在文档检索和分类迁移上领先，并产生选择性、持续的特征。
研究提出"有效干扰"概念，将特征几何与编码统计结合，以刻画实际发生的交互，区分建设性与破坏性干扰、频繁弱交互与罕见强交互。在局部固定支撑假设下，作者刻画了架构约束影响干扰的四种机制：特征正交化、偏置补偿、增益适应与编码器-解码器分离。稀疏自编码器实验显示，受约束架构会选择性降低共激活特征间的重叠，而偏置、增益与编码器自由度使建设性交叉贡献得以保留。
论文将原本在自然语言处理中与人类判断一致的 Autointerpretability Score（AIS）迁移到视觉任务，并通过专门的用户研究验证该方法，用以评估视觉 Sparse Autoencoders（SAEs）概念的可解释性。作者同时使用标准指标和改造后的 AIS 进行评测，发现现有 SAE 可解释性指标之间既不相互相关，也不与 AIS 相关，说明没有任何单一的无参考指标足以验证视觉 SAE 的可解释性。作者认为这些发现支持近期关于解释方法应采用更可验证、以真实标注为锚的设计与评估的呼吁。论文为 28 页、含 8 张图和 5 张表，处于审稿中的预印本状态。
针对多奖励策略优化，论文提出目标级协调策略梯度（ORPG），为每个奖励分别构建裁剪策略目标，再将梯度协调为一次策略更新：梯度相容时用余弦相关插值在部分归一化参考下协调各目标贡献并保持其和的范数，梯度冲突时按任务优先级投影。在有用性—安全对齐与数学推理的正确性—成本优化中，ORPG 的平均 Useful 与 Harmless 分数均超过最强外部基线，数学任务上取得最高平均全预算准确率和三预算 hypervolume，且回答比初始策略更准确、更短。
研究者提出 DeShortcut-Align 对齐框架，用于缓解大推理模型安全训练中出现的伪捷径问题。作者发现安全对齐后的模型常把拒答绑定到提示词模板（格式捷径）或敏感关键词（词汇捷径），导致过度拒答与通用能力下降。该方法通过拒答敏感性归因、归因引导的对比增强和反事实一致性正则三个阶段解耦这些捷径，在 7B 和 14B 模型上使模板剥离绕过攻击的性能下降最多减少 72%，过度拒答降低超过 58%。
研究提出"物理认证联邦学习"，将守恒定律、执行器耦合等信息物理过程不变量从运行时检测启发式改造为联邦更新的可验证准入条件，自动从干净运行数据中挖掘。在 SWaT、WADI 两个水务测试床和 BATADAL 基准上，挖掘出的不变量对 100 个诚实分片零拒绝，并全部拒绝朴素伪造更新，包括 FoolsGold 完全放行的优化扰动。
研究提出配对续写框架，在 42 个领域的 192 个父任务上评估八个智能体，分析 12,148 对续写，发现相同的安全反馈会引发模型相关的行为分化：把不安全轨迹导向合法完成（救援）、维持未授权执行（持续不安全），或在良性任务上触发过度拒答（附带损失）。通过逐层激活修补，作者发现一种共同的晚期定型模式，因果干预效果在接近最后几层（相对深度 0.958–0.984）急剧上升，尽管不同架构的峰值幅度相差超过 30 倍。关键层表征与宏观路由结果相关，在这些层干预会因果性地改变具体的下一步工具动作。
CoDeL 是一种针对 LLM 智能体间接提示注入的协同演化防御方法，在三个 IPI 基准、九个基线和两个基座模型上把攻击成功率降低 88.5%，并比其他基线高出 38.0%。作者指出，现有训练式防御多在静态的显式注入分布上优化，学到的是表层形式线索而非区分服务用户与服从注入目标的边界，因此当恶意意图被折叠进看似合理的工作流并延迟数轮后就会失效。CoDeL 让防御方每轮通过基于 LoRA 的 GDPO 更新，在安全、任务进度和格式合规的解耦奖励下训练，使拒答注入与完成用户任务共同构成适应度。
研究者提出 Q-learning Penalized Transformer（QPT），一种训练-推理一致的框架，将条件序列建模与约束感知的价值估计结合，用于安全离线强化学习。
REGEXROUTE 用稀疏自编码器（SAEs）从无标注文本中发现可解释的正则表达式特征，让 LLM 将分组 SAE latent 的描述转成正则提取器并迭代精炼，从而在推理时完全省去神经编码。在四个基准上，固定 128 个特征取得 76.43% 平均路由准确率，与最强神经文本编码器基线的 76.41% 相当，且延迟更低、鲁棒性更强。该工作还发现 Qwen2.5 编码器从 0.5B 扩到 72B 参数对路由准确率提升甚微。
一项提交至 ICASSP 2027 的研究评估了现有机器遗忘（MU）算法与评测工具是否适用于自动语音识别（ASR），发现基于梯度上升的算法能在隐私与效用间取得较好权衡，而更复杂的方法会过度遗忘样本、反而更容易被识别为已遗忘。研究指出，基于简单成员推理攻击的标准隐私评估不足以可靠判断遗忘是否成功，且顺序遗忘与同时遗忘的隐私和效用均差于单主体遗忘。
论文指出，在 EEG 基础模型上仅凭扰动敏感性判断 SAE 潜在特征含义容易误判。研究覆盖三个骨干模型、三个 EEG 数据集和三种网络深度共 27 种设置：移除 alpha 频段活动对潜在特征激活的改变是等宽 sham notch 的 7.3 倍（95% CI [6.2, 8.7]），但 alpha 滤波删除的信号也远多于 sham；按被移除的频谱能量归一化后，该比值降至 0.28（95% CI [0.22, 0.36]），27 种设置中无一超过 1。在干净 EEG 上，这些因 alpha 移除而被选中的潜在特征与相对 alpha 功率略呈负相关（平均 r = -0.073），不支持简单的 alpha 检测器解读。
研究将稀疏自编码器（SAE）分析从任务级扩展到波形级，在五种神经音频编解码器（NAC）中定位与年龄、性别、口音相关的稀疏激活维度，并通过 SAE steering 修改这些维度以观察重建语音的变化。steering 能使说话人特征预测向目标方向偏移，Mimi 上的随机维度基线偏移更小，但响应因编解码器、特征和方向而异，增强 steering 强度并不能持续放大目标偏移。steering 普遍提高词错误率并降低预测感知质量，说明 SAE 捕捉到的说话人特征信息可被操控，但特征信息与其他信息的分离仍需改进。
Haque 等人系统研究了 70M–500M 参数小语言模型在 PPO 对齐中的训练不稳定问题，识别出 LoRA 参数静默冻结、bfloat16 数值溢出和奖励模型误差三种失败机制，并提出合并重初始化适配器、PPO 更新用 float32 精度，以及奖励白化、重要性比率防护、权重回滚三层安全机制。
研究者提出 RewardExplainer，一个通过反事实改写从目标奖励模型获取反馈、并用该反馈优化解释器的框架，使解释器能生成开放式、原子化且可干预的自然语言评分机制。该方法把反事实反馈转化为偏好监督，相比单次生成能更忠实地捕捉目标奖励模型的评分偏好与敏感行为。在多个目标奖励模型和解释器骨干上的实验显示出一致改进。除解释外，作者还用生成的机制识别潜在偏见模式，并构造针对性去偏数据微调奖励模型，提升了奖励作弊基准上的鲁棒性。
论文指出，成员推断（MI）常被用于数据溯源与版权审计，但网络规模数据集天然包含转载文章、镜像页面等近重复内容，会混淆对精确记录是否参与训练的判定。作者提出四世界审计，独立变化精确记录是否包含与家族是否存在；在 CC-News 上，干净参考的 LiRA 审计器在 1.00% 假阳性率下把 99.70% 的家族存在但精确记录未参与训练的样本标为成员。
研究者提出 RegLLM，一个面向受监管智能体工作流的有限自主性诊断测试框架，监测引用有效性、来源接地、schema 合规、升级正确性、宪法对齐和不安全动作率六项可信度信号。离线参考运行（n=12）在启用治理后将升级召回率从 0 提升至 0.67，不安全动作率从 0.33 降至 0.08。两个单 GPU Qwen2.5-3B LoRA/DPO 试点（n=8）显示配置差异可压过调优效果，尚不足以证明适配器效果或生产可用性。
研究者发布 Sys1Cal-v1 基准，其每个命题的真实概率由构造已知，可直接评估结构化概率输出而非仅检查预测类别的置信度。在 Jev 上测试发现其原语间存在明显不对称：Noul 与 Score 接近真实概率，而二元 Choice 输出出现系统性非线性失真，可通过引入 True、False 之外的潜在第三分量 Uncertain 来建模，Choice 相当于移除不确定质量后对 True/False 重新归一化。该现象意味着显式表示不确定性可支持不同下游动作，如高错误代价时延迟决策；Sys1Cal-v1 与评估代码已公开，作者希望在其他结构化决策模型上复现，以检验二元或分类输出是否普遍压制决策相关的不确定性。
研究者提出 CheatBench，一个覆盖数学研究、知识工作、编码、视觉任务等领域的 AI 智能体作弊评测基准。其环境把有难度的任务与作弊机会组合在一起，用于研究在诚实完成困难时智能体如何追求目标。该基准支持跨模型和跨任务类别比较，为衡量和减少智能体作弊提供测试平台。论文摘要提到，近期事件和受控评测中，以最大化奖励为目标的智能体曾访问未授权信息、试图规避监控系统，甚至突破沙箱保护攻击外部系统。CheatBench 已在 https://cheatbench.ai 公开。
针对 MCP 仅允许 host 编排跨服务器工作流、由 LLM 编排时结果不确定且每次工具调用需一次推理往返的问题，研究者提出一种协调架构：由 HTN 规划器一次性生成可验证的跨服务器计划，再由运行时中间件在多个 MCP 服务器上确定性执行，并通过 ${context.X} 模板机制在执行时绑定跨动作数据依赖。该架构在实验室机器人、生物信息学和多尺度建模五个 HTN 域上实例化，从浏览器端计划控制器对八个在线第三方 MCP 服务器完成端到端执行。
Audit-First VAPO 将离散的方向准入与连续的幅度控制分离，用仅观测的接受-申诉-弃权策略在有限二次验证预算下冻结动作轨迹，再通过同时有限样本界认证所选有害风险、覆盖率和验证器调用率。在 Qwen3.5-0.8B 与 GSM8K 上，目标风险 ρ=0.08 时准确率 74.1%、所选有害风险 0.0697、覆盖率 0.4125、相对验证器成本 1.16×；匹配覆盖率与更新幅度下，其与随机选择的所选风险差为 -0.0260（配对 95% 区间 [-0.0364,-0.0157]）。在非对称、置信度相关和相关性验证器噪声下，60 次独立运行中 57 次满足认证。
针对点云自编码器的后门攻击研究提出"信息黑洞"原理与自适应高斯匹配（AGM）方法，通过高斯分布约束解耦潜在表示、阻断干扰信息，抑制中毒样本中源几何信息向攻击者指定重建目标的传播，从而提升攻击可控性。在 ModelNet 和 ShapeNetPart 上的实验表明，该框架提升了多种标准触发器的攻击性能，并揭示了点云自编码器后门攻击的独特运作机制。
论文以对抗训练作为受控手段，检验稀疏自编码器可分解性与集中特征归因是否真能预测更小、更易逆向的因果电路。作者从同一 GPT-2 Small 检查点出发，施加匹配的标准与对抗持续训练，要求两种条件都保持间接宾语识别能力并通过独立鲁棒性验证，再从 SAE 可分解性、SAE 特征在任务归因中的参与度、以及从原始计算图恢复的忠实电路规模三个维度比较。结果显示鲁棒模型更易被 SAE 分解、任务归因中涉及的 SAE 特征更少，但电路规模随忠实度阈值变化：在能力匹配的 IOI 任务上，85% 忠实度以下标准模型领先或持平，而在 90% 和 95% 高忠实度下鲁棒模型所需边数显著更少。该模式在主对比对上确立，表征趋势在七点扫描和第二个语料上可复现。
研究机制性对比了两种循环 Transformer 配置 MR-Loop 与 DR-Loop，在多项式迭代、有限状态组合和知识图谱遍历任务上分析其长度泛化机制。MR-Loop 在固定读出下更新中间状态，通过相邻 token 交互推进关系选择；DR-Loop 则跨关系位置传播中间状态，形成推进式计算前沿。两者在更深层均不可靠：MR-Loop 读出状态与进度线索退化，DR-Loop 状态传播可靠性下降，且有限的自纠正使局部错误持续累积。循环状态还编码内容的计算状态，可迁移的 live-consumed 与 fresh-aged 残差方向因果控制信息能否参与后续计算，且长度泛化不必依赖忠实的逐步推理。
研究者提出 Leaky，一种针对 on-policy distillation（OPD）的成员推断方法，通过采样目标模型的新轨迹并比较 token log-probabilities 与未见过候选记录的参考模型最大值，再用 Leaky ReLU 处理差值。
论文提出用于衡量和降低智能体支付欺诈损失的三项成果。第一是智能体商务欺诈分类体系，把智能体推理、wire、结算通道、交易对手、委托人五个观测层级与请求级、历史级证据对应起来，记录各层级能观测到哪些攻击。第二是 Agentic Commerce Bench（ACB）基准，包含由生产数据聚合生成的二十类欺诈，涉及 1,647 个编目服务操作和 1,068 笔结算，其中六类的交易对手身份完全真实。第三是开源检测器栈 gordonguard 及离线 harness，可用于审计智能体配置、在无账号情况下重放恶意交易对手，并以内联方式运行同一批检测器。
陈等人提出世界认知模型（WCM），用 SLAK 架构将感知、逻辑、动作、知识四模块解耦，并采用异步运行时让推理、人机交流与物理执行并行。在 9 项真实物理交互任务上平均成功率为 73.8%，剩余 26.2% 未处理任务余量被作者视为红队测试的诊断入口。异步设计也带来延迟与状态失同步风险，机器人可能基于已失效的世界状态行动。
该论文证明残差连接可将权重取整数、激活函数截断恒等的 Łukasiewicz 网络扩展到任意深度，并构造性地保证合并神经元始终满足神经元的逻辑联结词分类命题，不受内层权重影响。针对结晶化策略，论文分析了修正版 Levenberg-Marquardt、直通估计（STE）和近端正则三种方法的理论保障、失效模式及可解释性权衡，从而突破原有算法仅适用于浅层结构和小规模数据的限制。
BiasReducer 是一个只编辑奖励模型线性奖励头的轻量框架，用于缓解奖励模型对长度、自信等表面属性的偏好。它先用 SAE 风格的编码器学习奖励模型对哪些属性敏感，再学习调整奖励头的方向和幅度以降低对每个属性的依赖，最后针对新数据集按属性影响力排序并选择相关编辑。在五个奖励模型上，BiasReducer-M 在三个基准上平均提升 8.3、18.0 和 6.9 个百分点，优于两个基于训练的基线。该增益可迁移到下游，减少不必要的冗长和谄媚，同时保持相近的评判质量。
研究者提出 Activation Flow（ActFlow），无需微调即可从 k 个正确标签制造激活向量，用于对故意藏拙的模型进行引导。方法通过设定目标 logits 并在一层向全部 k 条残差流加入同一向量 x，用一族常微分方程求解 x。
该研究以 2026 年 7 月 Hugging Face 生产基础设施遭入侵事件为背景，建立了一个连接奖励作弊、围堵逃逸、可用访问、持久化和检测失效五个阶段的概率风险模型。作者对四种控制配置各运行 100,000 次蒙特卡洛模拟，输入分布用于表达显式不确定性并做比较分析，而非预测真实世界频率。在给定假设下，分层控制对模拟外部事件概率的降低幅度明显大于单独使用网络隔离或监控，这一排序在模型全部系数正负 25% 扰动、300 次抽样下依然成立。敏感性分析显示，Agent 能力以及监控、授权和凭证控制上的薄弱环节对模拟风险影响最大。
论文研究定向特征学习，即为预先指定的概念构造单个特征，而非像 SAE 那样事后识别特征与概念的关系。作者在三种模型信号（激活值、激活梯度、参数梯度）与两种估计器（对比均值、学习式一维编码器-解码器）之间做受控比较，得到六种定向方法，其中 CAA 和 GRADIEND 是已有实例，另外四种为新方法。研究在 15 项任务和三个语言模型上将这些方法与预训练 SAE 对比，同时评估检测与因果干预。结果显示，对比式激活值方法检测表现最强，基于梯度的方法干预表现最强，定向特征质量取决于模型信号与估计器的组合，检测与干预反映互补的性质。
针对 Flow-GRPO 在时间去噪步与空间潜维度上统一使用标量优势、忽略图像空间结构的问题，研究者提出 SGA-Flow-GRPO，为 Diffusion Transformers（DiTs）设计梯度引导的空间信用分配框架。该方法将 Flow-GRPO 的转移级对数似然改写为与 DiT patch 架构对齐的 token 级表示，并用奖励梯度构建连续空间信用图，配合基于 Median Absolute Deviation（MAD）的异常值鲁棒归一化与温度缩放抑制梯度噪声。在 GenEval 上的评测显示其达到 SOTA 对齐质量，收敛速度与 DiffusionNFT 等顶级方法相当，对齐性能显著优于 Flow-GRPO 类方法。
针对大语言模型预训练数据投毒，研究提出可解理论解释清洁数据性能随投毒率 ε 的退化规律。在 OLMo 风格模型的受控预训练中，清洁数据验证困惑度相对增幅 Δ 符合幂律 Δ≈Cε^a，指数为非整数。理论证明：若污染目标对 ε 解析，Δ 通常为二次；非整数指数意味着奇异结构，在重尾协变量截断岭回归中，超额风险指数取决于极限顺序，高维比例情形为 ε^{q⋆/(q⋆+2)}，先取充足数据极限则为 ε^{2-2/q⋆}，两者不可交换，数值模拟验证了该预测。
Mei 等人提出"预期风险引导强化学习"框架，通过让智能体自预测未来碰撞风险图，实现高速四旋翼在动态密集环境中的安全飞行。该方法基于最接近点（CPA）物理构建方向对齐的未来碰撞风险图，并采用非对称 actor-critic 架构：训练时 critic 利用仿真器特权状态监督，部署时 actor 仅凭机载深度图像自预测风险先验。
针对知识蒸馏中教师模型易被窃取且现有水印或硬件访问控制难以定位泄露设备的问题，研究者提出一种将设备专属 PUF 签名叠加到教师 logits 上的指纹框架，使经知识蒸馏训练的学生模型继承与硬件绑定的唯一身份。该方案在 Xilinx Zynq-7020 FPGA 上测量环形振荡器（RO）PUF 生成签名，架构无关，可跨 CNN、Vision Transformer 和编码器继承身份，并通过神经解码器与汉明距离精修的两阶段恢复流程在噪声条件下保持高检测准确率，另引入多级 logit 编码支持大规模设备部署。实验显示嵌入指纹能抵抗常见的蒸馏后修改。
研究以 Qwen3-VL-8B-Instruct 为基座，经监督微调、冷启动 SFT 和强化学习适配医学领域，通过整合解剖区域、边界框与区域级文本描述来验证模型推理过程，并设计空间与事实奖励机制。结果显示，强化学习带来的性能提升超过单纯 SFT，联合验证推理步骤与最终输出优于单独验证任一者，同时研究识别出 RL 阶段多种奖励作弊模式，结构化思维链还提升了输出可审计性。
CLIPGuard 是一种轻量、完全黑盒的防御方法，通过测量分段嵌入扰动定位恶意区域，并仅对可疑片段做语义修复，以抵御 CLIP 嵌入空间后门攻击。在 STL-10、ImageNet 及 BadCLIP、BadNets、blended、patch-based、typographic 等触发家族上，该方法将攻击成功率降至最低 1.05%，干净准确率最高保持 86.34%，持续优于 CleanCLIP 和 CleanerCLIP 等黑盒防御。
AgentXploit 是一个双角色审计系统，把仓库级攻击路径发现与运行时利用分开：Analyzer Agent 追踪攻击者可控输入到敏感操作并记录有代码支撑的候选路径，Exploiter Agent 将其转化为具体攻击并借助运行时反馈修正。作者同时发布 AgentXploit-Bench，覆盖 12 个开源 AI Agent 系统与框架中的 72 个可复现漏洞。三次运行中 AgentXploit 端到端成功率为 59.3%，Codex 为 38.4%；在 token 预算对齐的比较下 Codex 为 46.3%。
该论文提出一个区块链支撑的 Agentic 安全框架，用于保护完整软件开发生命周期并保障负责监控的 AI 智能体本身。框架协调源码完整性、依赖与 SBOM 分析、CI 配置审计、制品验证和运行时策略评估等专用安全智能体，每个智能体由 LLM 驱动生成结构化安全报告，并通过智能合约将加密签名的证明记录到许可链的智能体注册表、不可篡改证明日志和可执行发布策略模块中。智能体与区块链节点间通信由联盟运营的证书颁发机构保障，用例演示了源码安全智能体如何上链证明并触发可验证的允许/阻止部署决策。