顶会安全论文

将迭代生成的混沌映射嵌入推理链实施越狱，在Trotter数据集上对三款模型的攻击成功率分别达96%、86%和98%。

发现无需修改有害请求文本，仅改变分词方式即可绕过安全限制，并在三个大模型上验证其攻击效果可与现有先进方法竞争。

实证评估 13 个 SLM 在多种越狱攻击下的安全性，多数易受攻击；防御方法有效，并分析了压缩、量化、蒸馏等技术造成的安全退化。

通过分解攻击策略并结合遗传优化扩展搜索空间，在所测Claude-3.5上取得超过90%的越狱成功率，并展现跨模型迁移性。

研究蒸馏前改写与蒸馏后水印中和，发现定向改写和推理时中和均可消除继承水印，后者还能保持知识迁移效率与较低计算开销。

提出 MAC 基准，用语言模型生成欺骗性文本揭示多模态表征的组合漏洞，并通过自训练同时提高攻击成功率与样本多样性。

利用生成对抗网络学习模型内部安全判别边界，在三款模型上平均越狱成功率为88.85%，防御成功率为84.17%。

提出 CoA，从审讯视角生成多轮攻击链以隐藏越狱意图，对黑盒 LLM 的攻击成功率达 83%，高于对比方法的 64%。

将恶意查询拆成多个子查询并逐步编辑图像，绕过防护的比例超 60%（其他方法 14%），并提出 Think-Twice Prompting 防御超 95% 的攻击。

提出通过对抗图像或音频传递有害指令的灰盒攻击，在多种视觉与音频语言模型上绕过安全机制，并发现现有防御存在明显缺口。

提出 AutoDoS，在黑盒下构建 DoS 攻击树并迭代优化，使服务响应延迟放大超 250 倍，并可借 Length Trojan 绕过现有防御。

理论分析表明思维链推理对越狱危害具有双重作用，并提出FicDetail越狱方法，以实验验证理论发现。

提出 DSN 攻击，结合余弦衰减调度与拒答抑制改进优化式越狱的损失目标，攻击成功率达 SOTA，并可迁移到未见数据集和黑盒模型。

评测开放与闭源模型生成个性化虚假新闻的行为，发现多数模型安全过滤不足，个性化要求还会降低过滤触发率，形成越狱效果。

提出黑盒越狱方法 ICE 和评测集 BiSceneEval，单次查询即达高攻击成功率并具跨模型迁移性，暴露现有防御的关键漏洞。

提出AVATAR框架，诱导模型将无害隐喻校准为有害内容，在多个先进模型上展示较高攻击成功率与跨模型迁移能力。

提出 RL 框架生成欺骗性上下文，改写 LLM 对数学或哲学等基本公理的信念，效果优于简单多轮提示方法。

分析并移除梯度越狱优化中的多余约束，将跨模型攻击成功率从18.4%提升至50.3%，同时改善攻击行为的稳定性与可控性。

MML通过跨文本与图像的编码及隐蔽引导降低恶意意图暴露，在三个安全基准上对GPT-4o取得约99%的攻击成功率。

提出将攻击意图伪装成防御任务的 REDA，结合少量上下文示例实现单次迭代越狱，并在开源和闭源模型上优于现有方法。

在九个对齐模型和八种防御下评估17种越狱攻击，建立攻击分类，并发现启发式攻击虽可取得高成功率，却较易被防御缓解。

提出ActorBreaker，利用与有害内容语义相关的多轮提示绕过防护；攻击在多样性、效果与效率上优于既有方法，衍生训练数据可增强鲁棒性。

将多轮越狱对话重构为单轮提示，攻击成功率达70.6%至95.9%，最高比原攻击增加17.5个百分点，平均令牌用量减少逾半。

提出利用跨任务迁移性的 CEMA 黑盒攻击，仅需100次查询即可取得显著攻击效果，并可攻击商业翻译接口、语言模型和图像生成模型。

利用单独安全的图像与文字组合形成有害含义，九种文生图模型的不安全生成率约为10%至70%，常见过滤器未能有效防御。

构建含约 1.7 万篡改视频片段的基准，评测 45 个 MLLM 对五类篡改的抵抗力，发现鲁棒性差异大且参数量更大不一定更稳健。

将恶意请求转换为结构化非自然查询语言以绕过安全对齐，在主流模型及多种防御下取得较高攻击成功率。

利用检索增强检测器的反馈迭代改写实时新闻，生成欺骗性样本，使GPT-4o检测器的ROC-AUC下降17.5个百分点。

提出多轮隐藏恶意意图的 Red Queen 攻击，在 GPT-4o 上 ASR 达 87.6%，且大模型更易受攻击；所提 Red Queen Guard 可将 ASR 降至 1% 以下。

提出黑盒越狱方法 R2J，仅通过改写原指令并迭代优化策略即可越狱，无额外特征、更难识别，并可迁移到多种数据集和模型。

先遮蔽恶意查询中的有害关键词，再用简单辅助任务编码其语义完成越狱；在 AdvBench 上 ASR 最高达 85%，优于基线。

提出 SemanticCamo，用语义特征替换不安全内容以隐藏恶意意图，对 GPT-4o、Claude-3.5 等平均超过 80% 的情况诱导出有害回答，且对多种防御有效。

结合越狱与能量约束解码生成隐喻式隐性仇恨言论，发现GPT-4o及专用安全模型常将其误判为无害内容。

提出针对输入提示构造方式的SIJ越狱，五款开源模型攻击成功率接近100%，五款闭源模型平均超过85%。

提出SEED攻击，在先前推理步骤中隐蔽注入错误而不修改指令，在四个数据集和四种模型上诱导后续推理与最终答案出错。

用 DPO 微调使生成文本风格趋近人类写作，仅需少量样本即可显著降低 Mage、Radar 等主流检测器的检测性能。

提出基于强化学习的 ReGENT，用人眼难以察觉的小扰动让目标文档被检索并误导 RAG 的最终回答，效果优于现有攻击方法。

针对语义等价输入上安全性不泛化的问题，发现多轮、多图和翻译式攻击带来新漏洞，并提出结构重写护栏，显著提升有害输入拒答且不增加过度拒答。

提出将序列转换任务嵌入提示以间接构造违规输入的TIP攻击及PHRYGE基准，实验表明该攻击可绕过六种先进语言模型的安全防护。

评测多种诱导偏见的攻击及其迁移性，发现模型通常更易受性别偏见攻击，较大模型与预训练基础模型也往往更脆弱。

在黑盒条件下生成带有不可感知扰动的对抗图像，使视觉语言模型推理计算成本最高增加128.47%。

发现纵向排列文本显著降低模型分类准确率，带来绕过有害内容检测的潜在风险；思维链无助于缓解，而结合细致分析的少样本学习有效。

在最长128K上下文中测试多示例越狱，发现上下文长度是攻击效果的主要因素，重复示例甚至随机文本也能绕过安全措施。

提出含四类音频攻击的 CAA 基准，评估六个语音交互 LALM 的鲁棒性，结果显示 GPT-4o 抗攻击能力最强。

构建间接提示注入评测数据集，评估现有及专门训练的检测模型，并比较分段删除与指令抽取两类注入移除方法。

将免训练提示注入技术反向用于强化原始指令，构建防御方法，实验表明其效果优于现有防御方案。

构建 BatchSafeBench，发现所有 LLM 都易受批量提示中注入指令的干扰；基于探针的检测准确率约 95%，并分析了相关注意力头。

提出结合语义采样、排序与迭代优化的提示注入方法，生成可用于任意用户提示的固定后缀，并在四种模型和十类目标响应上验证有效性。

构建NotInject评测集，发现护栏易因触发词误判无害输入，并提出PIGuard降低此类偏差、改善提示注入检测表现。

通过验证指令与工具调用是否服务用户目标，Task Shield 在 AgentDojo 上将 GPT-4o 攻击成功率降至2.07%，任务效用保持69.79%。

综述提示泄露与提示越狱等攻击方法，总结其实验设置，并探讨提示威胁与提示注入攻击之间的关系。

构建独立记忆的多智能体攻击评测框架，并增强投毒样本的检索与传播能力，在多种拓扑和百智能体场景中提升攻击效果。

针对带宽、延迟与防御约束优化多智能体间的攻击提示分布，攻击效果最高达传统方法的七倍，并能绕过多种现有护栏。

提出可自适应生成并持续优化安全检查的智能体护栏，有效应对任务特定风险与系统性安全风险，并能迁移至不同智能体任务。

提出 CIP，利用因果影响图让 Agent 预判有害后果并迭代修正，在代码执行和移动设备控制任务中提升安全性。

利用图神经网络检测多智能体对话图中的异常，并通过拓扑干预缓解攻击，实验显示其在提示注入场景下可恢复超过40%的性能。

从拓扑视角分析多智能体系统在恶意攻击下的安全性，发现连接度高、规模大的系统更易受对抗扩散，星形拓扑下任务性能下降 29.7%。

提出AiTM攻击，通过拦截和篡改智能体间消息破坏协作，在多种框架、通信结构及应用中验证了系统脆弱性。

提出知识可信度、推理可靠性、输入鲁棒性三支柱框架，综述并元分析显示主动防御比传统方法在虚假信息预防上最多提升 63%。

提出 ToxEdit，在前向传播中检测毒性激活并走自适应层间通路，在解毒效果和保留通用能力上均优于现有知识编辑方法。

提出 APL，用内在偏好概率度量有害性并以条件生成攻击器迭代对抗训练，Mistral-7B 有害输出从 5.88% 降至 0.43%，效用基本保持。

通过对抗博弈动态调整内部表征以平衡有用性与无害性，并结合专家模型辅助采样，实验中安全性优于所有基线。

构建含 253,420 个图文对的电商 AIGC 风险基准，并提出软提示匹配检测，召回率比主流多模态模型高 9.68%，推理快 37.8 倍。

评估95个角色模型，发现角色扮演微调会削弱安全性且风险随角色特征变化；提出 SaRFT，在多模型及两类微调设置下优于基线。

提出即插即用的输入过滤框架 EDDF，从已知攻击中提取“攻击本质”建向量库并在线检测，使攻击成功率至少降低 20%。

提出 GBM 正则化，面向 LSTM、S4 与 CNN 降低输入扰动影响，对抗鲁棒性比基线最多提升 8.8%，并首次系统分析 S4 的鲁棒性。

构建中文安全知识短答基准，评估模型对法律、政策与伦理等知识的事实性，并分析其与检索增强生成能力和抗攻击鲁棒性的关系。

通过对抗改写构造有毒难负例，以基于原型的对比困惑度目标微调模型，减少有毒生成并保持常识推理与阅读理解表现。

提出上下文驱动过度拒答概念及两阶段评估框架 COVER，发现拒答率随任务、系统提示、模型家族和检索文档数变化，翻译与摘要任务拒答率尤其高。

提出后缀提示防御DPP，在两个模型上显著降低标准及自适应越狱攻击成功率，同时对模型效用影响很小。

针对拟人输出可能引发的过度依赖和情感依赖，结合文献与众包编辑整理干预措施，并提出分类与评估干预的概念框架。

通过直接编辑少量相关参数并加 KL 正则，在保持通用能力的同时抑制越狱，并能适应新的攻击实例。

找出对越狱敏感的注意力头，推理时重新分配注意力以突出用户核心意图，无需微调，对不同攻击和模型泛化良好，并兼顾过度防御。

提出 DIESEL，在生成时按与预设负面概念的语义相似度重排候选 token，无需微调即可过滤有害内容，并在对抗越狱场景中有效。

在编码器与分类器之间加入扩散去噪层，结合对抗训练、迭代去噪和集成，在常见黑盒与白盒文本攻击下取得领先防御表现。

为识别合成文本滥用，提出几何覆盖检测与自适应在线定位方法，在三种水印技术上更准确地检测并定位混合文本中的水印片段。

提出结合蛋白质安全知识图谱与强化学习的 KPO，在保持较高功能性的同时，降低模型生成有害蛋白质序列的概率。

将藏头、感觉运动规范与红绿水印组合，检测率达到98%，改写攻击后仍为95%，高于单独红绿水印的49%。

发现全局梯度上升会同时损伤自然知识导致效用崩塌，提出 FTTP 仅对目标概念知识做梯度上升，无需保留集，遗忘与效用权衡更优。

提出 MEOW，用离线 LLM 生成的反事实标签微调实现遗忘，无需辅助模型或保留数据，在 ToFU 上遗忘效果更好且更能抵御攻击。

结合基于 logits 与采样的水印方案，利用词元熵和语义熵自适应嵌入水印，在可检测性、鲁棒性、文本质量和安全性的综合表现上优于基线。

发现视觉语言模型处理不安全提示时存在特定激活模式，据此提出无需微调的 HiddenDetect，越狱检测效果优于现有先进方法。

发现剪枝会损害视觉语言模型安全性，提出HSR定位安全关键注意力头并恢复相关神经元，在多种剪枝设置下改善安全表现。

提出拟人语气指标 HumT，发现用户在许多情境中偏好较少拟人的输出，并以 DumT 在保持性能的同时降低拟人语气。

定位安全关键奇异向量并据此初始化LoRA，将训练更新限制在安全相关参数中，实验表明可保持防御效果并减轻通用能力损失。

提出多通道无偏水印MCmark，在保持原始生成分布的同时提升鲁棒性，实验中可检测性较现有最佳无偏水印提高超过10%。

提出同步更新攻击器与检测器的GREATER框架，在十种文本扰动和六类对抗攻击中提升检测防御，并增强攻击生成效率。

提出自动生成含隐性冒犯与流行俚语的配对数据流程，生成数据具有较高配对一致性，并支持通过简单指令微调训练高性能去毒模型。

通过训练放大模型改写人类与机器文本时的编辑距离差异，实现生成文本检测，并在跨域及对抗攻击测试中优于现有检测方法。

通过神经元定位、筛选与冲突更新隔离改进模型合并，在Llama-3-8B-Instruct上将有害响应率降低31.4%，保留95%的效用表现。

结合相似模因检索、双向洞察提取与多智能体辩论，无需标注数据即可检测有害模因，在三个数据集上优于现有零样本方法。

提出多轮安全对齐框架，以思路引导攻击学习、攻防迭代和未来奖励强化学习训练模型，同时提升红队攻击能力与目标模型安全表现。

利用大模型零样本与少样本重排序降低有害内容暴露，并提出两项评测指标，在三个数据集上的实验优于现有专有审核方法。

针对拒答位置偏差，训练模型在生成任意位置从有害内容转向拒答，在两类模型的六种攻击场景中改善安全性且不损害性能。

提出多尺度共形预测检测框架及 RealDet 数据集，在约束机器生成文本检测误报率的同时，提升检测性能与对抗攻击鲁棒性。

提出RepBend，将激活引导融入微调损失以破坏有害行为表征，在多种越狱基准上将攻击成功率最高降低95%，通用能力损失可忽略。

针对嵌入即服务易受模型提取攻击的问题，提出 ESpeW 为每个嵌入注入独特水印，对嵌入影响低于 1%，并能抵御水印移除攻击。

利用模型识别已生成危险内容的能力，逐步修正有害输出并结合推测解码，在保持帮助性与推理速度的同时提升安全性。

在 StrongReject 与 WildJailbreak 上评测 13 个推理模型，发现其安全性不及推理能力；提出 CoT 风格安全训练数据集 SafeChain，微调后提升安全且保持推理性能。

构建含 3,000 图像、28.8K VQA 对的安全遗忘基准，发现现有方法易过度遗忘；提出 Prompt Decouple Loss，使 LLaVA 的 SARR 指标下降 79.5%。

用二分类路由器区分难易样本，仅对难例调用大型安全护栏模型，在多个基准上改善了计算成本与安全性能的权衡。

提出 CKU，定位并保护有用知识相关神经元，在遗忘有害知识时裁剪其梯度，实验显示可在保持总体性能的同时提升安全性。

提出 RATIONAL，训练模型在回答前进行显式安全推理，使其在拒绝有害提示的同时给出符合语境的回答，以应对越狱攻击。

通过大规模实验与人工审核检验随机游走去水印攻击，发现混合缓慢且质量判别不可靠，人工审核后的去除成功率仅为10%。

发现越狱使有害激活越出安全边界，并提出激活边界防御 ABD，平均防御成功率超过98%，通用能力影响低于2%。

在对话模型末层隐状态上训练轻量分类头实现流式有害内容检测，在 XSTest 和 SafeRLHF 上达到 SOTA，速度比 LLM 审核模型快约 300 倍。

通过对比学习均衡传播树各节点对预测的影响，在 Twitter 和微博数据上保持干净数据分类准确率，并增强对模型生成消息注入的抵抗力。

发现反派角色与用户提问的“风险耦合”造成安全-效用权衡，提出 ADMP 方法动态调整偏好并引入 CMS，提升安全指标且保持效用。

提出带批判生成的护栏模型 ThinkGuard，从大模型蒸馏结构化批判，在多个安全基准上平均 F1 最高，相比 LLaMA Guard 3 准确率提升 16.1%。

提出 AIDSAFE，用多智能体迭代协商生成含安全策略的 CoT 数据；据此微调开源 LLM 可提升安全泛化与越狱鲁棒性，同时保持可接受的效用。

发现引入视觉模态造成表示偏移而导致安全对齐退化，提出推理时干预方法 CMRM，将 LLaVA-7B 的不安全率从 61.53% 降至 3.15%。

提出同时衡量欠安全与过度安全的安全校准概念，构建 3,600 对图文数据集评测 11 个 VLM，发现校准改进方法会损害模型效用。

提出STA-1水印，在期望上保持原始词元分布，降低低熵场景的输出质量风险，并实现无需提示或白盒模型、对多种攻击稳健的高效检测。

发现攻击者克隆嵌入服务时可通过改写移除现有水印，提出线性变换水印，并从理论和实验上验证其对改写攻击的鲁棒性。

针对模型能识别越狱却仍生成不安全回答的落差，提出免训练防御SAGE，在所测攻击上平均防御成功率达99%。

为防范舆论操纵，构建大规模韩语评论数据集并提出可解释检测框架，模型生成评论检测与来源归因的F1分别达98.5%和84.3%。

提出 NaVAB 基准，评估 LLM 与中美英法德五国价值观的对齐程度，并展示结合对齐技术可使模型价值观贴近目标国家。

通过模拟建议的长期社会影响增强安全对齐，构建100个间接伤害场景，新数据集表现提升超过20%。

提出模型合并方法MergeAlign，通过插值领域与对齐参数增量提升专家模型安全性，在医学和金融基准上几乎不损失领域性能。

将解码建模为启发式引导搜索，以自定义奖励权衡无害性、帮助性等目标，实验显示可改善对齐，并与 RLHF 和提示方法互补。

利用模型内部安全判断信号重排序偏好数据，缓解离策略训练的分布偏移，提升安全表现并避免约300倍的计算开销。

比较指令微调与基础模型，发现微调提高了模型对用户错误信息的接受程度，并使易感性从助手角色转向用户角色。

提出生成式心理词汇方法及五因素价值体系，相比施瓦茨价值体系，更好地刻画模型价值观，并改善安全预测与对齐效果。

针对弱监督对齐中的过拟合，提出同时改善监督信号与输入问题质量的两阶段框架，在数学基准上显著提高性能差距恢复率。

提出HyPER选择人类与模型偏好标注的组合，在降低人工成本的同时提升奖励模型表现，并发现中等安全风险或复杂度的提示最受益于人工反馈。

从压缩理论与实验揭示对齐后模型经再次微调易回归预训练行为分布，且这种回弹倾向随模型规模和预训练数据量增大而增强。

提出低秩安全子空间融合方法，无需再次微调即可恢复微调模型的安全对齐，并在实验中对下游任务性能影响较小。

构建覆盖23种语言及安全等任务的奖励模型基准，发现英语与非英语表现差距显著，模型偏好也会随语言发生较大变化。

结合四阶段安全推理链与按步骤路由的多LoRA专家，改善模型安全性、越狱抵抗与过度拒答，报告表现可比o1。

提出MPO，通过缩小优势语言与目标语言的奖励差距差异迁移安全能力，在三个模型系列上改善多语言安全对齐且不降低通用效用。

发布区分有用性与无害性的数据集，覆盖19类危害和三级严重程度，并用于训练感知严重程度的审核模型与安全RLHF算法。

提出 PopAlign，在提示、模型和流程层面引入六种无需额外反馈标注的对比策略，实验显示多样化偏好数据能改善对齐效果。

提出γ-PO，通过逐对校准奖励间隔抑制偏好数据噪声，在多个对齐基准上较其他基线平均提升4.4%。

依据法律标准将安全风险分三级，构建含 24,860 道选择题和 1,106 道问答的基准；Claude-3.5-Sonnet 与 GPT-4o 选择题准确率均未超过 80.5%，20 个模型平均 68.8%。

提出SEA，仅用文本数据合成其他模态嵌入进行安全对齐，在图像、视频和音频模型上提升安全性，并提出视频与音频安全评测基准。

提出IRR，识别并移除不安全参数增量、重新校准保留参数，在全量微调和LoRA实验中改善有害查询与越狱安全表现并保持下游性能。

从全面性、精确性与兼容性量化评估价值原则，提出按场景逐级检索原则的 HiVaP 框架，实验显示可提升对齐效果。

提出计算高效的影响函数近似方法，量化人类反馈对奖励模型的作用，并用于检测标注者偏差、指导反馈向专家判断靠拢。

发现个人价值观对齐可能增加模型有害行为，分析价值观与风险的关联及心理学解释，并提出上下文对齐方法改善安全性。

通过无正确选项的选择题评测，发现对齐后模型常服从指令而选择错误答案，暴露对齐优化与反思判断之间的冲突。

在模拟立法场景中发现，模型可用隐蔽措辞掩盖受益企业，重新规划与采样使欺骗率最多增加40个百分点，人工评估支持自动评测结果。

奖励模型易被冗长、列表等表面特征劫持，CARMO 先动态生成与查询相关的评估准则再打分，理论上可缓解 reward hacking，并在 Reward Bench 上提升 2.1%。

发现奖励模型学到的提示模板偏差会引发 reward hacking，使模型偏好特定格式；提出 PBC 校准奖励分数，并可与去长度偏差方法结合。

提出STA，分离并操控解耦的知识成分以增强安全性；实验显示其在对抗场景中的鲁棒性与灵活性，并验证了对推理模型的控制效果。

提出 COSMIC，用余弦相似度自动选择拒答 steering 方向与目标层，无需依赖拒答 token，在对抗场景和弱安全对齐模型中也能识别拒答方向。

为不同毒性类别训练探针向量，生成时动态选择并缩放后从模型中减去；毒性最多降低 78.52%，流畅度几乎不变。

依据输入相关性动态调节前馈层子更新的贡献，以较少可训练参数改善预测，并在情感控制生成和降低有毒输出方面展现效果。

提出MAT-Steer，通过选择性词元干预与稀疏正交引导向量缓解属性冲突，在兼顾真实性、毒性等属性的任务中优于既有方法。

识别与攻击性表达相关的神经元并进行屏蔽和激活实验，发现仅操控少量神经元即可使攻击性最高增加33%，且效果随层位置变化。

通过实验和机制分析发现，多种对齐模型的安全决策过度依赖模板区域，导致越狱脆弱性；降低这种依赖有望改善防御。

构建高噪声模拟训练环境，以置信度方差刻画投毒数据的学习行为，并识别目标标签与投毒样本，攻击成功率平均降幅比次优防御高 21%。

提出CoS，通过检查推理步骤与最终输出的一致性检测后门，适用于仅开放API的模型，实验显示更强模型获益更大。

提出 AGGD 攻击，生成对抗段落注入检索语料库，在 ANCE 上攻击成功率比 HotFlip 高 15–17 个百分点，并可迁移到 RAG 知识投毒。

通过逾1300项实验比较12种后门攻击，发现参数高效微调攻击在分类任务中持续优于免微调方法，并提供统一研究工具箱。

提出基于编辑的生成式后门，仅改少量局部参数和少样本即可高成功率触发，被触发时能在完成下游任务的同时输出预设的危险信息。

提出两阶段微调方法MEraser，在所测模型中用不足千条样本完全移除基于后门的认证指纹，同时保持模型性能。

提出通过恶意上传模型向合并模型传递后门的方法，在多种模型、合并算法及真实模型实验中有效，并能抵抗三种所测防御。

提出 GMTP，利用检索器相似度梯度定位关键 token 并用 MLM 检查掩码概率，可滤除超过 90% 的投毒内容，同时保留相关文档。

提出无需外部触发器的后门范式 BadMLLM，当回答涉及特定物体时隐式插入推广内容，在五个 MLLM 上兼顾攻击效果与模型效用。

仅投毒一两种语言的指令微调数据，即可迁移到未投毒语言，在 26 种语言上平均攻击成功率 99%，且在防御后仍有效，更强的模型更易受影响。

通过编辑文本编码器的瓶颈层，无需训练或数据即可植入木马，平均攻击成功率达91%，注入耗时缩短至25秒。

提出 W2SDefense，用小型干净教师模型通过特征对齐蒸馏引导被投毒大模型遗忘后门，在多种后门攻击下有效且不损害性能。

对比后门模型对干净与投毒输入的解释，发现投毒输入引发多样且逻辑有缺陷的解释，并伴随末层词元与注意力变化。

提出面向大模型的提取算法LoRD，利用受害模型回答引导本地模型偏好学习，在多种商业模型上验证提取效果，并分析查询成本与水印防护削弱。

提出 GRUN，用软门控区分目标数据并通过 ReFT 调整表示来抑制生成，在移除版权和隐私数据的同时显著提升遗忘效果与模型效用。

通过数千次多设置实验重评成员推断，发现多数方法统计上未优于基线，效果受模型规模和领域影响，且阈值选择是被忽视的难题。

提出 PhiMM 攻击：训练伪装成专用能力的钓鱼模型，受害者合并后可提取 PII 与成员信息，平均 PII 泄露增加 3.9%、成员推断泄露增加 17.4%。

提出首个开源多模态遗忘基准，含 200 个虚构人物和 3700 张图像，评测 11 种方法，发现联合遗忘两种模态优于单模态遗忘。

提出 NeuMuter，仅调制约 1% 的 FFN 神经元输出来遗忘指定数据，在四个 LLM 上有效遗忘并保持下游任务性能。

结合通用 LLM 与遗传算法，在差分隐私约束下生成相关且多样的合成文本，在保证隐私的同时显著提升下游任务表现。

基于本地差分隐私，按语义密度动态构建敏感词邻接表并替换，在隐私与效用间取得更好平衡，三个数据集上优于强基线。

提出基于差分隐私的上下文影响指标，区分参数知识与上下文带来的泄露，发现偏离参数知识分布的上下文会产生隐私泄露。

提出利用模型低排名输出词元提取敏感信息的攻击，在智能体应用隐私提取和直接训练数据提取场景中均验证了有效性。

提出几何约束梯度上升方法，删除实体相关视觉模式并保留文本知识，在全部评估维度上优于所比较的遗忘基线。

针对多模态模型记忆并泄露敏感信息的问题，提出按模态识别并剪除相关神经元的方法，在较少影响模型效用的同时实现更均衡的跨模态遗忘。

提出实体级遗忘方法 Opt-Out 与评测集 ELUDe，利用参数间 Wasserstein 距离删除目标实体知识，实验表现优于已有方法。

提出通过梯度迭代优化上下文来提取个人身份信息的 PIG，在四个白盒和两个黑盒模型上优于基线，揭示安全对齐后的隐私泄露风险。

构建涵盖法规、判例、隐私政策和合成数据的情境隐私基准，发现模型虽能识别关键情境参数，隐私合规能力仍有不足。

提出PME，检测并编辑模型记住的个人身份信息，在不影响基础语言模型的同时减少训练数据提取泄露，部分配置下攻击准确率降至零。

提出两步隐私窃取攻击：先让 LLM 回忆并填补被掩码的文本以提取 PII 候选，再用参考模型校准排序；即便训练数据已清洗仍可重建 PII。

从匿名化临床实体出发，用 LLM 补全上下文生成合成语料，仅需少量原始文档；实验显示效用接近原数据，且隐私安全性优于基线。

提出非梯度方法 REVS，修改少量与敏感信息相关的神经元来遗忘邮箱、SSN 等 PII，在抗提取攻击上优于其他方法并保持模型完整性。

提出 SaMIA，仅用 LLM 生成文本的 n-gram 匹配度计算伪似然来判断文本是否在训练集中，无需 likelihood 即可媲美现有方法，可用于闭源模型。

提出 DuoLearn，按 token 特性区分需学习的难 token 与需遗忘的已记忆 token，在训练阶段防御成员推断攻击，同时让语言建模性能提升约 10%。

系统识别GPTs知识文件的五类泄露途径，其中代码解释器引入的权限提升漏洞可使攻击者直接下载原始文件，成功率达95.95%。

发现句法相似查询在实体遗忘中性能损失最大，将其用于正则化可保护这类查询，并维持或改善其他子集表现。

提出首个面向 LLM 黑盒篡改检测的指纹方法，仅用 5 个指纹样本即可以超过 99.2% 的检出率发现微调、压缩与后门注入。

提出 SHIP 攻击：供应方植入需按精确顺序出现才激活的排列触发器，绕过部署方系统提示，在八个模型上 ASR 最高达 100% 且能抵御六种防御。

提出 UNCD 框架及 UNCD-Cyber 基准，细粒度评估危险能力的移除情况，并用 UNCD-Agent 针对残留知识生成遗忘数据以提升遗忘效果。

构建覆盖七类前沿风险的14,888道选择题，发现多数受测中文模型的加权风险倾向超过40%；测量对象是回答中的倾向而非实际行为。

构建三阶段评测框架，对 12 个 LLM 做 14,400 次 Agent 模拟，发现其会自发出现灾难性行为与欺骗，且推理能力越强风险往往越高。

利用漏洞描述监督代码表征的对比学习，在漏洞检测和分类任务上分别取得72.82%和80.34%的F1，优于现有方法。

构建含3520条越狱提示的 MalwareBench，发现主流模型对恶意代码请求的平均拒绝率为60.93%，结合越狱后降至39.92%。

提出 SDD，使模型对有害提示生成高质量但无关的回复，恶意微调时通用能力显著退化，从而抑制有害指令执行，实验验证其有效性。

通过多智能体协作迭代补充高难度梗图，自适应评估多模态模型对有害性的理解，揭示不同模型的细粒度推理弱点。

提出以大模型为世界模型的蒙特卡洛树搜索框架，在保持计算效率的同时提高红队攻击成功率。

让同一模型的两个实例持相反观点说服中立实例，跨模型与语言评估偏见的持续性，以及强化错误信息或转向有害观点的倾向。

构建涵盖29类场景、1500组图文输入的安全意识基准，发现九款模型同时存在漏判危险内容与过度敏感问题，三类改进方法均未达满意水平。

提出混合多种语言的 CSRT 红队框架，在十个模型上比标准英语攻击多实现46.7%的成功攻击，揭示多语言安全对齐的薄弱点。

提出CogSafe，通过场景模拟、策略决策与认知过程动态生成多轮对话，实验验证其安全评测的有效性与可扩展性。

提出 DESGD，用小型不安全模型的 evil score 在解码时调整目标模型 logits，在 Llama-3.2-3B 上 ASR 达 92.83%，高于对抗微调的 83.48%。

测试六个主流检索器，多数对超 50% 的恶意查询能选出有害段落，指令跟随能力可被利用，且有害段落会让安全对齐的 LLM 满足恶意请求。

分析用户将ChatGPT用于孤独陪伴的对话，发现其未能妥善回应自杀意念与创伤，相关对话中的有毒内容发生率也高出35%。

构建含1543个案例的长上下文安全基准，评测16个模型发现多数安全率低于55%，且短上下文安全表现不保证长上下文安全。

提出双重隐式毒性与含 317,638 个问题的基准，评测 13 个 LMM，发现它们难以处理此类毒性，困难级别下表现显著下降。

构建哈萨克语与俄语的 LLM 安全评测数据集，实验显示多语言与专用模型的安全表现差异明显，强调需要区域化的安全数据。

评测11款安全评审模型，发现道歉等表面措辞可显著扭曲安全判断；多模型联合评审虽有改善，仍无法消除这类敏感性。

从词汇、恶意意图与越狱策略三维合成安全训练数据，微调后较最佳基线的平均危害评分降低14.29%，攻击成功率降低20%。

发现现有基准的文本会泄露图像风险线索，构建2200对无此泄漏的图文样本，并发现消除泄漏后多模态对齐优于纯文本对齐。