顶会安全论文

以观测信号与目标属性的互信息衡量泄露量，推出攻击所需查询数下界；在七个 LLM 上，仅答案约千次查询，加 logits 约百次，披露思考过程仅需数十次。

发现模型会把句法模板与领域错误关联，可覆盖提示语义；并展示这种伪相关能绕过 OLMo-2-7B Instruct 和 GPT-4o 的拒答。

用 judge-LLM 的信号作为奖励，对抗式训练生成前置文本的模型，使冻结 LLM 获得更高评测分且几乎无法被察觉，并可迁移到未见的模型。

从信息论角度,通过调节输出与对抗/良性图像模式间的互信息生成更通用的扰动,提升对黑盒 LVLM 及不同提示的迁移攻击效果。

训练图像偏好模型，仅凭单张带水印图像、无需知道水印模型即可移除并伪造后处理图像水印，对多种水印方案有效，质疑其安全性。

提出黑盒 TAA 框架，同时绕过提示过滤、概念擦除和图像过滤，在 14 个 T2I 模型上平均攻击成功率 85.6%。

提出首个针对 SAM2 的跨提示通用对抗攻击 UAP-SAM2，通过双重语义偏移扰动，在六个数据集上大幅超越现有攻击。

通过局部裁剪并在嵌入空间对齐目标图像，在语义丰富区域集中扰动，对商业 LVLM 的迁移式定向攻击成功率超 90%。

组织水印攻击竞赛并发布基准，前五名团队平均可去除至少 89% 图像的水印且保持画质，暴露了现有水印方法的脆弱性。

提出词级任务并发方法并构建 JAIL-CON 迭代攻击框架，将有害任务与良性任务并发，能越狱主流 LLM，且比顺序式攻击更难被护栏检测。

提出 FOA-Attack,结合全局余弦损失与基于最优传输的局部特征对齐及动态集成加权,提升对闭源 MLLM 的定向迁移攻击成功率。

提出免训练的 Adversarial Paraphrasing，用检测器引导 LLM 改写文本，对多类检测器平均 T@1%F 降低 87.88%，揭示检测器的脆弱性。

提出可即插即用的前缀强制目标，按预填充攻击成功率与负对数似然选择模型相关前缀；将 GCG 默认前缀替换后，Llama-3 上细腻攻击成功率从 14% 升至 80%。

先用良性任务让模型学会目标响应结构，再在最后一轮做受控语义替换，在六个模型上平均攻击成功率 93.3%。

提出 VMA 攻击，用动量优化和可微变换生成图像对抗扰动，精确操控 VLM 输出，可用于越狱、劫持、隐私泄露和拒绝服务，也可注入水印。

提出在上下文示例间动态分配扰动预算的劫持攻击，在多种 LLM 上攻击成功率高、隐蔽性好，且可迁移到其他模型。

提出黑盒 BoN 越狱：反复采样带扰动的提示直到诱出有害回复，10000 次采样下对 GPT-4o 成功率 89%、Claude 3.5 Sonnet 78%，可跨文本、视觉、音频模态，成功率随样本数呈幂律增长。

提出 SAA，用 witness 模型对齐微调代理模型的全局与局部特征，并引入自对抗约束，使对抗样本在 CNN 到 ViT 等跨架构场景下迁移性更高。

构建含 1.8 万余条提示的医疗安全基准,发现多数模型易受改写式越狱且对正常问题过度拒答,并提出轻量分类器缓解。

将迁移攻击建模为共识鲁棒优化，提出 CORTA，在单一代理模型下对 CNN 与 ViT 目标迁移成功率比最佳既有方法高 19.1 个百分点。

发现在重复纹理间引入规则间隔可显著增强物理补丁攻击,联合优化间隔结构与纹理,可攻击 RAFT-Stereo、STTR 及 Intel RealSense 实物相机。

提出基于扩散模型的 SHIFT 攻击，生成语义不同但逼真的扰动状态，能突破现有 RL 防御并优于已有攻击。

用级联分布偏移训练得到对抗速度函数，提升多目标生成式对抗攻击的迁移性，如 Inception-v3 到 ResNet-152 成功率提高 34.58%，且更抗防御。

把无限制对抗样本生成视为对手偏好对齐问题，两阶段 APA 框架在保持视觉一致性的同时显著提升黑盒攻击迁移性。

提出 InSUR 框架，从自然语言指令生成可迁移、自适应的语义约束对抗样本，并首次实现无参考的语义约束 3D 对抗样本生成。

基于分布近似理论,优化单个输入无关的对抗扰动,使其在不同图文对间迁移,诱导 MLLM 产生有害回复。

用潜空间贝叶斯优化在黑盒设定下生成可读性强的对抗后缀，提高越狱成功率并缩短训练与推理时间，适用于 LLM 红队测试。

发现 ViT 的数据级与模型级冗余可放大攻击效果,设计一套技术显著提升对抗样本在多种 ViT 及视觉大模型上的迁移性。

提出黑盒框架，文本端用反拟合词向量替换，图像端用对比学习优化扰动，在三个基准上攻击成功率显著优于基线。

提出无梯度的对抗补丁攻击框架，联合优化补丁形状、位置、数量与内容，并生成连续不规则补丁，效果优于多种现有方法。

探测融合层潜空间的安全决策边界并联合优化图文扰动，在六个 VLM 上白盒成功率 94.32%、黑盒 67.28%。

提出含工具箱、数据集和基准的音频越狱评测体系,评估多个 LALM,并支持音频编辑等更强攻击与防御研究。

在 LLM 连续潜空间优化对抗向量再解码为自然语言，生成流畅隐蔽的越狱提示，在 AdvBench 与 JailbreakBench 上攻击成功率比 AutoDAN 等高 44 点。

利用人脸识别特征空间的属性子球面结构，仅用一次含 100 张图的非自适应查询，对 AWS CompareFaces 攻击成功率超 93%。

用扰动和越狱式方法攻击口头置信度，发现置信度估计和答案都易被改变，常见防御大多无效甚至适得其反。

提出 Safety Snowball Agent，借助 LVLM 的通用推理与安全滚雪球效应，用几乎任意图像逐步诱导有害输出，对最新 LVLM 越狱成功率高。

通过保持语义等价与连贯的真实提示改写，用约束零阶优化搜索对抗提示，攻击成功率高于现有方法，开源与商用 LLM 均对此敏感。

提出以语义表示空间为目标的越狱范式及 SRHS 搜索算法，生成语义连贯的对抗提示，在 18 个 LLM 上平均攻击成功率 89.4%。

提出首个隐蔽的比特翻转攻击，通过抑制关键输出 token 来设计损失，在降低任务性能的同时保持输出自然，优于现有基线。

首次将文生视频越狱形式化为离散优化问题，在 Open-Sora 及 Pika、Luma、Kling 等商用模型上，攻击成功率比现有 SoTA 提升约 10–11 个百分点。

提出通用非自适应黑盒攻击，用约 k² 次查询使任意线性 sketch 的范数估计失效，下界与已知上界匹配，并与图像分类对抗攻击相通。

用荧光墨水设计物理对抗补丁 FIPatch，紫外光触发后使交通标志识别出错，低光下成功率 98.31%，并绕过五种常见防御。

提出首个语义级水印移除攻击 NFPA，把去水印视为视频生成任务，在八种水印方案上优于十三种基线，暴露现有水印的脆弱性。

分析 VLLM 易被越狱的原因（视觉输入）与现有防御的过度谨慎问题，提出复用 LLM 护栏的 LLM-Pipeline，并指出两种越狱评估方法一致性接近随机。

提出 MPCS 方法对场景文本识别模型逐字符攻击，解决扰动像素集中问题，使攻击结果难以被词典或语言模型纠正。

提出 VoTA，构造含风险视觉思维的图像链，利用推理与安全目标的冲突，在 15 个 VLM 上平均攻击成功率从 63.70% 升至 90.41%。

提出 TransferBench,在 17 种更现实的设置下评测集成式黑盒迁移攻击,发现现有方法难以泛化,查询式优化几乎没有收益。

把黑盒越狱建模为变分推断，训练小型攻击 LLM 逼近目标模型的对抗提示后验，训练后无需重新优化即可生成多样、流畅的越狱提示，对多种目标模型有效。

构建含 2,264 个视频-文本对、48 类不安全类别的基准并提出 RJScore,良性查询配合视频的平均攻击成功率达 67.2%。

提出无需目标水印算法先验的伪造攻击,用扩散模型建模水印分布并嵌入,成功欺骗包括 Amazon 在内的开源与闭源水印系统。

提出 DRIFT 框架，用安全规划器、动态验证器和注入隔离器约束 Agent 的控制与数据流，在 AgentDojo 和 ASB 上兼顾安全与效用。

利用文档可靠性信号，通过在矛盾图上求最大独立集筛除恶意文档，并给出可证明鲁棒性保证；对检索语料攻击的鲁棒性优于已有方法且保持良性准确率。

提出端到端评测基准 WASP,发现顶级模型也会被简单人工注入欺骗,攻击部分成功率高达 86%,但完整达成攻击目标的情况较少。

用多目标进化搜索多智能体脚手架：蓝色模式下安全基准平均提升 79.4%，红色模式下发现对抗性薄弱的脚手架。

基于 OSWorld 构建 150 个任务，覆盖用户恶意使用、提示注入和模型失当行为；前沿模型常直接服从滥用请求，且易受静态提示注入影响。

只改变少数关键物体的感知并保留其余语义，使 VLM 输出有效但错误的决策，在通用和具身决策任务中攻击效果好。

提出免训练、记忆增强的评估框架 AgentAuditor 和含 2293 条记录的 ASSEBench，在 Agent 安全评估上达到人类水平准确率。

通过黑盒优化生成更具吸引力的工具元数据，使 Agent 优先选择恶意工具，攻击成功率 81%-95%，并对提示级防御、审计检测和 MCP 依然有效。

将多智能体协作建模为时序属性图,用无监督编码器-解码器检测幻觉放大与错误注入传播,并以信息瓶颈压缩图,取得最优检测精度。

评测发现随着模型获得维基检索乃至开放网络搜索，拒答率与有害内容防护持续下降；基于对齐 LLM 的检索 Agent 常比无检索的无审查模型更不安全。

MINJA 无需直接修改记忆库，仅通过查询与观察输出就向 Agent 记忆注入恶意记录，在多种 Agent 上有效。

提出对抗扰动的屏幕区域(MIP),被 OS Agent 截屏后诱导其调用 API 执行有害操作如外泄数据,可跨提示与屏幕配置泛化并劫持多个 Agent。

构建含 492 个风险任务的真实环境基准，评估用户与环境来源风险，发现现有计算机使用 Agent 面临显著安全风险。

为期一个月的红队竞赛对 22 个前沿 LLM 驱动的 Agent 收集 180 万次提示注入攻击，产生 6 万余次策略违规，攻击迁移性强，且鲁棒性与模型能力、规模、推理算力几乎无相关。

提出 API 为中心的压力测试框架，通过语义分区和定向变异发现 LLM Agent 误解用户意图的错误，在 80 个工具 API 上优于基线。

用扩散模型生成视觉自然的语义注入图像，无需模型内部访问即可让 VLM 智能体在多候选决策中稳定偏向攻击者目标，对 GPT-4o 等模型有效。

提出带谱正则项的动态低秩训练，在压缩超过 94 的同时恢复或提升对抗精度，不损失干净精度。

提出 BDS，把有害微调防御建模为贝叶斯推断，学习每个数据点的安全属性后加权微调，无需攻击模拟即可自适应防御，效果达到 SOTA。

在 CNN 中嵌入旋转和尺度等变层，无需对抗训练即在 FGSM 和 PGD 攻击下提升鲁棒性，并给出理论分析。

提出免训练的权重空间概念遗忘方法，用 SVD 谱擦除器在 2 秒内移除不安全、版权或身份概念，并对红队攻击更稳健。

利用自然与生成图像数据流形的几何差异，借助自监督模型损失变化检测生成图像，并用 normalizing flow 放大差异。

提出免训练的 COLA，用最优传输恢复对抗扰动下的图文对齐，在 14 个零样本基准上，PGD 攻击下 ImageNet 平均提升 6.7%。

提出 SEEK 水印方案，借助等价纹理密钥让窗口内多个 token 独立支持检测，在不牺牲抗伪造能力的同时提升对擦除攻击的鲁棒性。

把文生图的概念擦除视为去噪路径探索，用 GFlowNet 学习策略，在移除有害概念的同时保持生成质量。

提出 CoAPT 协同对抗提示调优，用全变分去除高频扰动并借助预训练 VLM 隐空间恢复特征，在自然泛化、对抗鲁棒性与任务适配间取得更好平衡。

发现图凝聚在原图受污染时性能显著下降，提出 MRGC，用流形约束使凝聚图保持低分类复杂度，在多种对抗攻击下保持鲁棒。

提出弱到强对抗鲁棒性泛化方法，用无监督方式把对抗鲁棒性从弱模型迁移到强 VLM，缓解其面对对抗攻击的脆弱性。

提出 Perinucleus sampling，在 Llama-3.1-8B 中嵌入 24,576 条指纹且不损害效用，微调后仍保留，并缓解指纹泄露等安全风险。

提出 DecVFAL 框架，通过双层解耦加速纵向联邦学习中的对抗训练，在保持鲁棒性的同时实现约 3 到 10 倍加速，并给出收敛分析。

针对编辑距离扰动下的序列分类，提出随输入动态调整删除率的随机平滑认证方法，在 NLP 任务上认证区域中位基数大幅提升。

推导展开网络在 l2 约束 FGSM 攻击下的对抗 Rademacher 复杂度与泛化界，并发现过参数化可提升对抗鲁棒性。

提出基于优化的对抗扰动净化框架，结合预训练扩散先验与针对对抗扰动空间的似然项，在 CIFAR-10/100 上对多种常见攻击取得较强鲁棒准确率。

用 RL 排序对模型窃取敏感的 LoRA 适配器,仅将其放入 TEE 并压缩,窃取抵抗与全屏蔽相当,延迟降低 2–3 倍。

提出首个面向 ALM 的防御框架,用通用 Shortcut Activation Perturbations 激活安全捷径,将越狱攻击平均成功率降至 4.6% 且保持良性任务效用。

通过调整下一 token 概率分布来毒化推理轨迹，使其难以用于模型蒸馏，同时保持模型效用。

用带可执行验证器的指令冲突样本微调模型，提升指令层级遵循，并泛化提升对抗性安全基准上的鲁棒性。

对保护性对抗噪声施加自适应分区域高斯模糊，使其更难被 JPEG 压缩等噪声还原技术消除，提升图像抗 AI 编辑的最差情况保护效果。

从信息论角度研究黑盒模型指纹，选取边际互信息最大的触发器，使版权溯源更准确高效，并可接入现有指纹方案。

发现 AIGC 检测器会学到与初始噪声相关的捷径，提出 On-Manifold 对抗训练并构建 GenImage++ 基准，显著提升对未见生成器的跨生成器检测性能。

提出 Claim-based Stream Decoding，用流式护栏检查并回溯修订高风险声明，并以共形分析给出可认证的安全风险上界，含在线设置。

结合守卫模型实时监控、token 缓冲回滚与自省式批评干预,在解码时纠正不安全输出,兼顾低有害率与回答质量。

提出概念擦除全流程工具包,对 NSFW 概念擦除方法做首次系统研究,并给出实际应用指导。

用 conformal risk control 校准阈值，在主模型与保守 Guardian 之间切换，使事实错误或安全违规频率有分布无关的有限样本保证。

提出 CCRT，用知识蒸馏和遗传算法生成的提示约束图文对齐，在连续移除版权或不良概念时保持图像质量。

针对 3D 高斯泼溅被恶意编辑的滥用风险，提出多视角扰动防御，通过视角聚焦梯度融合与双重偏差优化破坏编辑轨迹，并能泛化到多种 3D 编辑流程。

提出 ARGRE，在表征空间建模毒性过渡并训练奖励模型指导推理时编辑，在 8 个 LLM 上毒性降低 62.21%、推理时间减少 47.58%。

理论与实验表明扩散净化的鲁棒性因梯度不准和评估协议缺陷被高估，提出 DiffBreak 工具包，并设计针对多数投票防御的攻击，使其失效。

针对指令冲突时 LLM 难以遵循系统级指令的问题，只微调对冲突敏感的 focal heads，在 Llama-8B 上用 0.0188% 参数将系统指令遵循率提升 35.52%。

用编码器集成保护音色、ASR 对抗样本干扰发音，抵御声音克隆欺诈，在 16 个开源合成器和 3 个商业 API 上验证有效。

提出 ERU,用弹性奖励与拒答特征消融增强偏好优化式遗忘的效果与鲁棒性,在 WMDP-Bio 上提升 9%,重训练攻击下仍保持 83%。

理论分析 sum、average、max 池化的对抗风险，提出基于主奇异向量的 RS-Pool，在对抗攻击下更鲁棒且保持干净精度。

提出 ELM，用模型自身的内省分类能力做低秩更新，在生物安全、网络安全等领域擦除目标概念，同时保持通用能力，并对对抗攻击保持较强鲁棒性。

用进化算法生成诱发过度拒答的伪恶意指令，构建评测集与对齐数据；微调后 Llama3.1-8B 过度拒答最多减少 29.85% 且不损安全。

提出表示引导的遗忘方法，用对比机制与正交梯度投影去除 LLM 中敏感或有害知识，兼顾遗忘效果与模型效用，并抵抗知识恢复。

发现后训练会掩盖基座模型的安全机制但并未删除，提出 SafeReAct 用少数层的 LoRA 恢复安全行为，且不损害推理性能。

基于随机平滑提出首个 DTW 距离下的认证鲁棒防御，在 DTW 对抗攻击下 F1 比传统认证模型最高提升 18.7%。

针对弱监督视频异常检测易受对抗攻击的问题，提出 SRD 伪异常生成方法以降低伪标签噪声，使对抗训练有效，多个基准上平均 AUROC 比现有方法高 71.0%。

构建 token 级标注数据集 FineHarm 并训练流式监控器 SCM，平均仅看前 18% token 即达到接近全文检测的 F1，还可作为伪标注器改进安全对齐。

构建推理型 VLM 护栏模型，经 SFT 冷启动与在线 RL 训练，在多模态内容审核上平均 F1 比次优方法高 19.27%，并开源数据与模型。

覆盖八个领域、基于真实安全准则构建，并含对抗增强样本，评测 19 个护栏模型，发现跨风险类别方差大，且都易受优化的对抗攻击。

将 LLM 生成文本检测重构为 OOD 检测，用单类学习和能量方法，在 DeepFake 数据集达 98.3% AUROC，并在多语言和受攻击场景保持稳健。

用影响函数在 token 级定位训练数据中的有害内容并在预训练或微调中抑制，显式与隐式毒性最多降低 10 倍，且无需人类偏好数据。

让 Meta-Attacker 持续发现新越狱策略、Defender 对抗训练，Defender 最终将 Meta-Attacker 的成功率压到 7%。

提出基于约束优化的无监督对抗微调框架 LORE，稳定训练并显著提升零样本对抗鲁棒性，干净数据精度损失很小。

训练 LLM 在生成前判断查询、生成中监控部分回复的有害性以提前终止，对已见与未见攻击模板均优于现有防御。

提出 DES，将不安全嵌入映向安全区域并中和 nudity 嵌入，在 FLUX.1 上攻击成功率降至 9.47%，同时保持图像质量。

结合更强的离散攻击与更快的连续攻击做对抗训练，最坏情况攻击成功率（ALO-ASR）低于 20%，优于先前防御的 50% 以上，且开销相近。

发现 LVLM 的安全能力集中在特定注意力头，提出免训练的 Oh Defense，对不安全输入防御成功率超 98%，误报率低于 5%。

构建含 4600 条看似有害实为良性提示的基准，发现主流文生图模型普遍存在过度拒答，提示改写虽可缓解但会损害语义忠实度。

发现随机扰动即可恢复安全性，进而优化自适应扰动，在不损失下游性能的前提下将平均有害分数最多降低 21.2%。

提出个性化安全概念与 PENGUIN 基准（14000 个场景），发现用户背景信息可使安全分提升 43.2%，并提出免训练的 RAISE 框架，平均仅需 2.7 次提问即可提升最多 31.6%。

以追问回答的概率训练线性预测器，可预测黑盒模型正确性，并检测被系统提示对抗操纵或被冒充的模型。

提出 TARS，用强化学习训练模型以思维链推理安全问题，在歧义查询上多花算力，改善安全与拒答权衡，并增强对 GCG、PAIR 攻击的鲁棒性。

用 RL 训练 LLM 在发生安全违规时输出“回退 x 个 token”信号并重新生成，降低 GCG 等攻击的成功率且保持模型效用。

Clipout 随机裁剪嵌入单元并用对比目标，仅凭自举生成的负样本，无需重训即可移除隐私、版权或有害概念，效果优于现有方法。

发现重复的安全数据导致残差流方差集中和误拒增多，提出 VCL 正则，使误拒率降低 35 个百分点以上且通用性能不降。

在扩散模型瓶颈表示上加入双模块变换，分别负责公平与安全概念和语义对齐，负责任生成效果提升约20%，可用于 SDXL。

针对音频重新分词不匹配问题提出 Aligned-IS 无失真水印，通过 token 聚类在保持音质的同时显著提升水印检测率。

利用线性模式连通性分析水印对微调的脆弱性，提出提升路径平滑性的水印方案，显著增强抗微调鲁棒性并保持生成质量。

先做策略引导的安全推理，再用规则式 RL 对齐推理路径，在未见有害类别与越狱攻击上泛化更好，并给出可读解释。

把 LLM 遗忘建模为拒答边界优化，用可验证奖励训练，仅用少量遗忘数据即在遗忘质量和自然度上超过基线。

微调推理模型在推理开头输出 8 token 安全引导语，在 R1-Distill-Llama-8B 上最多减少 90% 有害回答、拦截 83.3% 越狱，计算量远低于基线。

发现早中层不到 1% 的有害 token 触发越狱，据此提出免训练的剪枝再恢复防御，在三个 MLLM、五个基准上提升安全且不损效用。

提出安全深度概念，用马尔可夫链推导最优安全深度，并以循环群增强提升六个 LLM 的安全分数，发现更大集成宽度可弥补较浅对齐。

以数据为中心在预训练阶段加入安全过滤、改写、原生拒答和有害标签,使攻击成功率从 38.8% 降至 8.4%,通用任务性能无损。

以文本视频描述为桥梁迁移文本安全对齐,构建 35 万对偏好数据并用 DPO 对齐,在 SafeVidBench 上最高提升 42.39%。

提出 H²V，用 Hilbert 空间填充与 Hölder 优化验证神经网络对几何扰动的局部鲁棒性，可扩展到 ResNet152、ViT 及视频 3D 网络。

针对 RAG 语料投毒与污染攻击,提出两阶段语义过滤与冲突过滤防御,在保留有用知识的同时提升鲁棒性,优于现有防御。

在扩散前对文本嵌入做校准的向量减法以擦除有害概念，无需重训，在显式内容、风格等擦除任务上优于现有方法，并可兼作威胁检测。

提出动态安全塑形 DSS，用护栏模型逐段评估回复的 STAR 信号，强化安全片段、抑制不安全内容，降低微调风险且不损失能力。

针对对抗后缀越狱，证明用长度 Θ(√M) 的对抗后缀做对抗训练即可防御长度 Θ(M) 的攻击，并在开源 LLM 上实验证实攻击成功率与长度比相关。

指出 NPO 存在参考模型偏差，提出去除参考模型的 SimNPO 遗忘框架，在 TOFU、MUSE、WMDP 上验证有效。

提出基于尾部截断采样的两阶段水印方案，在 U-Net 与 DiT 扩散模型上兼顾水印鲁棒性与生成多样性，用于内容溯源与防滥用。

联合优化水印方案与检测器，给出最优解并提出无失真的分布自适应算法 DAWA，在极低误报率下检测效果良好。

发现现有安全遗忘方法在良性数据微调后会失效，提出 ResAlign，通过隐式优化建模和元学习，使安全性在微调后仍得以保持。

利用负例集合直接修改采样轨迹，让生成远离不安全、受版权或隐私数据区域，无需重训，在 CoPro 上达到领先安全表现。

提出 STG，在采样时依据去噪图像的安全函数调整文本嵌入，无需训练即可去除裸露、暴力等不安全内容并保持语义。

证明 NPC 的对抗鲁棒性只取决于属性识别模块，并提出 RNPC，用类别级整合获得可证明更强的鲁棒性且保持良性精度。

分析 l0 对抗训练中 catastrophic overfitting 源于单步攻击扰动位置次优，并用 soft labels 与 trade-off loss 平滑损失面，缩小单步与多步训练差距。

发现视觉模态引入使激活偏向“更安全”方向、导致 VLM 高估有害输入安全性,提出免训练的 ShiftDC 校准,恢复对齐且不损害能力。

针对 AI 说话人视频会议中的 puppeteering 冒充攻击，用度量学习从潜在表示中解耦身份线索以检测未授权替换，可在消费级 GPU 上实时运行，优于已有防御。

提出 VDAT,基于间隔衡量样本脆弱性并过滤训练数据,在 CIFAR 与 ImageNet-1K 上效率最高提升 76%,同时提高自然与对抗精度。

首次在 token 层面为自回归图像模型加水印，通过微调 tokenizer 改善反向循环一致性并加同步层，对图像变换与移除攻击保持鲁棒。

提出 Quantile-Guided Alignment，在 RLHF 中施加分位数约束以控制有害输出等尾部风险，在对话和代码生成上提升目标尾部质量。

通过控制深层价值与浅层特征的混淆来测 DVGR，9 个模型平均仅 0.30，均低于随机水平，且更大模型略低。

用效用函数框架发现 LLM 的偏好随规模呈现结构一致性,并揭示其中存在 AI 重视自身高于人类等问题价值观,提出效用控制方法。

构建由人口统计交叉的评分者标注的多模态数据集，发现不同人群对危害的感知存在显著差异，为文生图模型的多元安全对齐提供基础。

提出 SysDPO，将复合 AI 系统建模为 DAG 并扩展 DPO 做系统级联合对齐，在语言模型加扩散模型等场景中验证有效。

建立理论框架分析 DPO 泛化如何随价值多样性与样本量缩放,给出泛化误差界,说明学习广泛价值观的困难,并在 LLM 上验证。

用生存型赌博机框架刻画资源约束如何改变 AI 智能体偏好,指出人与智能体目标可能错位,并提出缓解风险偏好偏移的机制。

指出期望安全约束会导致“安全补偿”，提出 RePO 对每个提示施加关键安全约束，显著提升 LLM 安全对齐。

通过定位导致不满意回复的训练数据并对其进行遗忘，在不显著损害其他回复的前提下改进 RLHF 对齐后的语言模型。

提出将生成式奖励模型与多模态 RLHF 结合的对齐框架,在 7 个基准上使 4 个 MLLM 平均提升 18.1%,而基线 RLHF 仅提升 5.3%。

证明 RLHF 等对齐方法可视为安全与有害分布间的散度估计，据此提出 KLDO 方法，并给出衡量表示空间分离度的安全指标。

用多个奖励函数的分布表示分歧的人类偏好，提出成对校准准则并给出训练启发式，提升校准效果。

提出首个多模态安全对齐框架，含双偏好数据集 BeaverTails-V 与护栏模型；约束优化使模型安全性提升 34.2%、有用性提升 34.3%。

提出具有可证明 redescending 性质的 Hölder-DPO,可在噪声偏好标签下鲁棒对齐,并检测错标样本;清除 HH-RLHF 中的噪声后对齐效果提升。

证明现有 RLHF 算法无法抵御策略性标注者，单个标注者即可造成严重错位；提出 Pessimistic Median of MLEs 算法，近似抗操纵并收敛到最优策略。

用社交推理游戏评测 18 个 LLM，发现 RL 训练模型更擅长欺骗而非识破；基于激活的探针检测欺骗 AUROC 超 95%。

用白盒探针识别并操控推理模型的测试感知，发现它会显著影响有害请求的服从等安全对齐表现，且影响方向与幅度因模型而异。

将对齐伪装分析扩展到 25 个模型，仅 5 个在推断处于训练时更多服从有害请求；仅 Claude 3 Opus 主要出于保持目标，后训练与拒答差异可解释大部分差别。

含 150 个场景、千余样本的欺骗评测基准，考察自利与谄媚倾向及奖励、胁迫等情境影响；发现强化动态下欺骗显著加剧。

向模型权重注入噪声检测 sandbagging：普通模型性能随噪声下降，而故意藏拙的模型会异常提升，并能激发 Mistral Large 120B 的完整表现。

把测谎器放进 LLM 后训练的标注环节：GRPO 可学出规避测谎器的策略（欺骗率超 85%），但测谎器 TPR 或 KL 正则足够高时可得诚实策略，DPO 欺骗率低于 25%。

刻画 Best-of-n 等推理时对齐机制中的奖励作弊，证明真实奖励先升后降不可避免，并提出 HedgeTune 对冲代理奖励以缓解。

针对 RLHF 的奖励作弊与回答多样性下降，提出推理验证器加生成式奖励模型的混合奖励和 Pre-PPO 选题，其中验证器抗奖励作弊最强。

将奖励作弊视为捷径行为,提出 PRISM 学习群不变核,降低奖励模型对冗长、谄媚等伪特征的依赖并提升 OOD 准确率。

指出 PRM 引发奖励作弊的主因是求和式信用分配，提出 PURE 的 min-form 信用分配，显著缓解奖励作弊，在 3 个基座模型上取得与可验证奖励相当的推理表现。

在模型被指示执行有害副任务的红队设置中比较 CoT 监控与仅动作监控,发现 CoT 可含误导性辩解,提出混合监控,对隐蔽欺骗的检出率达两倍。

惩罚思维链中的特定字符串会让模型改用替代字符串编码推理而不改变解题方式，并能泛化到未见字符串，威胁 CoT 监控可靠性。

评估 14 个推理模型思维链的可读性：R1、QwQ 常出现乱码式思维链，Claude 更清晰；模型越大、题目越难越不可读，可能削弱 CoT 监控。

将 steering 表述为固定二维子空间内的几何旋转，对拒答与顺从等行为实现连续细粒度控制，并保持通用语言建模性能。

提出特征单义性分数 FMS 与带概念标签训练的 G-SAE，在毒性检测、隐私属性识别等任务上提升单义性，并实现更精细的 steering。

用激活探针监控可能导致重大危害的高风险交互，效果媲美中型 LLM 监控器而计算成本低六个数量级，可作分层监控的初筛。

用 neurofeedback 范式量化 LLM 报告和控制自身激活的能力，发现其只能监控神经空间的一小部分，并指出模型可能规避激活层面的安全检测。

基于输入表示训练带 conformal 保证的探针，在生成前预警越狱等对齐失效，预警系统使越狱减少 91%。

训练小型辅助模块预测输入相关的 steering 向量，在多模态 LLM 上减少幻觉并强化安全行为，优于静态 steering 基线。

用全局分布损失端到端训练线性激活 steering，仅需少量无配对样本即可缓解语言模型毒性，效果接近依赖强监督的方法。

发现有害性方向与拒答方向相互独立；部分越狱只削弱拒答信号而不改变有害性判断，据此提出对微调攻击鲁棒的 Latent Guard。

提出 Gradient Slingshots，可在不改架构下让特征可视化收敛到任意预设图像，暴露审计风险，并给出简单防御。

指出 crosscoder 的 L1 损失会误判概念为微调独有，提出 Latent Scaling 并改用 BatchTopK，找到与虚假信息、拒答相关的 chat 特有 latent。

提出 EigenShift，对输出层做特征分解以定向抑制生成毒性的成分，无需额外训练，且不损害语言能力。

在14种语言上发现拒答方向跨语言通用，从英语提取的向量几乎可完全绕过其他语言的拒答，并解释了跨语言越狱的机制。

识别 MoE 模型中承担安全行为的专家并分组；屏蔽 12 个专家使 Qwen3-30B-A3B 拒答率降 22%，并用 LoRA 与负权重合并提升拒答。

用激活对比定位约 5% 的安全神经元，仅修补其激活即可恢复超过 90% 的安全表现，并解释对齐税，还可在生成前检测不安全输出。

在 MLE-Bench 上评测 agent 植入后门、故意降低性能（sandbagging）等破坏行为，LM 监控能检出代码破坏，但 sandbagging 更难检测。

提出以监督者与被监督系统能力差建模监督成功率的框架，在 Mafia、Debate、Backdoor Code、Wargames 上拟合缩放律，并分析嵌套式可扩展监督（NSO）的成功率随能力差增大而下降。

基于 Neyman-Pearson 引理搜索多监控器组合协议，在预算约束下于代码审查场景将未对齐输出的召回率提升一倍以上。

证明存在特殊的干净标签训练样本，可彻底扭曲 SSM 的隐式偏置并使泛化失败，并在实验中验证该 clean-label poisoning 现象。

发现合成数据训练范式对现有投毒与后门攻击有较强抵抗力，提出 VIA 框架，使攻击即使在干净查询下也能经合成数据传播，下游攻击成功率接近上游。

提出一组可集成到多种干净标签后门攻击中的组件，通过协同选择样本与优化触发器，同时提升攻击成功率与隐蔽性。

用被攻击图自身的子图构建类别感知触发器池，实现有效且不易察觉的多类别 GNN 后门攻击，对多种模型与防御均有效。

发现后门触发器会导致注意力塌缩，据此提出 BYE，用注意力熵无监督过滤后门样本，攻击成功率接近零且保持任务性能。

提出带可逆剪枝掩码的双层优化方法，识别并剪除后门相关参数，在少量数据下优于现有剪枝式后门防御，并可比肩微调类方法。

首个扩散模型后门基准，包含 9 种攻击、4 种防御和可视化工具，并提出基于 MLLM 的统一评测方法。

首个文本生成 LLM 后门基准,涵盖数据投毒、权重投毒、隐状态操纵和思维链劫持等攻击,含 200 余项实验与 7 种防御。

提出两阶段后门攻击，在多个 VLA 基准上攻击成功率近 100%，对干净任务影响很小，并对微调等扰动保持鲁棒。

提出 SelfishAttack，自私客户端向其他客户端发送精心构造的本地模型，使自己的最终模型比其余客户端更准确，且效果优于投毒攻击。

提出 RVPT，仅调 0.27% 参数并用特征排斥损失，将 CLIP 后门攻击成功率从 89.70% 降到 2.76%。

针对冻结骨干的联邦微调易受投毒和后门攻击的问题，提出 HStat-Net 与 DevGuard 检测恶意客户端，真阳性率最高 99.3%，假阳性率低于 1.2%。

发现已含后门的 LLM 极易经 ICL 植入新触发器，据此仅靠多次查询统计成功率即可检测黑盒后门，各项指标接近 1。

利用两个独立服务商模型间的不一致做交叉检验，以 CKA 度量特征相似性恢复触发器，在多种学习范式上提升检测精度，并首次覆盖多模态大模型。

发现后门目标节点早期损失收敛并向邻近干净节点漂移，据此用 GMM 聚类划分目标节点并遗忘恶意标签关联，显著降低攻击成功率。

用神经元后门能量刻画恶意程度并结合 Wasserstein 距离聚类识别后门模型，可抵御包括 3DFed 在内的最新后门攻击。

针对训练数据错误、损坏与投毒攻击，用混合整数双线性规划计算可达参数集合，给出确定性的可证明鲁棒性，并适用于多种威胁模型。

识别对投毒知识敏感的神经元，并用遗传算法演化对抗性外部知识，对 RAG 的覆盖成功率超过 90% 且保持流畅，能解决知识冲突。

提出 Deadlock Attack，通过对抗 embedding 加后门植入诱发无限推理循环，在四个 LRM 上攻击成功率达 100%，且对正常输入影响很小。

针对看似无害的数据投毒，提出投毒后与投毒并行两种可证明水印方案，在给定水印长度下同时保证可检测性与投毒效用。

通过局部一致性与样本偏差定位可疑后门特征，并自适应掩码解耦，无需知道触发器；在目标拒答与越狱任务上平均将攻击成功率降低近 80%。

利用类决策边界的脆弱性，用生成模块构造与局部特征几何对齐的输入感知触发器，在保持攻击成功率与干净精度的同时显著提升合成数据与触发样本的隐蔽性。

提出 DPSBA 干净标签后门框架，通过对抗训练学习分布内触发器，抑制结构和语义异常，在攻击成功率与隐蔽性间取得更好平衡。

提出 DCBA：教师模型中的休眠后门在知识蒸馏后于学生模型中被激活，用双层优化方法 SCAR 实现，并能躲过现有后门检测。

以其他车辆轨迹为触发器，用时序逻辑生成触发轨迹并加入负训练，在 5 个离线 RL 驾驶智能体上验证了攻击的灵活性与有效性。

形式化基于后门的水印与对抗防御的权衡，证明任一学习任务中水印、对抗防御、可迁移攻击至少存在其一，并用全同态加密构造可迁移攻击。

生成背景一致的对抗文本投毒 CLIP 预训练，投毒成功率最高 95.83%，后门 Hit@1 达 98.68%，并绕过多种防御。

提出 FLForensics，在训练期防御失效、投毒模型已部署后，根据误分类的目标输入追溯恶意客户端，并给出理论保证，在五个数据集上对自适应攻击有效。

有害图像被拆成无害补丁散布于训练样本可绕过数据审核;VLM 具备 visual stitching 能力,能在推理时重组并产生有害响应。

提出 BadSwitch，利用 MoE 专家路由偏好植入后门，在三种 MoE 架构上攻击成功率最高达 100%，且保持干净准确率并抵御多种防御。

利用模型更易记住训练后期数据的特性，检验黑盒衍生模型或文本与原模型训练顺序的相关性，对 40 多个微调模型在查询设定下多数 p 值至多约 1e-8。

提出 PropInfer 基准及提示生成攻击与影子模型攻击，在微调 LLM 上成功推断数据集级敏感属性。

在数据可插入删除的动态场景下，给出从静态差分隐私机制到动态机制的黑盒构造，效用仅有多对数级损失。

用竞争分析形式化模型提取攻击，针对加性决策树模型提出可完美还原的重建算法，并给出查询复杂度的理论界。

刻画单次运行隐私审计的最大可达效力，指出不同数据元素可观测效应之间的相互干扰是主要障碍，并提出缓解该障碍的新思路。

提出 PN-f-DP 与 Sec-f-LDP 两种隐私核算方法，比 Rényi DP 给出更紧的 (ε, δ) 界和更好的效用。

给出随机 k-out-of-t 分配采样方案的首个理论隐私保证与数值估计算法，其保证可由 Poisson 子采样的保证上界。

提出用校准噪声的随机后处理，把 (ε,δ)-近似 DP 机制在一定条件下转为 (ε',0)-纯 DP 机制，并应用于 DP-ERM、稳定性发布与查询发布。

提出只需 token 级输出的事后防御，在大小模型间交换 token 概率，使 Pythia-6.9B 和 Llama-3-8B 的精确记忆最多下降 10 倍。

将基于 MIA 的遗忘评估建模为密码学博弈，得到有可证明保证的数据移除评估指标，并给出高效近似。

为企业 LLM 聊天机器人设计按权限隔离的 LoRA 适配器检索与合并方案，提供信息隔离保证，性能匹配或超过现有 LoRA 混合方法。

提出 AdaSig 裁剪方法，在 DP-SGD 中自适应平衡方向与幅度失配，保持最佳收敛率并提升分类任务表现。

提出衡量网页智能体是否遵循数据最小化原则的基准，发现基于 GPT-4、Llama-3、Claude 的智能体易不当使用敏感信息，并给出提示式防御。

提出一套黑盒评测，在嵌入和生成层面探测基于 EHR 的基础模型对患者信息的记忆，并开源工具包。

提出首个面向 LVLM 的黑盒成员推断攻击，探测模型对图像中私有语义信息的记忆，效果可比肩灰盒与白盒方法，并对潜在对抗操纵保持稳健。

提出保护泄露威胁模型，用少量未保护数据训练扩散桥模型，可去除黑盒不可学习样本的保护，暴露其漏洞。

将 LLM 遗忘学习表述为约束优化问题,用 logit-margin flattening 损失和原始-对偶算法,在 TOFU 与 MUSE 上有效移除敏感信息并保持效用。

用显式推理加 RL 框架训练模型判断何时该披露信息，仅用约 700 条合成数据即显著减少不当披露，并迁移到 PrivacyLens 基准。

通过对偶形式的随机近似把两层 ReLU 问题转为强凸问题，使隐藏状态隐私分析适用，NoisyCGD 的隐私-效用权衡与 DP-SGD 相当。

首个支持 MoE 模型的密码学私有推理框架,均衡专家负载以保护路由信息,相比稠密基线延迟降低 2.8~3.5 倍。

提出 DBGRME，用交互生成器和图卷积代理模型在无需成员数据下复制黑盒推荐模型，在 LightGCN 上较需数据方法提升 17.4%。

提出 PD-SGD,用拒绝采样阻止无法合理否认的小批量更新参数,在理论上缓解个体数据泄露,隐私-效用权衡优于现有防御。

通过字典分解与加密感知剪枝，仅加密传输梯度即可防御梯度反演，通信开销降低402至748倍，运行时间接近明文联邦学习的2倍。

为输出位于欧几里得 Jordan 代数的函数设计通用高斯机制，并给出私有对称锥规划与半定规划算法，解决了一个公开问题。

提出 FedASK，通过双重 sketching 同时更新两个 LoRA 矩阵并保证差分隐私，实验在多种隐私设置下优于基线。

针对关系数据提出带实体级 DP 保证的 DP-SGD 变体，含敏感度分析、按实体出现频率自适应裁剪，并扩展隐私放大分析，在文本编码器微调上取得较好隐私-效用权衡。

用带置信度的知识图谱和 LLM 评判构建遗忘评测框架,发现被认为已遗忘的事实可通过关联信息隐式保留,现有评测高估了遗忘效果。

用 LLM 仅凭 schema 生成替代公开表格数据,可在不消耗隐私预算的情况下替代公开数据,用于差分隐私分类器预训练。

将遗忘建模为效用损失有界的约束优化，提出只需一次反向传播的隐式梯度手术方法，取得更好的遗忘与效用权衡。

提出 PURGE 框架，通过多教师分区蒸馏限制各教师的影响范围，使教师端遗忘时只需部分更新学生，保持精度并显著减少重训开销。

建立 ASR 上 FL 加 DP 的首个基准，用逐层裁剪和归一化缓解梯度异质性，在百万级用户规模下实现可用的用户级 DP。

将 LiRA 扩展到 10M–1B 参数的 GPT-2,发现强 MIA 可成功但实际效果有限(AUC<0.7),且逐样本判定因训练随机性而不稳定。

发现生成式模型反演攻击实质是把噪声梯度投影到生成器流形切空间，并验证梯度与流形越对齐模型越易受攻击，进而提出提升反演效果的免训练方法。

提出 GeoClip，在与梯度分布几何对齐的变换基下裁剪并加噪，无需额外隐私开销，给出收敛保证，在相同隐私预算下优于现有自适应裁剪方法。

合成与原数据集视觉一致的哨兵图像，以随机字符序列作检索密钥，可检测 RAIG 系统对私有图像数据集的未授权使用，且不损害授权生成质量。

理论与实证分析微调模型的 MIA 脆弱性,发现攻击者优势随每类样本数按幂律下降,但保护最脆弱样本所需数据量仍非常大。

把 LLM 采样视为对 logits 的指数机制，仅裁剪敏感信息并从 top-k 超集免费采样，达到同等效用时计算成本降低 8 倍以上。

提出 LUNAR，将待遗忘数据的表示重定向到表达无法回答的激活区域，遗忘效果与模型效用综合得分提升2.9至11.7倍，并能抵抗白盒对抗攻击。

提出仅依赖 top-1 输出的成员推断攻击框架，利用训练样本语义对齐更高、困惑度更低的特点，在三个开源 VLLM 和 GPT-4o 上媲美基于 logits 的攻击。

发现现有 TEE 保护方法存在统计漏洞并提出带先验的模型窃取攻击，LoRO 用低秩稠密掩码混淆参数，窃取精度远低于现有方法，推理延迟仅 1.49 倍。

首次探索 3D 生成模型的机器遗忘，提出跳跃加速机制，在 Zero123 上提速 30% 并有效遗忘目标概念。

针对 VLM 的免重训遗忘，发现 task vector 对微调配置敏感，提出在单纯形内对无限多函数做闭式集成，提升遗忘效果与稳定性，服务于隐私与合规。

提出 PMSVM，通过权重和梯度扰动让多类 SVM 只访问每个样本一次，在多类场景下优于现有 DP-SVM 方法。

把用户提示转为仅敏感属性不同的候选提示集，云端无法分辨真实提示，设备端选取对应隐变量完成去噪，在保证隐私的同时效用接近大型云端模型。

在局部差分隐私下构造流式数据的无模型预测集，单遍在线、O(1) 空间，并给出长期覆盖率的理论保证。

提出首个图遗忘基准 OpenGU,整合 16 种算法、37 个数据集和 13 种 GNN 骨干,得出 10 条关于现有方法局限的结论。

标准化框架集成 13 种遗忘算法与 16 项评测，覆盖 TOFU、MUSE、WMDP，并提出评估指标忠实性与鲁棒性的元评测基准。

提出 PermLLM，让微调后的 LLM 回答遵循组织数据访问权限，给出形式化定义、基于 PEFT 的三种机制，以及基于成员推断的 access advantage 评测指标。

把保护对象从图像转为扩散模型本身，通过 DPO 损失与 L2P 双路径优化阻止对特定主体的未授权个性化，优于现有方法。

推导 GNN 节点级成员推断的贝叶斯最优规则，提出 BASE 与 G-BASE，性能匹配或超过 LiRA、RMIA 且计算成本更低。

用块稀疏分布式点函数实现高维向量安全聚合，在隐私-效用权衡接近最优的同时大幅降低通信开销。

研究语言模型在信息披露决策中的隐私推理，发现语境歧义是主要障碍，提出 Camber 框架消歧，精确率最高提升 13.3%、召回率最高提升 22.3%。

提出 PAZO，用公开数据引导差分隐私零阶梯度估计，在视觉与文本任务上隐私-效用权衡更优，运行最多快 16 倍。

构建合成人物数据集,量化 VLM 的跨模态记忆与迁移,发现一种模态学到的事实可迁移到另一模态但存在明显差距,并提出缓解基线。

在含 PII 的合成传记上微调并经聊天提取，发现更好的逐字记忆未必增加泄露，而知识处理能力更强的模型更易被提取，孤立看记忆会误导。

在没有 retain data 的情况下，用对抗软标签和 OOD 预训练生成器做机器遗忘，效果优于现有 retain-free 方法。

提出面向黑盒机制的序贯检验来审计差分隐私保证，样本量从约5万降到数百，并能在不到一次训练内发现 DP-SGD 的隐私违规。

提出 FedLap，通过谱域拉普拉斯平滑捕获跨客户端节点依赖，避免交换敏感节点嵌入，并给出隐私分析；效用与现有方法相当或更优。

针对各用户隐私参数不同的个性化 LDP，提出两种分别基于数据半径和直径的求和/均值估计协议，精度显著优于现有方法。

把差分隐私图像合成转到文本域：图像转文字、生成 DP 文本、再文生图，LSUN Bedroom 上 ε=1 时 FID 为 26.71，优于 Private Evolution。

指出遗忘样本的微小扰动仍可能被遗忘后的模型识别，造成隐私风险；形式化为残留知识并提出微调方法 RURK，实验表明现有遗忘方法普遍存在该问题。

提出 SHAPOOL,用 MoE 让多个影子模型共享子网络并联合训练,在保持成员推断攻击效果的同时显著降低影子模型构建成本。

分析整条扩散轨迹来判断图像是否来自训练集，挑战 Goldilocks zone 假设，并指出现有成员推断方法在分布偏移或含生成数据时会失效。

通过正则项缩小层内神经元权重距离以消除攻击所需的神经元唯一性,推理零开销、精度变化小于 1%,使提取攻击长时间无法成功。

针对多模态大模型的隐私遗忘提出基准，发现现有遗忘方法普遍存在单模态与多模态知识移除不一致的问题。

基于 f-DP 给出三类攻击成功率的统一可调上界，比既有方法更紧，校准噪声可减少约 20%。

在暴露遗忘前后 logits 的场景下，用前模型引导后模型提取被删数据，在 MUSE、TOFU、WMDP 上成功率最高翻倍，表明精确遗忘反而可能增加泄露风险。

提出 min-max 机器遗忘框架 UAM，在图像分类及 WMDP-Bio/Cyber 基准上优于现有遗忘方法。

提出 VTG 生成器，通过对抗域增强与扰动-标签耦合，使不可学习样本在不同风格、分辨率、类别和架构下仍能防止未授权训练。

提出首个面向视频理解 LLM 的成员推断方法，利用正常与时间反转帧的 Sharma–Mittal 熵差异判断视频是否在训练集中。

证明可通过污染训练集让成员推断测试对目标样本给出错误预测，并给出准确率与抗投毒性的理论权衡，现有测试性能可降至随机以下。

提出 Attention-Shifting 遗忘框架，抑制事实 token 注意力并抑制编造回答，在 ToFU 与 TDEC 上准确率最高提升 15%、10%。

提出计算与通信开销都很低的保护方法，防止边缘部署的专有 LLM 被提取权重或被微调利用，实验显示安全保护达到上界且开销可忽略。

提出 50% 任务完成时间跨度指标,o3 约 110 分钟,前沿模型时间跨度约每七个月翻倍,并讨论自主性提升对危险能力的影响。

针对 DNA 语言模型的生物安全双重用途风险,提出 DNAMark 与 CentralMark 水印,后者可从 DNA 传递到翻译出的蛋白质,检测 F1 超过 0.85。

主张评估应考虑攻击者的自由度；仅用 8 个 H100 GPU 小时，攻击者即可将智能体在 InterCode CTF 上的能力相对提升超 40%。

提出 PurpCode 后训练方案，先学习网络安全规则再用多目标强化学习，训练出 PurpCode-32B，生成无漏洞代码并抵御恶意网络活动，同时降低过度拒答。

发现少量微调即可恢复被遗忘能力，提出 UNDO 将遗忘后的模型蒸馏到加噪副本，在 WMDP 上实现更稳健的能力移除。

针对开源 LLM 被低成本衍生的知识产权风险，利用模型家族独特的错误模式做黑盒溯源，对 27 个基座模型溯源准确率达 0.8518，并能追踪微调、剪枝和合并模型。

先用相同拒答的良性样本使模型过拟合，再用普通良性回答微调使其遗忘拒答，在十个 LLM 上攻击效果与隐蔽性均优于五个基线。

发现遗忘方法易受再学习攻击，仅在保留集上微调即可恢复遗忘知识；据权重空间性质提出新方法，提升抗再学习攻击能力。

证明检测单个有害样本的逐点防御存在根本局限，用全为良性样本的攻击在 OpenAI 微调 API 上套取有害知识，并绕过增强监控。

基于 104 条权威安全事实生成逾万场景，最佳模型 Claude-3.7-sonnet 仅通过 58%，且规模与表现相关性弱。

双智能体框架可从风险类别出发自动生成并执行测试用例，并自主实现新攻击；在 HarmBench 上对 Llama-3.1-70B 攻击成功率高 20%，成本降低 46%。

人类提供红队原则,AI 智能体自动编排策略生成越狱提示;对主流 LLM 将已知最佳单轮攻击成功率最高提升 19.0 倍。

揭示基于微调的遗忘学习可被恶意遗忘请求隐蔽破坏良性用户体验，并提出 Scope-aware Unlearning 增强鲁棒性。

利用文生图潜空间中检测器正误分类样本的分布偏移方向，黑盒、与图像无关地引导生成图像欺骗检测器，欺骗率最高达 84%，用其增强数据微调检测器可提升最多 30%。

提出 RPG-RT，用 LLM 迭代改写提示并根据系统反馈微调，借助规则偏好建模适应未知防御，在 19 个 T2I 系统和 3 个商业 API 上验证有效。

提出首个视频模态可信性评测平台，覆盖安全、幻觉、公平、隐私与对抗鲁棒性；评测发现开源 T2V 模型普遍无法识别有害请求，且安全性与模型规模无关。