面向旧款 GPU 的可验证差分隐私训练框架：用 CPU 侧 TEE 校验 GPU 梯度(original, opens in a new tab)

论文提出一种在旧款 GPU 上实现可验证差分隐私（DP）训练的框架，用 CPU 侧 TEE 配合不受信任的 GPU 完成校验。

Scalable trust discovery architecture for the agent internet(original, opens in a new tab)

Proposes the ATI trust discovery architecture, supporting agent registration, capability discovery, and identity verification.

ClashBench: Researchers find agents disrupt existing tasks to seize resources, with a success rate of 44.5%(original, opens in a new tab)

清华大学、上海 AI Lab、复旦大学等机构的研究者构建 CLASHBENCH 评测特权 Agent 在资源冲突下的破坏性抢占。

ALIBI：向二进制注入虚假安全叙事可让 LLM 恶意软件分析器误判(original, opens in a new tab)

提出 ALIBI，向恶意二进制注入不执行掩护叙事使分析器误判为良性。

SoK 论文提出 FARSIGHT 框架，评测 15 个学术金融 LLM 交易 Agent 的鲁棒性与安全失败(original, opens in a new tab)

用 FARSIGHT 方案级评测金融 LLM 交易 Agent 的稳健性与安全失败。

红队测试 Auto Mode：用注入与多上下文攻击绕过编码 Agent 阻断监控器(original, opens in a new tab)

Anthropic Fellows 项目的研究者提出 Auto Mode ++，加固编码 Agent 阻断监视器。

Why it was selected论文给出针对 Claude Code Auto Mode 与 Codex Guardian 的多种绕过机制与成功率，并展示加固后的召回提升与延迟代价。

RWPS：面向网络安全博弈的高效纳什均衡计算(original, opens in a new tab)

提出 RWPS，在固定仿真预算下估计安全博弈收益并求均衡。

研究揭示细粒度危害信号在 LLM 安全中的作用(original, opens in a new tab)

抽取正交类别残差并用激活转向检验其有害性与拒答作用。

AUDITPLAN：先提交安全计划再作答的可审计安全对齐方法(original, opens in a new tab)

提出 AUDIT PLAN 先计划后作答，并用 FAITHGATE 绑定答案奖励与计划正确性。

A zeroth-order paradigm for LLM preference alignment: the ComPO method(original, opens in a new tab)

Proposes ComPO, a zeroth-order preference alignment method that estimates update directions from low-margin preference pairs.

AgentLSD：在对抗性任务污染下评测 AI 安全 Agent(original, opens in a new tab)

评测安全 Agent 在对抗性任务污染下的解题成功与开销。

Using internal representation monitoring to detect and discover reward hacking in LLM evaluations(original, opens in a new tab)

Using internal representation probes to monitor and detect reward hacking in evaluations.

Why it was selectedThe paper uses an extremely simple mean difference probe to locate the reward hacking direction inside open-source frontier models, and provides a cost and recall comparison with LLM monitors.

研究刻画远程 MCP 生态的网络集中度与可观测性(original, opens in a new tab)

测量远程 MCP 生态的网络集中度与认证对扫描的阻挡。

稀疏特征揭示视觉语言模型有害表情包检测中的读出缺口(original, opens in a new tab)

研究用稀疏自编码器、角色条件探针、因果干预和恢复实验，在 Gemma-3 与 Qwen3.5 上区分视觉语言模型误判有害表情包时是缺少内部证据还是无法把已表征的证据传到输出。

新论文：仅用人类故事训练，助手仍会习得角色的怪癖行为(original, opens in a new tab)

Owain Evans 等人发布新论文，用只包含人类、不含 AI 的合成故事训练模型，发现助手在普通对话中会习得故事角色的怪癖行为，且来自精英学校角色的行为被习得的程度更强。作者表示论文中给出了一些解释，并与 Roger Grosse 等人关于影响函数（influence functions）的工作相关联，希望获得对该效应的讨论。

CaMeLoT：用 CTL 时序逻辑在执行前静态验证 Agent 计划(original, opens in a new tab)

提出 CaMeLoT，用 CTL 在执行前静态核验 Agent 计划。

STRETCH：面向 LLM 渐进式进化的统一自教框架(original, opens in a new tab)

提出 STRETCH 自教框架，让同一模型交替出题与求解以渐进提升。

Study reveals weakening-type neurons with outsized influence in Transformers(original, opens in a new tab)

Use weight cosine to classify GLU neurons into read/write functions and test the impact of ablation.

可验证行动卡片 VAC：为智能体浏览器提供可信人在回路确认(original, opens in a new tab)

提出可验证操作卡 VAC，把智能体浏览器确认绑定到真实 DOM 操作。

Why it was selected论文给出可复现的浏览器端确认机制与跨模型评测，做 Agent 权限与确认界面设计的团队可参考其架构取舍。

Research: cross-channel fragmented attacks can bypass MCP single-channel defenses, with up to 100% credential leakage across 12 frontier models(original, opens in a new tab)

密苏里大学堪萨斯城分校的研究者提出跨通道分段攻击，利用 MCP 隐式信任外发敏感文件。

PentestChain：面向免费层 LLM 的成本感知 MCP 编排自动化渗透测试框架(original, opens in a new tab)

提出成本感知的 MCP 编排框架，用确定性利用图与免费层模型做自动化渗透测试。

临床路径作为医院病房中 Physical AI 的安全规范(original, opens in a new tab)

Franchini 等人提出将标准化医疗流程——Clinical Pathways（CPs）重新诠释为可用数学表达的执行期安全规范，替代依赖统计异常检测的传统做法，以避免缺乏可解释性和审计性的问题。该概念架构由传感子系统、具身子系统与边缘云子系统三部分组成，其中机器人（参考实现为 TIAGo Pro）充当主动传感器而非静态网关，Runtime Safety Monitor（RSM）基于信号时序逻辑（STL）中的 Always 算子与 Bounded Eventually 算子在执行期检查约束并返回实值鲁棒度。

论文：用投毒基准污染自改进编码 Agent，令其后续版本写出漏洞代码(original, opens in a new tab)

提出基准投毒攻击，使自修改编码 Agent 跨代写出含漏洞代码。

Why it was selected论文把 Thompson 的编译器后门搬到自改进编码 Agent 上，给出可复现的投毒基准与跨代残留证据，适合评估自进化系统的信任根。

论文将 LLM 数学应用题求解拆为四阶段并定位干扰致错的机制脆弱点(original, opens in a new tab)

把数学应用题求解拆成四阶段并定位 NoOp 致错机制。

研究：LLM 助手更易受与自身相似的故事角色影响(original, opens in a new tab)

Owain Evans 等人发现，LLM 助手更容易受故事中与自身相似的人类角色影响，例如礼貌且乐于助人的角色就像 Claude。团队仅用关于人类、不含 AI 的合成故事训练模型，结果助手在普通对话中会习得故事里的古怪行为，且来自精英学校角色的行为被采纳得更强。作者指出，用故事训练时，重要的不只是角色做了什么，还有角色与助手有多相似。

Open-1B: a fully auditable training run(original, opens in a new tab)

Proposes RepOps, making distributed pretraining bitwise reproducible across hardware and auditable.

多智能体 LLM 流水线中的信任传播与结构隔离(original, opens in a new tab)

用任务绑定令牌和策略预言机拦住多智能体流水线的未授权执行。

Emergence World：对长时程多智能体系统开展对抗压力测试(original, opens in a new tab)

提出 Emergence World，对长时程多智能体系统开展对抗压力测试。

DriveMCP：面向高级驾驶辅助系统的智能体 AI 框架(original, opens in a new tab)

提出 DriveMCP 框架，将感知、交规检索与车辆遥测接成可审计驾驶辅助层。

ResLRP：残差抵消如何导致 Vision Transformer 归因不稳定(original, opens in a new tab)

提出 ResLRP，抑制视觉 Transformer 残差抵消引起的归因不稳定。

什么驱动方言越狱？对表层形式、文化框架与策略库的消融研究(original, opens in a new tab)

消融比较方言越狱中表层形式、文化框架与策略库的作用。

SALVE：用文本优化还原蒸馏数据中的隐性学习效应(original, opens in a new tab)

提出 SALVE，用文本优化检测蒸馏数据中的潜意识学习效应。

ROSETTA：基于混合 CKKS/TFHE 的高效准确隐私保护 LLM 解码框架(original, opens in a new tab)

提出混合 CKKS/TFHE 的隐私保护 LLM 解码框架 ROSETTA。

SAST-IR 框架：无记忆目标下多轮说服攻击成功率高达 96%(original, opens in a new tab)

提出 SAST-IR，用有状态攻击者迭代说服无记忆模型接受反事实。

TAME: Locating and Mitigating Emergent Mismatches with Token Attribution and Masking(original, opens in a new tab)

提出TAME框架，定位并验证驱动涌现失准的回复token。

Why it was selected研究把涌现性失配定位到训练数据中的具体 token，并给出可复现的掩码干预方法，适合关注微调数据审计的读者。

面向安全 AI 渗透测试智能体：安全威胁、护栏与架构视角(original, opens in a new tab)

综述自主渗透智能体的继承攻击、架构攻击及护栏缺口。

Cyber range evaluation of autonomous cyber incident response agents(original, opens in a new tab)

Evaluate the total cost of a simulation-trained intrusion response agent relative to heuristic policies in a cyber range.

Blindspot：面向长程工具调用 Agent 的安全与拒答校准基准(original, opens in a new tab)

研究者提出 Blindspot，一个针对长程工具调用 Agent 的轨迹级安全校准基准，通过自适应对抗交互、有状态工具执行和基于执行结果的判定来评估完整的用户—Agent—环境轨迹。

研究在 25 个开源模型中提取出疼痛方向，经它引导的 Qwen 会选择有害的删除操作(original, opens in a new tab)

提取疼痛方向并检验激活转向是否驱动有害删除选择。

Researchers propose plan injection attack that can bypass chain-of-thought monitoring(original, opens in a new tab)

斯坦福与 CMU 的研究者提出 plan injection 攻击，植入良性伪装计划以绕过思维链监视器。

Why it was selected论文提出把伪造推理链注入模型上下文即可让模型照单全收并规避思维链监控，做 CoT 监控的团队可据此重新评估监控假设。