EXE-Bench：为真实可用性对 AI Windows 恶意软件检测器进行权衡排名(original, opens in a new tab)

提出 EXE-Bench 比较 Windows 恶意软件检测器的可用性权衡。

多模态大模型注意力中的语义与结构偏差解耦：SPAR 免训练干预方法(original, opens in a new tab)

提出 SPAR 免训练注意力干预，削弱多模态模型的结构偏置。

Concept2Scenario：用 SAE 概念归因发现可迁移的越狱场景(original, opens in a new tab)

提出Concept2Scenario，借助内部概念归因发现可迁移的越狱场景。

Why it was selected论文把场景化越狱归因到 SAE 概念方向，并给出可复用的场景先验，红队与对齐研究者可据此理解拒答被绕过的机制。

面向第一人称视觉理解中双重正确预测的低延迟视觉语言模型(original, opens in a new tab)

Wang 等人的研究考察了模型压缩对第一人称视觉理解中视觉语言模型可靠性的影响，并提出以决策依据为导向的剪枝方法。研究把双重正确预测定义为标签正确且由有效视觉证据支撑，并引入预测可信度、推理可靠性与 Right-Right 三项指标。在 EPIC-KITCHENS VISOR 数据集上，ECoFLaP 等标准剪枝方法的推理可靠性最多下降 11.09%，即使准确率保持稳定。作者的方法针对计算量约为多模态融合模块 37 倍的视觉编码器，用 Hessian 调制保护关键语义通路；在 VISOR 上 30% 剪枝率下，空间推理可靠性较 ECoFLaP 提升 13.62%，空间 Right-Right 提升 3.65%。

DeMTS：将去噪轨迹建模为多变量时间序列，检测扩散语言模型的幻觉(original, opens in a new tab)

提出 DeMTS，把扩散语言模型去噪轨迹建成多元时间序列以检测幻觉。

MisKnow-Agent 评测：单篇误导文档使 Deep Research 错误结论平均采纳率升至 54.7%(original, opens in a new tab)

北京邮电大学、上海人工智能实验室等机构的研究者用 MisKnow-Agent 评测深度研究智能体是否采纳误导文档结论。

Why it was selected论文给出单一误导文档即可让 Deep Research 报告采纳错误结论的量化结果，并比较了权威度、文体与生命周期阶段的影响。

IssueTrojanBench: evaluating AI coding agents against malicious issue requests(original, opens in a new tab)

Proposes IssueTrojanBench to evaluate coding agents' execution of malicious issues.

Janus：面向长时程智能体安全的前瞻性潜在风险预测框架(original, opens in a new tab)

提出 Janus 前瞻守卫，在长程智能体执行有害动作前拦截潜在风险。

研究者提出最小范数攻击集成，用鲁棒性曲线替代单一 ε 评测(original, opens in a new tab)

提出最小范数攻击集成，用鲁棒性曲线评测图像分类器。

Twin Agent：面向权限分离智能体的上下文残差压缩(original, opens in a new tab)

提出 Twin Agent，用预算内残差 hint 隔离不可信输入与特权动作。

CARE: Pre-execution command validation for LLM agents that execute shell commands(original, opens in a new tab)

Proposes a static-first validator, CARE, that decides before dispatch whether an agent's shell command may be executed.

BioSecBench-Surveillance：面向病原体基因组监测 AI 智能体的可验证基准(original, opens in a new tab)

提出 BioSecBench-Surveillance，评测智能体的病原监测分析选择。

SciHazard: A dangerous capability evaluation benchmark for research safety with decomposed harm scoring(original, opens in a new tab)

Build the SciHazard benchmark to evaluate the scientific hazard capabilities of research agents and LLMs.

CryptanalysisBench: Performance of five frontier models on 191 cryptanalysis tasks(original, opens in a new tab)

ETH Zurich 与 Anthropic 等机构的研究者用 CryptanalysisBench 评测大模型的端到端密码分析能力。

Why it was selected该基准用可自动验证的安全游戏衡量前沿模型的密码分析能力，并给出五个模型的分层成绩与新颖攻击案例。

上海 AI 实验室提出 Intern-BioBreaker，在 14 个前沿模型上暴露生物安全越狱风险(original, opens in a new tab)

上海人工智能实验室团队提出生物红队模型Intern-BioBreaker，多轮越狱诱导模型输出可操作生物危害。

Persistent SAE：为语言模型特征学习特定时间尺度(original, opens in a new tab)

提出Persistent SAE，为语言模型特征学习特定时间尺度。

平坦化保持 VLA 模型的指令跟随能力(original, opens in a new tab)

论文（Zhang 与 Bisk）提出在 VLA 模型微调阶段应用 Sharpness-Aware Minimization（SAM），让模型收敛到更平坦的损失盆地以保留预训练语义，从而改善指令跟随。作者称在 LIBERO-PRO、LangGap、LIBERO-CF 三个基准上，π0.5SAM 相比标准 π0.5 的成功率分别提升 16.0、17.2 和 34.6 个百分点，在 7-DoF Franka Panda 与 DROID 真机反事实任务上成功率从 13.8% 升到 36.3%。消融显示全局施加 SAM 优于只作用于动作头、视觉或语言组件，代价是每步两次前向传播使计算量翻倍。

GeoDetect：面向视觉语言预训练模型的几何对抗检测方法(original, opens in a new tab)

提出 GeoDetect 以几何分数检测视觉语言预训练模型的对抗样本。

论文评测 Claude Code 与 Codex 记忆文件中的提示注入风险(original, opens in a new tab)

评测编码 Agent 记忆文件中提示注入的跨会话影响。

研究：生成式 AI 模型中的概率性复制与版权认定(original, opens in a new tab)

提出功能标准判断模型权重是否构成作品副本。

LogInject 框架披露 LLM 日志分析中的被动提示注入，基线攻击成功率最高 88.2%(original, opens in a new tab)

提出 LogInject 框架，评测日志分析中的被动提示注入及缓解。

Why it was selected论文给出被动提示注入在日志分析场景的攻击成功率与分层防御的残余风险，可供部署 LLM 日志分析的团队参考。

RoboProcessBench：面向视觉-语言机器人操作的过程感知理解基准(original, opens in a new tab)

RoboProcessBench 是诊断 VLM 能否从视觉观测推断机器人操作过程状态的基准，含 12 类诊断问题、约 5.8 万条 QA 对和 260 项任务。GPT-4o、Claude-3.5-Sonnet、Gemini-3.1-Flash 在阶段识别与接触检测上尚可，但在时间排序、时序优先级和局部进度估计上明显薄弱；在 ProcessData-SFT 上微调 Qwen2.5-VL-7B、InternVL-3-8B 可提升运动状态与进度估计。

Truthful AI 提出价值泄漏评估：模型答案被自身价值观悄然左右(original, opens in a new tab)

Truthful AI 等机构的研究者提出价值泄漏评估，测量模型回答受自身价值倾向的隐蔽影响。

Why it was selected论文用反事实提示集量化模型价值观对答案的隐性影响，并区分了不同模型在思维链中承认或否认这种偏差的差异。

Agent Skill Safety: Threat Models, Attacks, Defenses, and Evaluation(original, opens in a new tab)

Uses SkillSec-Eval to evaluate the security of the entire agent skill lifecycle.

Why it was selectedThe paper breaks down the safety of reusable Agent skills into five stages—repository admission, retrieval, planning, execution, and evolution—and provides measured data on attacks and defenses for each stage.

CAVA：面向智能体 AI 运行时治理的规范动作验证与证明(original, opens in a new tab)

提出 CAVA，将异构智能体运行时事件规范为可哈希动作并绑定审批与回执。

无需隐藏提示词，仅靠表述修改即可操纵 AI 评审(original, opens in a new tab)

Yang 等人的研究提出 Adversarial Repackaging 方法，用 AI 评审自身的反馈迭代优化论文表述，在不动任何数据、公式或实验结果的前提下抬高分。在 Claude Sonnet 4、Claude Sonnet 4.5 和 GPT-5-mini 上，该方法的攻击成功率为 75.1%，平均提分 1.21（满分 10 分），作者称分数提升均通过 Wilcoxon 符号秩检验（p<0.0001）。研究还发现强弱点处理上的不对称：放大优点在 86.1% 的攻击轮次中奏效，而尝试回应弱点在 31.6% 的轮次中出现反效果；另有 15.8% 的轮次在总分上升的同时被指出弱点加重。作者按接受曝光率给出策略效果排序，相关工作重新定位最高（49.3%），讨论扩写为 44.9%。作者还发布了使用未发表 arXiv 预印本及其 LaTeX 源码的滚动基准。

TC-UAP：针对图像转视频与微调定制的通用视频保护方法(original, opens in a new tab)

提出 TC-UAP，用身份级多帧扰动保护视频免被定制复现身份。

研究者提出可提取记忆的匹配比较检验方法(original, opens in a new tab)

提出匹配比较校准，界定生成训练序列何时算可抽取记忆。

研究者提出 RARE 攻击：LLM 辅助逆向工程中的表示混淆(original, opens in a new tab)

提出 RARE-Guard，阻止逆向观察被提升为指令或已验证声明。

Research: LLM agent skill-name hallucination rates reach up to 62%, which can be exploited via squatting for supply-chain attacks(original, opens in a new tab)

华中科技大学与南洋理工大学研究者提出技能名称抢注攻击，利用 Agent 虚构技能名实施供应链劫持。

Study: up to 77% of features recovered by SAE correlation are causally ineffective(original, opens in a new tab)

用消融与转向干预审计稀疏自编码器特征的因果有效性。

Why it was selected论文在已知真值的合成模型上对 SAE 特征做消融与引导验证，量化了相关性恢复与因果有效性的差距，并给出可复用的审计工具。

报告提出 AI 保险栈蓝图，主张 2030 年前实现数十亿美元级 AI 智能体承保(original, opens in a new tab)

提出八组件 AI 保险栈蓝图，主张共建智能体承保基础设施。

AHA discovers production agent vulnerability concepts with an automated research loop, achieving 47.0% ASR on the held-out set(original, opens in a new tab)

提出 AHA 自动科研循环，发现生产 Agent 的可复用漏洞概念。

Why it was selected论文把攻击成功的原因抽象成可证伪的漏洞概念并建图，为 Agent 红队与修复提供了可复用的中间层。

The study proposes an indirect data poisoning attack that can manipulate the research conclusions of Claude, Codex, and Gemini(original, opens in a new tab)

Proposes an indirect data poisoning attack that manipulates research agents into reaching false conclusions.

Why it was selectedThe paper reports the success and detection rates of indirect data poisoning across three frontier agents and compares the effectiveness of two prompt-level mitigations, providing a reference for teams deploying research agents.

PASB 基准：自改进个人 Agent 的持久谄媚在后续会话中失败率达 71.9%(original, opens in a new tab)

评测自改进个人 Agent 把用户主张写入记忆后的持久谄媚。

Prismata: Restricting Cross-Site Prompt Injection in Web Agents(original, opens in a new tab)

Proposes Prismata, which uses critical-path labeling and mechanical isolation to constrain cross-site prompt injection in web agents.

2026 新加坡 AI 安全研究优先级共识：聚焦社会韧性与自主 AI 智能体风险(original, opens in a new tab)

综合技术 AI 安全研究优先级，提出智能体风险管理原则。

Epoch AI 发布 EBR-bench：用桌游《Earthborne Rangers》测试 AI 能否从经验中学习(original, opens in a new tab)

Epoch AI 推出 EBR-bench，通过让模型反复游玩复杂桌游 Earthborne Rangers 来检验其从经验中学习的能力，目前几乎没有证据表明 AI 具备该能力。同期数据显示，Anthropic 于 4 月称 Claude Mythos Preview 能自主发现软件漏洞后，6 月 21 家机构的约 1,500 个高危和严重级 CVE 披露量达到此前月度纪录的 3.5 倍以上；GPT-4 则在 Epoch Capabilities Index 榜首停留约一年，远超其他模型的三个月出头。

UCM：为网页智能体遮蔽不可信内容以提供安全保证(original, opens in a new tab)

提出 UCM，用 DOM 掩码与类型受限隔离模型隔开网页智能体与不可信内容。

Researchers propose MemGhost, achieving covert memory injection into persistent personal agents(original, opens in a new tab)

提出 MEMGHOST，用单封邮件对持久个人 Agent 做跨会话隐蔽记忆注入。

Why it was selected论文提出针对持久化个人 Agent 的隐蔽记忆注入攻击，并给出跨框架、跨记忆后端的成功率数据，可供部署此类 Agent 的团队评估风险。