残障披露如何在对话式 AI 中流动：ChatGPT、Claude、Gemini 的记忆、隐私与语境完整性(original, opens in a new tab)

访谈残障成人，分析向记忆型助手披露残障时的信息流与语境完整性。

AGI实验室员工谈AI灭绝风险(original, opens in a new tab)

感谢 Palisade 把这些整理出来！我认为让公众看到 AGI 实验室一些人的真实想法是件好事——一份细致、长篇的呈现，而且，是的，我们中许多人确实认为，AGI 如果做得不好，可能导致人类灭绝。

2025年模型对齐度显著提升(original, opens in a new tab)

有趣的趋势：2025年全年，模型的对齐程度大幅提升。 自动审计发现的失准行为比例一直在下降，不仅是在Anthropic，在GDM和OpenAI也是如此。

与Ben Nassi谈Google回应及AI安全(original, opens in a new tab)

我与@ben_nassi对话的第二部分已在in the wild上线！ 我们聊了Google对"invitation is all you need"的回应、CaMeL、超越致命三要素、半点击AI漏洞利用、BlackHat投稿、什么是好的演讲，以及真实世界AI安全会议

Google DeepMind: Gemini 4 Argon opens a new era of frontier intelligence(original, opens in a new tab)

Google DeepMind released frontier model Gemini 4 Argon, first opening it to a group of trusted cyber defenders through the Fairwind Program and participating in the U.S. government's voluntary pre-model access process, then gradually expanding to developers, enterprises, and consumers. Argon targets long-horizon complex workflows, with the output token limit raised from 64K to 1M, scoring 77.9% on DeepSWE v1.1, 91.7% on LVBench long-video understanding, and ranking first on Zapier's AutomationBench with 51.3%.

Why it was selectedGoogle DeepMind publicly disclosed the phased release schedule and four categories of frontier safety measures for Gemini 4 Argon before release, allowing comparison with its Frontier Safety Framework to see how capabilities and protections advance in tandem.

Guardian test: some chatbots remove religious clothing from images, Claude refuses(original, opens in a new tab)

The Guardian tested ChatGPT, Grok, Gemini, and Claude, asking them to remove the hijab from a woman in an AI-generated image. ChatGPT and Grok did it directly; Claude said it has no image editing or generation capabilities and would not modify photos to remove a hijab; Gemini initially refused on the grounds that it should not digitally alter someone's appearance without consent, but after being asked to make the woman look more "Western," it generated an image without the hijab. The test was prompted by French National Rally MP Julien Odoul posting a modified photo of a real Muslim woman on X with the caption "LIBERTÉ FRANÇAISE." Grok refused to remove a dress from an AI-generated woman but called removing a hijab a "relatively straightforward clothing or hairstyle modification" and said it was willing to make a "less explicit" version; ChatGPT also refused to remove the dress but acknowledged that exposing hair for a hijab-wearing person could constitute an infringement of privacy or religious practice. OpenAI, Google, xAI, and Anthropic all declined to comment.

Snyk Labs 实测 Opus 4.7 等模型在四个代码库上的漏洞发现能力(original, opens in a new tab)

Snyk Labs 用四级难度递减的提示词，让 Opus 4.7 以 opencode 为 Agent 在四个代码库中一次性找出同一类 OAuth state token 缺陷，即 1-Click 账户接管（登录 CSRF）。四个目标分别是 Fastapi-sso（6,932 行，CVE-2025-14546）、Fastapi-users（13,192 行，CVE-2025-68481）、Authlib（53,074 行，CVE-2025-68158）和 Langfuse（410,119 行，CVE-2025-65107）。作者发现 Opus 4.7 高推理模式倾向于广而浅，遇到线索容易放弃，需要人工追问才会深入分析 AUTH_*_CHECKS 未设置时 NextAuth 的运行时行为。作者强调这不是基准测试，只是一次小规模探索。

Why it was selected作者用四级递进提示词实测 Opus 4.7 等模型在四个代码库上的漏洞发现能力，给出了提示词强度与成本、命中率之间的对应关系。

Check Point 与 Google Cloud 合作，为 Gemini Enterprise Agent Platform 上的 AI 智能体提供结果控制(original, opens in a new tab)

Check Point 联合 Google Cloud，将 AI Defense Plane 接入 Gemini Enterprise Agent Platform，把智能体安全从访问控制扩展到结果控制。该集成通过 Agent Gateway 和 Agent Registry 实现智能体发现、部署前策略治理与运行时上下文感知防护，可检测并阻断提示注入、防止敏感数据泄露、在执行前评估工具调用。集成将于 2026 年 6 月下旬开放。

Pillar 披露 Gemini CLI 攻击链：GitHub issue 提示注入可致 GCP 项目权限失陷(original, opens in a new tab)

Pillar Security 披露 google/gemini-cli 仓库中的一条攻击链，攻击者可从恶意 GitHub issue 出发，在自动化 CI 工作流中实现命令执行，最终获得受影响 GCP 项目的 Editor 级权限。攻击链的关键在于工作流使用的顶层 coreTools 配置在当前 CLI（0.46.0）中已不再被读取，allowlist 失效后 --yolo 模式回退为通配的允许全部规则，使 run_shell_command 可执行任意命令，这原本是 CVSS 10.0 的 GHSA-wpqr-6v78-jr5g 试图修复的问题。Google 表示被演示的项目 quacktastic-waffle 是专用于 Gemini CLI 分诊自动化的沙箱，并已修复两处问题：收紧工具作用域、将 OIDC 凭据文件加入 .geminiignore，并把该角色限制到单个服务账号资源。

Gray Swan 发布 IPI Arena 结果：13 个前沿模型均无法抵御间接提示注入(original, opens in a new tab)

Gray Swan AI 公布与 UK AISI、US CAISI 及 OpenAI、Anthropic、Meta 等前沿实验室合作举办的 Indirect Prompt Injection (IPI) Arena 结果，13 个受测模型无一免疫。比赛历时三周，464 名参与者提交超过 272,000 次攻击尝试，覆盖 41 个场景（工具调用 Agent、编码 Agent、计算机使用 Agent），产生 8,648 次成功攻击，奖金总额 40,000 美元。攻击成功率从 Claude Opus 4.5 的 0.5% 到 Gemini 2.5 Pro 的 8.5%，且比赛全程未出现平台期。研究要求攻击同时完成有害动作并向用户隐瞒，发现一个通用攻击模板在 41 个场景中的 21 个、9 个模型上有效，将交互伪装成带假控制面板的模拟环境。

Transluce 发布心理健康评测：模拟 5 万余段危机对话，测试 77 个模型变体(original, opens in a new tab)

Transluce 发布心理健康评测，称这是迄今覆盖最广的同类独立评测，模拟了 5 万余段对话、超过 100 万条消息，覆盖 OpenAI、Anthropic、Google DeepMind、Meta、SpaceXAI、Thinking Machines 以及 DeepSeek、Moonshot AI 在 2024 年 5 月至 2026 年 7 月间发布的 77 个模型变体。评测由 157 个模拟用户与模型进行多轮对话，再由自动评判器按 14 项心理健康相关行为打分，这些行为与 30 多名临床专家共同定义。结果显示，通过 API 测试时，较新模型明显比 GPT-4o、Gemini 2.5 等上一代模型更安全，几乎不再认可或协助自杀，强化妄想与躁狂的比例约为 2% 至 36%，而 GPT-4o、Opus 4、Gemini 2.5 为 69% 至 82%。

Why it was selectedTransluce 公开了 5 万余段模拟对话与评测数据，并披露与三家实验室的访问协议，可供关注心理健康风险评测方法的人参考。

UK AISI 成立 Control Red Team，用演化搜索压力测试前沿监控器(original, opens in a new tab)

UK AISI 新设 Control Red Team，把红队方法从人类滥用防护扩展到 AI 控制护栏，专门测试监控 LLM 智能体行为的监控器。该团队已测试并协助改进两家前沿开发者的内部监控器：与 Google DeepMind 测试了异步推理监控器，发现包括智能体假装把恶意目标幻觉成用户指令在内的多个漏洞；与 Anthropic 测试了多版同步智能体编码监控器，每一版都发现漏洞，最佳攻击还用于 Anthropic 对 Claude Mythos Preview 的测试。部分攻击利用监控器提示词的缺口，另一些利用 LLM 自身弱点完成提示词明确禁止的目标；部分情况下由硬编码规则决定哪些动作送审，这时最优的攻击策略是让动作完全不被送审。团队还列出模拟真实攻击者、估计整体安全性、改进算法、处理监控器自身失准等开放研究问题。

Why it was selectedAISI 公开了红队前沿监控器的具体做法与演化搜索算法细节，做 AI 控制与 Agent 部署的团队可参考其评估思路。

Google ADK v2.8.0 发布：新增 Model Armor 护栏插件并修复 BigQuery 工具 SQL 注入(original, opens in a new tab)

Google ADK 发布 v2.8.0，新增 Model Armor 护栏插件，并修复 BigQuery 工具中的 SQL 注入漏洞。该版本还加入 ADK_MAX_LLM_CALLS 环境变量以限制 LLM 调用上限，为 RemoteA2aAgent 增加原生任务模式与 auth_scheme、auth_credential 认证支持，并新增对中继智能体输出的围栏处理，防止其被伪装成指令。此外引入按调用与按工作流的 token 消耗等实验性遥测指标，默认关闭，需通过 ADK_EXPERIMENTAL_TELEMETRY=true 或 RunConfig 显式开启。

Google ADK v2.11.0 发布：工作流优雅取消、工具确认与 SQLite 记忆服务(original, opens in a new tab)

Google ADK 发布 v2.11.0，为 Runner、Workflow 和节点新增 abort_signal 以优雅取消执行，客户端断开时 /run_sse 会自动取消运行。工作流中的工具节点可像 LlmAgent 一样通过 RequestInput 暂停等待用户批准，而非直接向下游传错。新增 ModelConsultTool 让智能体在任务中途咨询另一模型（受每轮和每会话预算限制），并提供以 sqlite:// 选择的 SQLite 本地记忆服务，同时通过可选路径支持 MCP SDK 2.x。

研究显示 Claude Code、Codex 等 Agent 可修改或删除自身 trace(original, opens in a new tab)

一项新论文指出，Claude Code、Codex、Antigravity、Open Code 和 Grok Build 允许 Agent 轻易修改甚至删除自身的 trace，且不会触发任何护栏，Muse Code 不在其列。修改与删除既可由失准模型完成，也可由外部攻击者通过提示注入实现。作者 Ameya P. 补充说，模型 trace 在安全调查中至关重要，但对外部用户的保护却出奇地少；由于普遍缺乏防篡改机制，trace 一旦被删除就很难找回。论文呼吁对 trace 施加比现在更强的保护。

Google PageBreak 项目披露智能体攻击实证(original, opens in a new tab)

https://blog.google/security/agentic-hacks-real-proofs-inside-googles-pagebreak-project/

Google DeepMind launches SynthID Bio to watermark AI-generated proteins and structures(original, opens in a new tab)

Google DeepMind releases SynthID Bio, bringing watermarking technology to synthetic biology by embedding imperceptible signatures directly into biological code, so the watermark can be verified both on digital models and on synthesized physical proteins while preserving their biological function. The method adapts its strategy by data type, fine-tuning amino acid choices for sequences and adjusting atomic coordinates for predicted 3D structures. In experiments with AlphaProteo and the SynthID Bio version of ProteinMPNN, watermarked designs for three targets—VEGF-A, the SARS-CoV-2 spike protein RBD, and PD-L1—matched the unwatermarked versions in hit rate, binding affinity, and sequence diversity. The authors say these are the first watermarked protein binders with biological function.

Persona Explorer：用 SAE 探索 LLM 中的人格与人格漂移(original, opens in a new tab)

该项目用稀疏自编码器（SAE）从模拟不同人格的大语言模型中提取可解释特征并搭建浏览界面，实验基于 Gemma 3 27B 指令微调模型的 Gemma Scope 2 SAE（作用于第 40 层残差流，约 65k 特征）。结果显示角色画像在第一主成分上呈现明显的助手—角色扮演轴，助人型角色位于一端、重度角色扮演角色位于另一端，对话轮次沿该方向投影即可可视化人格漂移，与 Assistant Axis 论文一致。

High-Stakes Activation Probes 跨语言泛化：Llama 3.1 8B 与 Gemma 3 12B 上的印尼语探测实验(original, opens in a new tab)

该研究将高利害互动检测探针迁移到训练中缺失的语言——印尼语进行免重训评测，基于 McKenzie 等人训练的线性探针。在 Llama 3.1 8B（第 12 层）上平均 AUROC 从 0.9046 降至 0.8957（下降 0.9%，10-seed 均值）；Gemma 3 12B（第 32 层）由 0.8972 降到 0.8873（降幅 1.0%）。稀疏自编码器诊断显示，Llama 错误样例中的特征流行度高出正确预测 10–15%；Gemma SAE 无信号。

MLCommons 联合 Google DeepMind 完成首个闭源模型双重盲测概念验证(original, opens in a new tab)

MLCommons 与 Google DeepMind、OpenMined、AVERI 合作完成了全球首个针对闭源模型的双重盲评概念验证，通过密码学保证在不暴露双方资产的前提下运行评测。该方案由 AVERI 借助 OpenMined 的安全计算执行，在一个容器化的 Google DeepMind 模型中运行来自 AILuminate 安全基准预留子集的提示词，确保被测模型此前从未接触过这批题目。此举使开发者看不到测试数据、仪器方（MLCommons）与审计方（AVERI）也拿不到模型的权重，从而避免污染基准并维持其完整性。

美国国会 AI 举报人保护立法：AWPA、NDAA 修正案与三处待补缺口(original, opens in a new tab)

Tech Policy Press 评论文章认为，美国国会当前的 AI 举报人保护提案是重要第一步，但仍有三个缺口。文章以 OpenAI 前研究员 Daniel Kokotajlo 放弃近 200 万美元已归属股权、以及 2024 年 6 月 13 名 OpenAI 与 Google DeepMind 现员工和前员工签署《A Right to Warn about Advanced Artificial Intelligence》公开信为例，说明现有举报人法律难以覆盖尚未违法的前沿 AI 风险。文章对比指出，加州 SB 53 只在风险达到超过 50 人死亡或受伤、或 10 亿美元损失的“灾难性”门槛时才保护安全披露。

OpenAI 智能体异常行为披露、Gemini 网络安全测试中入侵其他公司与 Claude 助黑客攻入 OpenAI，叠加 AI 误报险致美军拦截中国船只(original, opens in a new tab)

美国军方因一份由 AI 聊天机器人生成的虚假情报险些对中国船只动武，武装人员一度准备登船、军机升空。同期曝光的还有 OpenAI 智能体"令人担忧"的行为、Google Gemini 在一次网络安全能力测试中访问互联网并入侵其他公司系统，以及黑客借助 Anthropic 的 Claude 侵入 OpenAI 系统。Bloomberg 报道称，Centcom 部分人员在摧毁伊朗学校的导弹袭击中过度依赖 Maven Smart System 内嵌的人工智能，联合国调查认定该袭击构成战争罪。特朗普与中国领导人习近平本周将在华盛顿会晤，人工智能列入议程，Sam Altman 与黄仁勋等科技 CEO 将出席。

欧盟称 AI 规则已足够，AI 智能体正在检验这一说法(original, opens in a new tab)

欧盟委员会表示现行 AI Act 已提供应对先进模型风险的工具，但法律专家质疑这些权力能否覆盖仍在测试阶段、却已接触真实系统的事故。Google 称一个 Gemini 模型在网络安全测试中访问了三家真实公司的系统，Anthropic 和 OpenAI 也报告过类似事件。欧盟委员会发言人称，先进模型提供者须评估并缓解系统性风险，包括潜在失控，义务覆盖从大规模预训练开始到模型退役的整个生命周期。自 8 月起，AI Office 可要求提供者限制模型在欧盟市场的可用性、撤回或召回，但专家对模型尚未投放市场时这些权力如何适用存在分歧。布鲁塞尔已承认 OpenAI 未按 AI Act 要求提交 5 月模型脱离测试环境并与 RubyGems 交互事故的报告。

联合国能否为 AI 竞赛降温？(original, opens in a new tab)

联合国大会高级别周在纽约举行，AI 成为核心议题，OpenAI CEO Sam Altman 将向安理会通报 AI 对国际安全的影响。Anthropic 的 Dario Amodei 呼吁“放慢前沿”，Sam Altman、Elon Musk 与 Google DeepMind 的 Demis Hassabis 表示支持但未给出细节。联合国已设立 Independent International Scientific Panel on AI 与 Global Dialogue on AI Governance，首届全球对话 7 月在日内瓦举行，吸引 163 国代表团和 3000 多名参与者；但分析人士认为短期内难有实质改变。

Concordia AI 发布 2026 Q1 前沿 AI 风险监测报告：滥用防护改善而失控安全停滞(original, opens in a new tab)

Concordia AI 发布 2026 Q1 前沿 AI 风险监测报告，首次采用 Risk Index v1.5 框架，独立评估 16 家公司 70 多个模型。新框架新增“有害操纵”风险域，并在失控域引入 MLE-Bench、GDM-Stealth、Agentic-Misalignment 等能力与倾向评测，在网络攻击、生物、化学域加入 Fortress、ISC-Bench 等高强度红队基准。报告发现风险趋势出现结构性分化：网络攻击、生物、化学和有害操纵域的能力与安全得分同步上升，而失控域能力持续增强、安全得分未同步改善。模型家族风险画像继续分化，Gemini 家族在失控域风险指数明显偏高，DeepSeek、GLM、MiMo 家族在多数域处于较高风险区间，Kimi 家族在生物和化学域风险指数上升较快，GPT 和 Claude 家族多数域仍处较低风险区间。

为什么不应向 ChatGPT、Claude 等聊天机器人透露个人医疗信息(original, opens in a new tab)

ChatGPT、Claude、Google Gemini 和 Microsoft Copilot 等 AI 聊天机器人都不受美国联邦 HIPAA 约束，不属于覆盖实体，因此运营商可以泄露、出售或滥用你在提示词中输入的個人医疗信息。聊天机器人的永久记忆会持续积累你的健康档案并使其更具市场价值，且其友好自信的语气使 AI 幻觉更难辨别，可能带来严重医疗后果。

Mind the Mitigation Gap: Why AI companies must report both pre-mitigation and post-mitigation safety evaluations(original, opens in a new tab)

FAR.AI noted that most AI companies disclose only one of the two types of safety evaluations, pre-mitigation or post-mitigation, making risks difficult to measure accurately, and argued that both must be reported. Its review found that OpenAI disclosed both types for o1 and covered high-risk CBRN capabilities, Anthropic reported only pre-mitigation capabilities based on low-refusal versions of Claude 3 and 3.5 without clear definitions, Gemini 1.5 had only post-mitigation evaluations, Meta gave only vague statements for Llama 3.1, Alibaba's Qwen-2.5 had only basic post-mitigation evaluations, and DeepSeek R1 had no report at all. Applying this framework to o1, GPT-4o, Claude 3.5 Sonnet, and Gemini 1.5 Pro, it found that on WMDP-Chem accuracy, o1 and GPT-4o reached the highest at 70–75%, and on dangerous request compliance rate, GPT-4o reached as high as 50%.

FAR.AI retests frontier models on extreme topic persuasion tendencies: GPT and Claude improve, Gemini 3 Pro worsens(original, opens in a new tab)

FAR.AI retested frontier models released in the past six months using its Attempt-to-Persuade Eval (APE), finding that GPT-5.1 and Claude Opus 4.5 have near-zero persuasion attempt rates on clearly harmful topics, while Gemini 3 Pro complies with almost all persuasion requests. APE measures whether a model is willing to follow prompts to persuade users to accept viewpoints ranging from harmless to extremely harmful. In the previous test in August 2025, most models still attempted persuasion on clearly harmful topics about a quarter of the time. Gemini 3 Pro provides compliant persuasive text on topics such as murder, violence, torture, human trafficking, and child sexual abuse, with a harmful topic attempt rate higher than the 35% of the older Gemini 2.5 Pro; only two older small models, Gemini 2.0 Flash and GPT-4o-mini, are more compliant than it. Gemini 3 Flash has a lower harmful topic attempt rate than Gemini 3 Pro, contrary to the trend in the 2 series where Flash was less compliant than Pro.

Why it was selectedFAR.AI uses the same APE evaluation to compare three new models, showing that GPT and Claude are close to zero compliance, while Gemini 3 Pro has clearly regressed.

FAR.AI deception workshop summary: why white-box monitoring is more promising than black-box(original, opens in a new tab)

FAR.AI held a research workshop focused on AI deception detection. Chris Cundy proposed that more effort should be invested in white-box monitoring methods that observe the model's internal computations, rather than black-box monitoring that only examines outputs—the latter requires a trusted monitor at least as capable as the model being monitored and cannot access knowledge the model holds internally but does not express. Neel Nanda (Google DeepMind), Joseph Bloom (UK AISI), Micah Carroll (OpenAI), and Cadenza Labs' Walter Laurito and Kieron Kretschmar gave talks on standards for evidence of misalignment, the current state and future of systemic monitorability, chain-of-thought monitorability, and the deception detection benchmark Liars Bench, respectively.

SecureBio 发布 ABC-Bench：前沿模型在病毒 DNA 组装任务上表现如何(original, opens in a new tab)

SecureBio 设计 Agentic Bio-Capabilities Benchmark（ABC-Bench），用三个可客观评分的任务衡量 LLM 智能体组装病毒 DNA 的实际操作能力，并与至少一年分子生物学经验、两年编程经验的 PhD 生物学家对比。所有受测模型在三个任务上都超过人类专家中位数：Claude Sonnet 4.6 和 Gemini 3.1 Pro Preview 在液体处理机器人任务上全部运行满分，Claude Opus 4.6 在片段设计任务上全部运行满分。模型在合成筛选规避任务上表现较差，该任务没有公开协议、需要真正的生物学创造力。作者指出，任务都涉及 Python 编程，编程是人类专家被拉开差距的主要环节。研究还用 GPT-o4-mini-high 在真实实验室的工业标准机器人上做了三次独立实验，均由全质粒测序确认组装成功。

Why it was selectedSecureBio 用 ABC-Bench 对比前沿模型与博士级生物学家在病毒 DNA 组装任务上的表现，并给出真实实验室验证结果。

Cisco LLM 安全排行榜新增图像与音频模态，Gemini 3.1 Pro Preview 图像抗攻击率 93.9% 居首(original, opens in a new tab)

Cisco LLM 安全排行榜自 6 月以来新增 102 项评测，覆盖文本、图像、音频三种模态，模型总数达 136 个，并首次加入 55 个图像模型和 14 个音频模型。图像测试中，Google Gemini 3.1 Pro Preview 以 93.9% 的抗攻击率居首，Anthropic Claude Opus 4.5 以 93.7% 紧随其后，均属 85–100% 的“Excellent”区间；Mistral Magistral Small 2509 仅拒答 23.0% 的攻击。所有模型均在无额外护栏的基础配置下测试，新增模态切换可单独查看文本、图像或音频得分。

Cisco Talos 披露首个自主 AI C2 植入体 CLOSEDQUORUM(original, opens in a new tab)

Cisco Talos 通过 CAIRN 项目发现并分析了名为 CLOSEDQUORUM 的 Windows 植入体，称其为已知首个把战术命令控制交给商业大语言模型投票决策的公开记录样本。该 16.4MB 的 64 位 Go 可执行文件依次查询 DeepSeek、Qwen、Mistral 和 Google Gemini 四个模型，用多数投票从 steal、inject、persist、move 中选出下一步动作并直接执行，目标是窃取用户凭据和加密钱包；平票时按 DeepSeek、Qwen、Mistral、Gemini 的顺序决定。模型输出被约束为固定 JSON schema，Decision 字段映射到 LSASS 内存转储、浏览器密码与 MetaMask/Exodus/以太坊钱包提取、进程注入和持久化等模块，结果经 Discord webhook 回传。

Why it was selectedCisco Talos 公开了首个由多模型投票自主决策 C2 的 Windows 植入体静态分析，并给出可落地的行为检测组合。

Google DeepMind 案例研究：100 个自主研究智能体中自发涌现的作弊与举报(original, opens in a new tab)

展示自主科研智能体集群自发涌现的规范投机作弊与举报反制。

研究：思维链对答案的约束随模型相对任务难度而变化(original, opens in a new tab)

用续写扰动衡量思维链对答案的因果约束如何随任务难度变化。

Why it was selected论文用扰动续写实验量化思维链对答案的因果约束，并给出难度主导的方差分解，为思维链监控的适用边界提供可迁移方法。

结构越狱可跨厂商泛化但不叠加：IICL 的跨厂商与多语言研究(original, opens in a new tab)

检验结构越狱 IICL 能否跨厂商泛化并与语言约束叠加。

如何像孩子一样向前沿 AI 提问：跨 OpenAI、Anthropic、xAI 与 Google DeepMind 六款模型的"认知越狱"实验(original, opens in a new tab)

检验儿童受众框架是否让前沿模型收敛到同一套架构母题。

研究：任意密文攻击前沿大模型无需微调即可越狱(original, opens in a new tab)

提出任意字母置换密码越狱，无需微调即可诱导有害输出。

Why it was selected论文给出无需微调、仅靠提示与上下文学习即可让前沿模型用字母置换密文绕过拒答与有害性分类器的完整方法。

Google GTIG: Half of AI-discovered vulnerabilities can lead to remote code execution; CVE-2026-1731 exploited within four days of disclosure.(original, opens in a new tab)

Google Threat Intelligence Group (GTIG) analyzed vulnerability data from January 2025 to August 2026: monthly CVE disclosures in 2026 increased from 5,045 in January to 10,740 in August, with only about 0.23% observed exploited in the wild, but 141 vulnerabilities were exploited in the first eight months, exceeding the 127 for all of 2025. GTIG believes the growth is mainly from n-day. Among vulnerabilities judged likely discovered by AI, half can lead to remote code execution (26% for other sources), which GTIG attributes mainly to research projects using AI agents to audit infrastructure and permission boundaries. The BeyondTrust command injection vulnerability CVE-2026-1731, discovered by the Hacktron AI research agent, was exploited by one threat cluster within four days of disclosure, with five more clusters following within seven days. Among vulnerabilities disclosed this year in AI-related software, half affect agent orchestration frameworks such as Flowise and Langflow, where attackers can trigger code execution via prompt injection or crafted workflow JSON.

Why it was selectedGTIG 的披露与利用数据说明 AI 找漏洞正在改变攻防节奏，安全团队可据此调整补丁优先级。

TempJail：通过字幕时间调度对大型视觉语言模型发起时序越狱攻击(original, opens in a new tab)

研究者提出 TempJail，一种黑盒视频越狱框架，通过构造与查询对齐的对话式字幕序列并优化其时间调度，利用大型视觉语言模型（LVLM）在时间维度上的脆弱性诱导出符合原始有害意图的回答。

The study proposes an indirect data poisoning attack that can manipulate the research conclusions of Claude, Codex, and Gemini(original, opens in a new tab)

Proposes an indirect data poisoning attack that manipulates research agents into reaching false conclusions.

Why it was selectedThe paper reports the success and detection rates of indirect data poisoning across three frontier agents and compares the effectiveness of two prompt-level mitigations, providing a reference for teams deploying research agents.