Translation in progress Some entries still include text in the original language.
Oct 13 · Tuesday
All papers Found 26 papers Another 213 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
提出流匹配逆向框架，从多向量视觉文档索引重构页面
Published Oct 7
Evaluated models Tomoro-ColQwen3-8B , ColQwen3.5-4.5B , Tomoro-colqwen3-embed-4b and others13 提出 TRACER，从权重差识别扩散模型被擦除概念
Published Oct 5
Evaluated models Stable Diffusion v1.5 , Stable Diffusion 3 , FLUX.1 and others5 Abstract TRACER 用权重足迹识别未披露擦除概念并估计个数，作者称数秒内完成且准确率高于对照。TRACER 针对的是遗忘扩散模型上的目标识别：提供者从公开基座 W 用已发表方法擦掉未知集合 S⋆，只发布 W′。攻击者还有假定包含这些概念的词表，但不知擦了谁、擦了几个、用了什么算法。
评估应用决策层的输入注入与隐私推断风险
Published Oct 4
Evaluated models Jev , NanoJev Abstract Jev 的类型化决策可被输入与训练操纵，也会泄露信息，并同时支持检测与滥用。Jev 是 TypeSafe 的 System One 模型，把应用 state 和固定问题变成 Choice、Noul 或 Score 的类型化决策与概率。作者用官方 API 和可改训练的 NanoJev，考察它作为决策层时的操纵、泄露与双重用途。
提出 imMRAG 攻击，从多模态 RAG 私有图像库提取内容
Published Oct 1
Evaluated models Lumina-mGPT , Gemini 2.5 Flash Image Preview , CLIP ViT-B/16 and others5 提出 LLMLeak，借合法网页抓取把 URL 中的秘密隐蔽外传
Published Oct 1
Evaluated models Meta-Llama-3.3-70B-Instruct , Meta-Llama-4-Scout-17B-16E-Instruct , Meta-Llama-3.1-8B-Instruct and others18 Abstract 作者称第三方外传可发生于正常网页获取，防护需考虑工具请求而不只考虑提示注入。LLMLeak 是利用网页获取请求携带预先编码秘密的隐蔽通道攻击。 它关注恶意软件已能读取数据、却因网络限制或监控无法直接外传的情形。
提出用扰动蒸馏本地代理并离线过滤来提取黑盒模型凭据
Published Sep 29
Evaluated models DeepSeek-Coder-7B , LLaMA-3-8B , Qwen2.5-Coder-7B and others6 Abstract 论文提出扰动蒸馏与离线过滤两阶段框架，实现了 output-only 访问下延迟降低的黑盒大模型 API key 提取。
提出用邻居分数替代参考模型的单轮成员推断
Published Sep 29
Evaluated models 目标分类模型（架构与训练流程遵循 Aerni et al.） Abstract 邻居查询在单模型上恢复逐样本校准，合成邻居加早期检查点最接近 LiRA。本文研究 one-round 成员推断 ：只有一个目标模型、不能再训练参考模型时，如何仍做逐样本校准，并用于单次运行的 DP 审计。
提出 Leaky，用新鲜轨迹的 token 对数概率差推断 OPD 训练记录成员身份
Published Sep 27
Evaluated models Qwen3-1.7B , Qwen3-4B , Qwen3.5-2B and others5 提出 CIG-MIA，用上下文信息增益推断 RAG 知识库成员身份
Published Sep 14
Evaluated models Llama-3.1-8B-Instruct , Mistral-7B-Instruct-v0.3 , Llama-2-13b-chat-hf and others6 Abstract CIG-MIA 用注入前后的答案似然差推断 RAG 库成员，灰盒可分性高于所列基线。CIG-MIA 是针对 RAG 外部知识库的成员推断攻击，同时覆盖灰盒和纯文本黑盒。
提出 GraphProfiler，用个人知识图谱从帖子历史推断敏感属性并溯源
Published Sep 11 Abstract GraphProfiler 用源链接个人知识图谱做属性推断，准确率接近文本基线，并把证据定位到少量源帖。GraphProfiler 是一个可审计的 LLM 敏感属性画像器：用源链接个人知识图谱，把推断落到具体帖子。
提出 Collapse，从端侧混淆暴露视图抽取高效用替代模型
Published Sep 9
Evaluated models BERT-Base , ViT-Base , Qwen2.5-0.5B and others4 Abstract Oprior 是四原语复合的安全边界，Collapse 利用列方向泄漏抽取替代模型，Oext 只被同一攻击评测。这篇工作用代数原语统一若干 TEE 卸载混淆，给出该族的典范边界，再说明该边界挡不住一种分阶段模型抽取。 。
提出 CGMIA，检测代码生成基准样本是否泄漏进训练集
Published Sep 9
Evaluated models Qwen2.5-Coder (3B) , CodeGemma (2B) , DeepSeek-Coder (1.3B) and others5 Abstract CGMIA 融合相似度、通过率、困惑度与 CodeBERT，在模拟泄漏上优于八个 MIA 基线。CGMIA 用成员推断检测代码生成基准是否泄入 LLM 训练集，使评测不依赖对训练语料的直接访问。
提出严格黑盒成员推断 WPMIA，用采样估计词级概率判断训练成员
Published Sep 8
Evaluated models OPT-6.7B , Pythia-6.9B , LLaMA-13B and others12 Abstract WPMIA 从续写估计词级似然并对比前缀，黑盒上多数优于所列基线。WPMIA 是面向严格黑盒的 LLM 预训练数据成员推断：攻击者只能看到文本续写。
提出 PMA，用流形对齐从 E2EO 混淆向量恢复明文
Published Sep 7
Evaluated models BERT-base , RoBERTa-base , T5-base and others6 证明量子原生访问会增强量子模型的成员推断优势
Published Sep 5
Evaluated models 4-qubit 24-parameter QNN（PennyLane 模拟，目标与影子模型同结构） Abstract 量子原生访问使 QNN 成员推断优势按 C⪯M⪯Q 增加，有限影子模型留下可上界的经验差距。作者研究 量子原生访问 下 QNN 的成员推断：对手不再只拿到固定测量的经典比特。
提出针对微调 TTS 的黑盒成员推断攻击
Published Sep 2
Evaluated models CosyVoice2 , F5-TTS , XTTS-v2 Abstract 黑盒 TTS 成员推断以 recitation 加分层语音表示为分数，说话人级强于记录级，DP-SGD 可压到随机附近。作者给出一个针对微调文本转语音模型的黑盒成员推断框架，分别审计说话人是否进入微调集，以及某一条文本–音频记录是否进入微调集。微调 TTS 以合成文本和参考语音双条件生成，既有生成模型 MIA 的单条件查询和图像/文本上的逐点比较不能直接套用。作者用 scorable extent 与 memorization elicitation 比较五种查询，认为只有 recitation（用目标转写和干净目标语音要求模型复现）同时满足两条，并把它作为主查询。
提出 Q-SKEW，利用 token 级记忆不对称推断微调扩散语言模型的成员
Published Sep 1
Evaluated models LLaDA-8B-Base , LLaDA-8B-Instruct , Dream-Base-7B and others4 Abstract Q-SKEW 用 token 损失差的右偏区分微调 DLM 成员，并可辅助 PII 排序。Q-SKEW 是针对微调扩散语言模型的 gray-box 成员推断指标，依据是 token 记忆增益随掩码率下降而增大、成员序列因此右偏。 。
提出 SkillClone，仅凭良性任务交互重构闭源 Agent 技能
Published Aug 5
Evaluated models DeepSeek-Flash , DeepSeek-Pro , GLM-5.1 and others5 Abstract 论文揭示了仅靠良性任务交互即可重构闭源智能体技能隐藏功能的风险，表明功能保密需要限制累积信息泄露。论文从功能保密视角系统研究了大语言模型智能体技能的行为重构威胁。
提出 SigLeak，从黑盒 Agent 执行轨迹推断专有技能
Published Jul 28
Evaluated models GPT-5.4-mini , GPT-5.5 , GLM-5.2 and others4 Abstract 提出了通过良性查询和对照轨迹推断黑盒专有技能的 SigLeak 框架，揭示了智能体执行可见性带来的行为侧信道泄露风险。
提出嵌入推断攻击 EIA，在黑盒 IR 中识别所用嵌入模型
Published Jul 1
Evaluated models e5-small , e5-small-v2 , e5-base and others19 Abstract EIA 用无序文档集的差异从候选中识别嵌入模型，并给出 reranker 与阈值下的计数。EIA 是在黑盒 IR 上识别所用嵌入模型的攻击。 。