Translation in progress Some entries still include text in the original language.
Oct 12 · Monday
All papers Found 24 papers Another 233 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
提出利用路由元数据推断敏感话题的侧信道攻击
Published Oct 7
Evaluated models RouteLLM (BERT router) , notdiamond-0001 , Vela (vLLM Semantic Router) Abstract 论文揭示并测量了 LLM 路由决策在无文本日志中的敏感话题泄露，验证了按类别公平性防御的有效性与边界。
提出 TRANSCOPE，用 CPU 硬件计数器推断训练集成员
Published Oct 6
Evaluated models BERT (4.4M-340M) , ViT (22M-307M) , Pythia (70M-2.8B) and others5 Abstract TRANSCOPE 揭示了分词器在嵌入表引发的硬件访问局部性差异，证实微架构计数器可突破恒定时间与置信度遮蔽防御。
提出 DP-MixMin，私有学习公开数据混合并做差分隐私微调
Published Oct 6
Evaluated models ResNet-18 , GPT-2 Medium Abstract DP-MixMin 私下学公开混合再 DP 微调，胸片 macro AUC 与邮件困惑度优于均匀混合。DP-MixMin 是一条端到端的差分隐私训练流程：先私下决定多个公开数据集的预训练混合，再预训练并在敏感数据上 DP 微调。作者称这是首个这样的流程。
衡量分裂学习中梯度相对激活对客户文本重建的额外贡献
Published Oct 3
Evaluated models GPT-2 (openai-community/gpt2, 124M) , Qwen3-0.6B Abstract 激活已恢复大部分 token。这篇工作测量 split learning 分裂点上的文本泄漏：激活单独能恢复多少，训练回传的梯度再增加多少，以及按 token 还是按整篇计分会不会改写结论。
提出 ReGap，用自生成伪监督微调恢复模型中的隐私关联
Published Oct 1
Evaluated models GPT-2 Small , GPT-2 Medium , GPT-2 Large and others6 Abstract 提出无真实私有监督的恢复攻击 ReGap，实验显示微调可通过自生成数据唤醒模型潜在隐私关联，突显后适应隐私风险。
提出 COVER，在语言预算下选择源语言实现跨语言知识遗忘
Published Oct 1
Evaluated models Tiny Aya Global , Qwen3-4B-Instruct-2507 , Llama-3.2-3B-Instruct Abstract COVER 在语言预算下选源语言，以降低未监督语言上相对 oracle 的残余访问。语言预算下的多语言遗忘 ：遗忘监督只放在 K 种源语言上，目标是降低其余语言对同一事实的残余访问，而不是把每种评测语言都译成监督数据。
提出 Whiteout，用伪装样本微调覆盖个人敏感信息关联
Published Oct 1
Evaluated models Llama 3.2 , Phi-3-mini , Gemma 3 and others7 提出 Intervention Score 与 DIR-R，按干预效果选择并修订遗忘参数支持
Published Sep 29
Evaluated models Llama 3 8B , Gemma 2 2B , Qwen2.5-7B and others4 Abstract 作者把局部化遗忘拆成初始干预选择和检查点修订，并在三个设置里分别给证据和边界。Storage Is Not Strategy 研究局部化 LLM 遗忘里两个常被混在一起的决定：一开始该更新哪些参数，以及优化改变模型之后这个选择要不要改。
提出用 API 推理摘要重建轨迹再蒸馏加强化学习，攻破蒸馏防御
Published Sep 29
Evaluated models Qwen2.5-0.5B , Qwen2.5-1.5B , Qwen2.5-3B and others12 Abstract 更现实的蒸馏攻击是蒸馏后再 RL。这篇工作修订蒸馏攻击的威胁模型：攻击者经合法 API 收集闭源推理数据，先蒸馏自有模型，再做强化学习。作者认为只在蒸馏后评估防御，会漏掉后续 RL，从而高估防御。
提出 TULIP，按输入定位形成层并去除目标 token 对齐以实现定向遗忘
Published Sep 28
Evaluated models Llama-3.1-8B , Llama-3.2-3B , Llama-3.2-1B and others7 Abstract TULIP 在形成结束的层去掉遗忘目标对齐，多数设置下 FQ 更高，4-bit 下 FQ 下降。TULIP 是一种逐输入选择层的表示级遗忘方法，目标是去掉遗忘答案的形成、留下读出。输出级方法可能只压低特定回答的似然。RMU、LUNAR 等则对全部遗忘样本共用一层。
Published Sep 28
Evaluated models E-Branchformer Abstract 梯度上升类方法更接近简单评测下的重训参照，复杂方法会被知情攻击认出，多说话人更差。
提出主题锚点投毒，放大众包微调后的专有指令提取
Published Sep 28
Evaluated models Qwen2.5-7B-Instruct , Qwen2.5-14B-Instruct , Llama-3.1-8B-Instruct and others4 Abstract 论文提出基于主题锚点的数据中毒攻击，证明低比例的中毒样本可在黑盒条件下隐蔽放大微调指令泄漏。
比较高效与高成本训练的对抗和隐私脆弱性并分析损失几何
Published Sep 28
Evaluated models ResNet-18 , Swin Transformer , Qwen2.5-Math-7B-Instruct and others7 Abstract 效用匹配下，三种高效训练都伴随更高的隐私与对抗脆弱性及更尖的损失几何。作者在视觉分类和数学推理语言模型上，检查用更少数据或更简对齐换取训练效率时，安全性质是否一起变化。比较在任务效用接近的前提下进行。视觉侧用 KNN-Shapley 的高重要性小子集对照低重要性大子集，并用预训练微调对照从头训练。
提出 IDUnlearn-Bench，评测 VLM 个体级遗忘后的身份残留
Published Sep 27
Evaluated models Qwen3-VL-2B , Qwen3-VL-4B , Qwen3-VL-8B and others6 Abstract IDUnlearn-Bench 用四族探针显示：压低直接属性访问后，身份仍常能被反向查出、绑定或重构。IDUnlearn-Bench 评测 VLM 是否忘掉一个可跨模态识别的人，而不只是答不出某条监督事实。
提出 QPriv-VL，用问题引导剪枝降低分布式视觉问答的隐私泄露
Published Sep 14
Evaluated models LLaVA-1.5-7B , Llama-2 Abstract QPriv-VL 在切层前按问题相关度与 DINOv2 敏感度剪视觉 token，作者称能在约四成 token 下兼顾准确率与四类攻击。QPriv-VL 把问题引导的视觉 token 剪枝做成分布式 VQA 的客户端隐私防御，而不是只做集中式推理加速。
攻破混合 FHE 推理的置换式保密，精确恢复线性层排序谱
Published Sep 11
Evaluated models ResNet-20 , ResNet-56 , ResNet-50 and others12 提出 Adaptive Diffusion Freezing，降低扩散模型的成员推理风险
Published Sep 8 揭示拆分训练返回梯度以零支撑暴露诱饵行并泄露训练内容
Published Sep 4
Evaluated models Qwen3-0.6B , 35B-A3B Abstract 论文揭示拆分训练中反向梯度零支撑完全暴露诱饵行，联合视图突破门控，裁剪加噪可有效缓解。这是一项关于双节点大语言模型拆分训练系统的系统安全案例研究，揭示了评估工具遗漏反向信道所导致的静默隐私失效。
Propose GIFT, isolating user data in shared LLM serving using encryption and GPU information flow tracking
Published Aug 26
Evaluated models Qwen2.5-14B , Qwen2.5-32B , Qwen2.5-72B and others6 Abstract GIFT uses cryptographic isolation plus GPU information flow rules to enforce user data isolation on vLLM and DistServe, and reports throughput overhead.GIFT is the authors' user data isolation system for shared LLM serving, with GIFT-CC enabling confidential computing. In the conclusion, the authors state it is the first IFT design for this scenario.
Proposing KeyPooling to measure where API relays break prompt cache isolation
Published Aug 18
Evaluated models grok-4-fast-non-reasoning , grok-4-1-fast-non-reasoning , grok-3 and others11 Abstract Shared upstream credentials place relay customers in the same cache domain; preserving identity or separate principals can separate them.KeyPooling measures where LLM API relays drop customer identity, causing prompt caches to no longer be isolated per downstream customer.