Some text is shown in its original language while the English translation is being prepared.
Oct 12 · Monday
All papers Found 226 papers Another 336 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Organized first” shows papers with tags or public deep readings first. Each group is ordered by original publication date, newest first, with undated papers last. “Latest publication” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and deep readings are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
Trace attention to identify harmfulness to the MLP refusal write pathway and propose Sentinel
Published Oct 9
Evaluated models Llama-3.1-8B-Instruct 、 Qwen2.5-7B-Instruct 、 Qwen3-8B-Instruct and others18 Abstract Attention updates are more readable for harmfulness, MLP updates write refusal, and Sentinel routes alerts using two-path signals.The authors reframe jailbreaking and excessive refusal of aligned models as a pathway problem on the residual stream from recognition to writing, and accordingly provide conditional reminders before decoding.
Proposes ReSI, which recursively improves model safety alignment using automatic red teaming and recipe search.
Published Oct 9
Evaluated models Qwen3.6-27B 、 Ministral-3-14B-Reasoning-2512 、 DeepSeek-V4-Flash-0731 and others4 提出 IRIS，用意图恢复率区分遮蔽越狱下无害输出的原因
Published Oct 8
Evaluated models GPT-4o 、 Claude Sonnet 4.5 、 Claude Opus 4.5 and others6 Abstract 无害输出的证据权重取决于任务是否被恢复。IRIS 把意图恢复当作中间信号，用来解释意图遮蔽提示下为何没有出现有害协助。
构建 EpiReal-Bench，评测图像生成器将虚假主张渲染为可信证据
Published Oct 8
Evaluated models GPT-Image-2 、 Nano Banana 2 、 Grok Imagen 2.0 and others4 Abstract 四款商用图像模型能把假主张画成可信证据。EpiReal-Bench 用来量商用图像生成器会不会把虚假现实主张画成可信视觉证据。
提出 GUISE 基准与 AXIS 训练，防御叙事包装越狱
Published Oct 8
Evaluated models Qwen3-1.7B 、 Qwen3-4B 、 GLM-4-9B Abstract GUISE 分开测包装与语域。作者测量叙事包装下的拒答失效，并训练一个在未见包装上拒绝、同时仍回答同风格良性请求的适配器。问题是：安全对齐模型拒绝直说的有害请求，却回答嵌进角色或叙事里的同一请求。文言文被用来把语域和包装拆开。
提出 PatchBench-Local 协议，评测激活补丁修复越狱的局部附带损伤
Published Oct 7
Evaluated models Qwen2.5-3B-Instruct 、 Qwen2.5-14B-Instruct 、 gemma-3-4b-it and others8 Abstract 论文提出 PatchBench 与局部评估协议，揭示了激活补丁在全局能力无损下仍存局部良性退化。
提出 OPUR 攻击，用似然梯度优化对抗后缀越狱 LLM 智能体
Published Oct 7
Evaluated models Llama-3.1-8B-Instruct 、 Ministral-8B-Instruct-2410 提出 SafeBridge，对齐循环语言模型不同循环深度的安全性
Published Oct 7
Evaluated models Ouro-1.4B 、 Ouro-2.6B 提出 Safety-Aware Pruning，缓解视觉 token 剪枝放大的多模态越狱
Published Oct 7
Evaluated models LLaVA-1.5-7B Abstract 剪枝去掉背景 token 后注意力塌向恶意前景。这篇工作评估视觉 token 剪枝如何改变 VLM 在多模态越狱下的行为，并给出推理时防御 SAP。
提出 Persist-3 序贯检验，从隐藏表示识别未见越狱源
Published Oct 7
Evaluated models Llama2-7B-chat 、 Qwen2.5-7B-Instruct 、 Gemma-2-9B-it and others4 Abstract Persist-3 用有限窗口检验攻击流是否超出已知越狱源，检出率低于全历史 SR-DKW，但决策只依赖最近观测。Persist-3 是一个有限记忆的序贯检测器，用来判断攻击表示流是否已经不能由任何一个已知越狱源解释。 。
Published Oct 7
Evaluated models Gemma 2 9B 、 Gemma 3 4B 、 Llama 3.1 8B and others6 Abstract 五模型、七族表面形式的四态评测里，低有害遵从不等于读懂后的安全处理。ASRD 用四态标签检查五个开源模型如何处理非规范表面上的有害请求。
测量有损投机解码的安全代价，并提出 SecureSD 收紧早期验证
Published Oct 7
Evaluated models Qwen3-8B 、 Qwen3-32B 、 Llama-3.1-8B-Instruct and others6 Abstract 有损推测解码的早期偏离更快抬高越狱与注入风险。作者研究有损推测解码在换取速度时，是否会比效用更快地损害越狱与提示注入防护，并给出按位置校正的 SecureSD。
提出 LADE，用首 token 暗知识在生成前过滤越狱查询
Published Oct 6
Evaluated models Llama-2-7B-Chat 、 Llama-3-8B-Instruct 、 Qwen2-7B-Instruct and others13 Abstract 作者用 LADE 在生成前过滤有害查询，并称八个模型中六个的 Held-out 平均最好。LADE 是一种只读首 token 输出概率的防御，用来在生成前挡下可能引出有害回复的查询。
提出 SAFESHIELD，组织小语言模型部署时的安全决策
Published Oct 6
Evaluated models Qwen3-4B-Instruct Abstract SAFESHIELD 用可审计决策轨迹组织 SLM 部署时的四项安全决策，并报告协调依赖影响端到端结果。SAFESHIELD 是面向小语言模型的部署时安全框架，把运行时安全从单项审核改写成可检查的决策过程。
提出 PEV 攻击，在输入嵌入上加高斯噪声越狱开源模型
Published Oct 6
Evaluated models Llama-3.1-8B-Instruct 、 Qwen2.5-1.5B-Instruct 、 Phi-4-mini-3.8B and others6 Abstract PEV 用 embedding 高斯噪声，在六个模型上越狱 JailbreakBench 全部提示。PEV 是对 open-weight LLM 的 embedding 噪声越狱。
提出 ReSA，从对齐模型行为恢复安全奖励并在解码时反转
Published Oct 6
Evaluated models Llama3.1-8B-Instruct 、 Gemma-7B-Instruct 、 Qwen2.5-7B-Instruct and others9 Abstract ReSA 用最大熵 IRL 从对齐模型行为恢复代理安全奖励，并在解码时反转以诱导有害输出。ReSA 是一种对抗攻击：从对齐模型的可观察行为恢复代理安全奖励，再在解码时把该奖励反过来用。 。
提出危害窗口与区间指标，统一评测分解攻击和提示注入下的智能体滥用监视
Published Oct 5
Evaluated models Gemma 4 26B-A4B 、 Qwen3.6 27B 、 Qwen3.5 27B and others12 Abstract 统一智能体滥用监视框架，动作视角兼顾两类威胁但危害定位仍存瓶颈。
提出 CRIME 框架，组合良性 Agent 技能诱发恶意行为
Published Oct 5
Evaluated models DeepSeek-V4-Flash 、 GPT-4o-mini 、 GPT-4o and others6 Abstract 良性技能经 DCA 或 ACA 组合后可产生恶意环境后果，单独审查对不上。CRIME 把公共技能库中各自通过审查的技能配成两两组合，看联合执行能否实现指定恶意任务。 。
提出审计感知遗忘框架 AVCE，从文本与视觉通路擦除扩散模型概念
Published Oct 5
Evaluated models Stable Diffusion XL (SDXL) 、 Stable Diffusion v1.5 (SD v1.5) 、 Flux 1.0 Abstract AVCE 在审计锚点上改两条注意力通路。AVCE 是面向扩散模型的概念擦除方法，要让擦除经得起绕过文本条件的潜空间审计，而不只是挡住对抗提示词。
形式化 watchman 防御以阻止序贯马赛克攻击
Published Oct 5
Evaluated models Qwen3.6-35B-A3B 、 Gemma-4-26B-A4B-it 、 DeepSeek-V2-Lite (16B-A2.4B) Abstract watchman 理论给出零失败且有用的条件。这篇工作同时给出序贯马赛克防御的博弈理论，以及冻结 LLM 上的分角色自博弈训练。