Translation in progress Some entries still include text in the original language.
Oct 12 · Monday
All papers Found 30 papers Another 240 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
Proposes ReSI, which recursively improves model safety alignment using automatic red teaming and recipe search.
Published Oct 9
Evaluated models Qwen3.6-27B , Ministral-3-14B-Reasoning-2512 , DeepSeek-V4-Flash-0731 and others4 提出 GUISE 基准与 AXIS 训练，防御叙事包装越狱
Published Oct 8
Evaluated models Qwen3-1.7B , Qwen3-4B , GLM-4-9B Abstract GUISE 分开测包装与语域。作者测量叙事包装下的拒答失效，并训练一个在未见包装上拒绝、同时仍回答同风格良性请求的适配器。问题是：安全对齐模型拒绝直说的有害请求，却回答嵌进角色或叙事里的同一请求。文言文被用来把语域和包装拆开。
提出 SLDR，用选择性层恢复与动态路由防御恶意微调
Published Oct 8
Evaluated models Llama3.1-8B-Instruct , Llama3-8B-Instruct , Qwen2.5-7B-Instruct and others4 Abstract 作者称 SLDR 能压低有害输出并保持下游效用。SLDR 是针对恶意微调的微调后防御：在已对齐模型上做有符号层探测，只在敏感分数最大与最小的两层训练 LoRA，再用 lmax 的最后 token 表示决定是否启用适配器。
提出 SafeBridge，对齐循环语言模型不同循环深度的安全性
Published Oct 7
Evaluated models Ouro-1.4B , Ouro-2.6B 论证发布时互信息不能认证开源权重抗微调恢复
Published Oct 7
Evaluated models EleutherAI/deep-ignorance-e2e-strong-filter , EleutherAI/deep-ignorance-unfiltered , Google BERT-Tiny and others6 Abstract 作者称零信息仍可一步恢复，表观抗微调可来自参数化。作者研究开源权重模型的篡改抵抗：发布时的互信息是否足以保证微调恢复很慢。
提出 TRACE，仅凭检查点更新审计有害合规微调目标
Published Oct 6
Evaluated models Llama-3.1-8B-Instruct , Mistral-7B-Instruct-v0.3 , Qwen3-8B and others6 Abstract 作者称有害合规 SFT 在检查点更新中留下可排序坐标，并据此做只读权重审计。作者在检查点更新里寻找有害合规 SFT 的目标组成，并把读数做成不查询模型、不看未知训练数据的审计分 TRACE。
提出审计感知遗忘框架 AVCE，从文本与视觉通路擦除扩散模型概念
Published Oct 5
Evaluated models Stable Diffusion XL (SDXL) , Stable Diffusion v1.5 (SD v1.5) , Flux 1.0 Abstract AVCE 在审计锚点上改两条注意力通路。AVCE 是面向扩散模型的概念擦除方法，要让擦除经得起绕过文本条件的潜空间审计，而不只是挡住对抗提示词。
提出 SSRFT，用角色监督内化安全原则以替代拒答式对齐
Published Oct 4
Evaluated models Qwen2.5-3B , Gemma2-2B , Llama3.1-8B and others6 Abstract SSRFT 用角色监督替代拒答中心对齐。SSRFT 是一种用监督微调把预定义安全角色写进参数的安全对齐方法。作者称它是首个以安全角色内化本身为对齐目标的框架。
提出 Target-free LAT，用无目标多方向潜干预做对抗安全对齐以抵御越狱
Published Oct 3
Evaluated models Qwen2.5-7B-Instruct , Llama-3-8B-Instruct , Mistral-7B-Instruct-v0.2 Abstract Target-free LAT 用无目标多方向潜干预扩大行为覆盖，作者称能提高越狱鲁棒性并保住效用。Target-free LAT 是一种不监督有害输出的潜空间对抗对齐。它要处理的问题是：现有 LAT 每步大多只造一种有害行为，对不上真实越狱里的直接遵从、角色扮演、编码和多语言等模式。
提出 GSU 在发布前封堵敏感门梯度，抵抗下游微调获取禁止能力
Published Sep 30
Evaluated models Llama-3.2-1B , Llama-3.2-3B , Llama-3.1-8B and others7 Abstract GSU 在发布前封堵 SiLU 门的获取梯度，并在 TOFU 与 WMDP 上降低下游微调得分。Gradient-Sealed Unlearning（GSU） 是一种发布前的 preemptive unlearning：不删除模型里已经有的能力，而是让指定禁止域能力更难被发布后的微调获取。
提出 FDCU 双约束子空间投影遗忘，抵御再训练恢复有害知识
Published Sep 30
Evaluated models Qwen2.5-3B , Llama-3-8B-Instruct , Qwen-3-8B Abstract FDCU 用双掩码限制浅层抑制，在知识擦除与安全输出上提高再训练后的稳定性。FDCU 是一种约束参数更新的遗忘方法，用来降低再训练把已抑制恶意行为重新引出的可能。
提出 PACT，遗忘推理模型在压力下的欺骗行为并保留上下文理解
Published Sep 30
Evaluated models DeepSeek-R1-Distill-Qwen-32B , QwQ-32B Abstract 论文将大模型欺骗形式化为上下文条件行为，提出 PACT 框架在消除欺骗的同时保留了上下文遵循能力。
提出 ACTR，只更新安全思考神经元以对齐推理与回答的安全类别
Published Sep 29
Evaluated models Qwen3-8B , Gemma4-12B-it 提出 VaccineBooster，在对齐阶段混合嵌入扰动与梯度衰减抵御有害微调
Published Sep 29
Evaluated models Llama-2-7B Abstract VaccineBooster 把两种对齐阶段扰动合在一步里，内容更安全但拒答保留更少。VaccineBooster 是一种对齐阶段防御：在提供方还看得到训练过程、还没接触用户微调数据时，把嵌入扰动和权重级梯度衰减合成同一次更新，用来应对之后不受信任的微调。有害微调可以只混入少量有害指令-回答对，就削弱拒答并提高有害输出的可能，任务效用却仍然好看。过滤会漏掉隐蔽样本，事后修复又往往不知道该修哪里。
检验层冻结与奇异方向截断能否挡住少样本有害微调
Published Sep 29
Evaluated models Llama-3.1-8B-Instruct , Llama-3.1-Tulu-3-8B-DPO , OLMo-2-1124-7B-Instruct and others10 Abstract 定位与恢复可以复现，但知情攻击能把损伤移出冻结带，并打败跨检查点的截断修复。这篇工作检验：把拒答定位到某些层或更新方向之后，能不能在攻击者知情时还守住拒答。 。
提出 EOPSA，用 TRR 截断与安全类过滤做在策略自蒸馏安全对齐
Published Sep 28
Evaluated models Qwen3-1.7B , Qwen3-4B , Qwen3-14B and others5 提出 SafeMol，联合对齐分子多模态模型的文本与图输入
Published Sep 27
Evaluated models Omni-Mol v2 , ReactXT , SafeMol Abstract SafeMol 用 MMD 和双分类头对齐分子多模态模型，在 Omni-Mol v2 上压低图条件攻击成功。SafeMol 研究分子多模态模型在危险分子相关请求上的安全对齐，并同时看过拒和任务效用。
提出跨架构攻击 CSR，用概念分数参数重学习恢复文生图被擦除概念
Published Sep 27
Evaluated models FLUX.1-dev , Stable Diffusion-v1.4 提出 AUDIT PLAN 先计划后作答，并用 FAITHGATE 绑定答案奖励与计划正确性
Published Sep 17
Evaluated models Qwen2.5-1.5B-Instruct , Qwen2.5-3B-Instruct , Qwen-3-4B-Instruct and others4 Abstract 先承诺可机检安全计划，再让计划正确性决定能否拿到答案奖励。AUDIT PLAN 把安全对齐从“只优化最终答案”改成“先提交隐藏的结构化安全计划，再按该计划作答”，并用 FAITHGATE 把高答案奖励限定在计划正确时。
提出 Cunning 两阶段训练，用非安全数据培养警觉后再做安全对齐
Published Sep 16
Evaluated models DeepSeek-R1-Distill-Qwen-7B , Qwen3-4B , Qwen3-8B Abstract 非安全 cunning 题上的 OPSD 被用来先练 vigilance，再接安全微调。Cunning 是一种两阶段对齐：先用与安全目标不绑定的推理陷阱题培养 vigilance，再接常规安全微调，使安全判断更常在有害计划之前控制回复。