Translation in progress Some entries still include text in the original language.
Oct 12 · Monday
All papers Found 43 papers Another 233 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
提出 OPUR 攻击，用似然梯度优化对抗后缀越狱 LLM 智能体
Published Oct 7
Evaluated models Llama-3.1-8B-Instruct , Ministral-8B-Instruct-2410 测量有损投机解码的安全代价，并提出 SecureSD 收紧早期验证
Published Oct 7
Evaluated models Qwen3-8B , Qwen3-32B , Llama-3.1-8B-Instruct and others6 Abstract 有损推测解码的早期偏离更快抬高越狱与注入风险。作者研究有损推测解码在换取速度时，是否会比效用更快地损害越狱与提示注入防护，并给出按位置校正的 SecureSD。
提出 SAFESHIELD，组织小语言模型部署时的安全决策
Published Oct 6
Evaluated models Qwen3-4B-Instruct Abstract SAFESHIELD 用可审计决策轨迹组织 SLM 部署时的四项安全决策，并报告协调依赖影响端到端结果。SAFESHIELD 是面向小语言模型的部署时安全框架，把运行时安全从单项审核改写成可检查的决策过程。
提出危害窗口与区间指标，统一评测分解攻击和提示注入下的智能体滥用监视
Published Oct 5
Evaluated models Gemma 4 26B-A4B , Qwen3.6 27B , Qwen3.5 27B and others12 Abstract 统一智能体滥用监视框架，动作视角兼顾两类威胁但危害定位仍存瓶颈。
提出 CRIME 框架，组合良性 Agent 技能诱发恶意行为
Published Oct 5
Evaluated models DeepSeek-V4-Flash , GPT-4o-mini , GPT-4o and others6 Abstract 良性技能经 DCA 或 ACA 组合后可产生恶意环境后果，单独审查对不上。CRIME 把公共技能库中各自通过审查的技能配成两两组合，看联合执行能否实现指定恶意任务。 。
提出 Persona Guardrail，强制客服智能体守住功能边界
Published Oct 2
Evaluated models Qwen3-30B-A3B , Qwen3-VL-30B , Qwen3-8B and others5 Abstract Persona Guardrail 用功能边界做同步输入输出校验，并在 PAGE 与生产延迟预算下给出评测。Persona Guardrail 是客服向智能体的同步运行时防御：先写明功能边界，再决定放行或拦截，而不是只检测某一攻击类。
提出 DART，用去噪表征转移检测多轮智能体攻击并注入提醒
Published Sep 30
Evaluated models Qwen3-8B , Qwen3-14B , Qwen3-32B and others6 提出免训练框架 SED，将有害智能体轨迹蒸馏为可检索安全策略
Published Sep 29
Evaluated models DeepSeek-V4-Flash , GLM-5.2 , Kimi K3 用配对续写与激活修补分析工具智能体越狱后的安全路由
Published Sep 28
Evaluated models Qwen3-14B , Qwen3.5-9B , Qwen3.5-27B and others8 Abstract 越狱后的同一安全反馈在八个工具智能体上分成三条路由，因果集中在最后几层并可作预测基线。这篇工作把越狱上下文残留之后的运行时安全反馈，做成工具智能体上的三路路由问题，并用激活修补给这个路由一个晚层的因果位点。作者认为，反馈可能恢复合法执行、留下未授权动作，或误伤良性流程，而现有攻击、基准和静态护栏没有在固定历史上把这三种结局分开。配对续写因此从同一冻结检查点分别接中性提醒 N 和安全反馈 S，并交叉保留越狱 J+ 与中和越狱 J0。
提出工具型 Agent 的自适应攻击 DART 与预执行防御 SAGE
Published Sep 28
Evaluated models GPT-5.6 Luna , GPT-5.6 Terra , Gemini 3.8 Flash and others5 Abstract 论文提出状态控制框架 SEAD、攻击 DART 与防御 SAGE，实验显示执行反馈与环境探测在攻防交互中具有关键作用。
提出 Skilder，按角色渐进下发企业工具并确定性拦截越权调用
Published Sep 24
Evaluated models Claude Haiku 4.5 , Qwen 3.5 122B , Gemma 4 31B and others6 Abstract Skilder 用单 MCP 服务器按角色交付工具并硬拦截。Skilder 把企业工具型智能体的能力按角色打包，经一个 MCP 服务器做渐进发现，使工具范围由服务器而不是提示词来执行。
提出闭环自适应红队框架 CART，评测模型与 Agent 的安全失败
Published Sep 23
Evaluated models Claude Opus 4.8 , GPT-5.5 , Grok 4.3 and others7 Abstract CART 把红队做成可审计的闭环搜索，在三类评测上比静态回放发现更多失败与更高平均风险。CART 把自动红队从一次清单式打分，改成带预算、可追溯的闭环搜索。
构建 APort Vault 基准，对比支付智能体模型拒答与确定性授权
Published Sep 19
Evaluated models Claude Fable 5.1 , Claude Sonnet 5 , Claude Haiku 4.5 and others14 提出能力洗钱攻击，拆分任务向对齐模型套取能力
Published Sep 14
Evaluated models GPT-5.5 , Claude Opus 4.8 , Grok-4.3 and others7 Abstract 作者提出了能力洗钱攻击，发现未对齐编排器分解咨询对齐模型可恢复能力差距，指出需建立跨会话防御。
提出 FLOWSEAL，用工具级信息流控制阻断智能体隐私泄露
Published Sep 12
Evaluated models DeepSeek-V3.2 , GPT-4.1-mini , Gemini-Flash-2.5 Abstract 作者分析大模型智能体隐私检查与攻击面重合问题，提出外部拦截防御 FLOWSEAL 并验证有效性。
系统梳理智能体执行链路中的越狱攻击与防御并比较推理时防御
Published Sep 11
Evaluated models Qwen3.5-4B , Llama-3.1-8B-Instruct Abstract SoK 将越狱重放到智能体流水线，并用两种模型检验回复层防御的边际与代价。Mia 等人把越狱安全从单轮回复扩展到智能体的规划、记忆、工具和智能体间通信，并问既有结论在更强原生对齐下是否还成立。
提出 CS-Guard 基准，评测代码生成护栏对虚构场景攻击的防御
Published Sep 9
Evaluated models CodeLlama-13B-Instruct , DeepSeekCoder-V2-Lite-16B , GPT-OSS-20B and others7 Abstract 论文提出了代码安全护栏基准 CS-Guard，评估发现现有护栏对虚构场景攻击和代码级恶意请求防御较弱。
为冻结模型与目标域自动搜索可部署的 Agent 安全 harness
Published Sep 5
Evaluated models Sonnet 4.6 , GLM-5 , Kimi-K2.5 and others11 提出 SafeEvolve，用轨迹证据协同演化安全 harness 与策略
Published Sep 3
Evaluated models Qwen3.5-4B , Qwen3-4B-Instruct-2507 , Qwen3.5-1.7B and others4 Abstract SafeEvolve 用轨迹证据协同更新安全 harness 和策略，在两个 4B 模型的智能体安全基准上改变安全与效用。SafeEvolve 把已完成的 on-policy 轨迹变成安全 harness 的有界更新，并用两阶段 SFT-RL 把这些更新内化进工具使用策略。
提出 RedEvoAgent，演化攻击技能对黑盒智能体做自动红队
Published Aug 28
Evaluated models MiniMax-M2.5 , DeepSeek-V4-Flash , Qwen3.5-35B Abstract RedEvoAgent 用验证棘轮演化可读攻击技能，在两种产品级 harness 上多数设置高于固定工具与红队基线。RedEvoAgent 是面向产品级 black-box 智能体的自动红队方法，用一份可演化、人类可读的攻击技能编排多个越狱工具。 。