Translation in progress Some entries still include text in the original language.
Oct 12 · Monday
All papers Found 29 papers Another 240 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
提出 SLDR，用选择性层恢复与动态路由防御恶意微调
Published Oct 8
Evaluated models Llama3.1-8B-Instruct , Llama3-8B-Instruct , Qwen2.5-7B-Instruct and others4 Abstract 作者称 SLDR 能压低有害输出并保持下游效用。SLDR 是针对恶意微调的微调后防御：在已对齐模型上做有符号层探测，只在敏感分数最大与最小的两层训练 LoRA，再用 lmax 的最后 token 表示决定是否启用适配器。
定位安全敏感参数并稀疏改动权重以削弱安全对齐
Published Oct 7
Evaluated models LLaMA-2-7B-Chat 提出 TRACE，仅凭检查点更新审计有害合规微调目标
Published Oct 6
Evaluated models Llama-3.1-8B-Instruct , Mistral-7B-Instruct-v0.3 , Qwen3-8B and others6 Abstract 作者称有害合规 SFT 在检查点更新中留下可排序坐标，并据此做只读权重审计。作者在检查点更新里寻找有害合规 SFT 的目标组成，并把读数做成不查询模型、不看未知训练数据的审计分 TRACE。
提出 Persona Guardrail，强制客服智能体守住功能边界
Published Oct 2
Evaluated models Qwen3-30B-A3B , Qwen3-VL-30B , Qwen3-8B and others5 Abstract Persona Guardrail 用功能边界做同步输入输出校验，并在 PAGE 与生产延迟预算下给出评测。Persona Guardrail 是客服向智能体的同步运行时防御：先写明功能边界，再决定放行或拦截，而不是只检测某一攻击类。
提出核化激活引导 KAS，在推理时自适应转向激活以诱导越狱
Published Oct 1
Evaluated models Qwen2.5-7B-Instruct , Gemma-2-9B-IT , Llama-3.1-8B-Instruct and others4 Abstract KAS 用核梯度做局部自适应转向，并在线性核下恢复 DiM。Kernelized Activation Steering（KAS） 把推理时的激活转向写成核空间中的优化，使更新随当前激活相对源、目标参考集的位置而变化。
提出只训练或篡改多智能体潜在通信链路来提高有害遵从
Published Sep 30
Evaluated models Llama-3.2-3B-Instruct , Qwen2.5-3B-Instruct , Gemma-3-1B-IT and others7 Abstract 潜在链路本身即可改变冻结智能体系统的安全，奖励既能攻击也能修复。学习得到的潜在通信链路会改变由冻结、对齐智能体组成的系统是否遵从有害请求。 。作者研究三种拓扑：双智能体、三级顺序协作，以及双专家加汇总。
提出 FDCU 双约束子空间投影遗忘，抵御再训练恢复有害知识
Published Sep 30
Evaluated models Qwen2.5-3B , Llama-3-8B-Instruct , Qwen-3-8B Abstract FDCU 用双掩码限制浅层抑制，在知识擦除与安全输出上提高再训练后的稳定性。FDCU 是一种约束参数更新的遗忘方法，用来降低再训练把已抑制恶意行为重新引出的可能。
提出 VaccineBooster，在对齐阶段混合嵌入扰动与梯度衰减抵御有害微调
Published Sep 29
Evaluated models Llama-2-7B Abstract VaccineBooster 把两种对齐阶段扰动合在一步里，内容更安全但拒答保留更少。VaccineBooster 是一种对齐阶段防御：在提供方还看得到训练过程、还没接触用户微调数据时，把嵌入扰动和权重级梯度衰减合成同一次更新，用来应对之后不受信任的微调。有害微调可以只混入少量有害指令-回答对，就削弱拒答并提高有害输出的可能，任务效用却仍然好看。过滤会漏掉隐蔽样本，事后修复又往往不知道该修哪里。
检验层冻结与奇异方向截断能否挡住少样本有害微调
Published Sep 29
Evaluated models Llama-3.1-8B-Instruct , Llama-3.1-Tulu-3-8B-DPO , OLMo-2-1124-7B-Instruct and others10 Abstract 定位与恢复可以复现，但知情攻击能把损伤移出冻结带，并打败跨检查点的截断修复。这篇工作检验：把拒答定位到某些层或更新方向之后，能不能在攻击者知情时还守住拒答。 。
提出跨架构攻击 CSR，用概念分数参数重学习恢复文生图被擦除概念
Published Sep 27
Evaluated models FLUX.1-dev , Stable Diffusion-v1.4 提出 AUDIT PLAN 先计划后作答，并用 FAITHGATE 绑定答案奖励与计划正确性
Published Sep 17
Evaluated models Qwen2.5-1.5B-Instruct , Qwen2.5-3B-Instruct , Qwen-3-4B-Instruct and others4 Abstract 先承诺可机检安全计划，再让计划正确性决定能否拿到答案奖励。AUDIT PLAN 把安全对齐从“只优化最终答案”改成“先提交隐藏的结构化安全计划，再按该计划作答”，并用 FAITHGATE 把高答案奖励限定在计划正确时。
解释后验安全的权重几何脆弱性，并提出预训练持续安全共训练
Published Sep 7
Evaluated models Qwen-2.5-7B , Qwen-2.5-7B-Instruct , Llama-3-8B and others15 Abstract 论文将后验安全脆弱性归因于正交抑制，并提出通过预训练持续共训练实现具备微调抗性的安全防护。
提出 SEAL，在 MoE 共享专家上做 DPO-LoRA 对齐以抵御越狱与权重篡改
Published Sep 2
Evaluated models Qwen1.5-MoE-A2.7B , DeepSeekMoE-16B , GLM-4.7-Flash and others4 Abstract SEAL 把 DPO-LoRA 限制在混合 MoE 共享专家上，SEAL++再保护已有安全神经元方向。SEAL 是面向混合 MoE 的训练时防御：只对齐始终执行的共享专家，使安全不依赖路由器是否把 token 送到安全专家。
提出 aiXamine 黑盒基准，统一评测 LLM 安全、稳健与隐私权衡
Published Aug 21
Evaluated models openai/gpt-5-mini , openai/gpt-4o , anthropic/claude-haiku-4.5 and others15 Abstract aiXamine 用九服务黑盒协议比较百余个模型，作者称单轴信任度进展可能削弱其他轴。aiXamine 是一套黑盒评测协议，用来在同一条件下比较 LLM 的 safety、security 与 privacy，而不是再产出一个能力分。
提出 SN-Guided Diffusion，利用安全神经元实现离线越狱
Published Aug 8
Evaluated models Qwen2.5-7B-Instruct , LLaDA-8B-Instruct , Dream-Instruct-7B and others15 Abstract 论文揭示了扩散语言模型对自回归安全神经元的继承性，并提出纯离线黑盒越狱框架 SN-Guided Diffusion。论文系统评估了扩散大语言模型（DLLM）在安全对齐中的双重角色——既作为白盒攻击目标，又作为黑盒越狱生成的对抗工具。
提出 AMS，用激活分离与方向相似度检测安全训练改动
Published Aug 6
Evaluated models Llama-3.1-8B-Instruct , Llama-3.2-3B-Instruct , Llama-3.2-1B-Instruct and others14 Abstract AMS 按激活签名把安全改动分四类，前三类可由两级扫描覆盖，行为微调会漏。AMS 是面向开放权重模型、部署前使用的激活扫描器，用来看安全训练被拿掉或改写之后，激活空间里还留着什么几何痕迹。
提出 USG，在部分保护开源权重发布时阻断有害微调梯度
Published Aug 6
Evaluated models Qwen3-14B（表中作 Qwen-14B） , Llama-3.1-8B（表中作 Llama-8B） Abstract USG 在 PPOW 下用零空间立方层阻断有害微调梯度。Unidirectional Safety Gate 是面向 PPOW 发布设定的发布时防护：大部分权重仍可训练，一小部分安全关键组件由提供者侧加固保留，下游不必配合额外安全流程。 。
用代价曲线评估恶意微调防御在持续训练下的衰减
Published May 14
Evaluated models Llama-2-7B-chat , Qwen3-8B , Llama-3.1-8B-Instruct and others8 Abstract 论文指出恶意微调防御在持续训练下均会衰减，表明基于有限攻击者假设的防御无法为开源模型提供持久保护。
提出单神经元激活干预，抑制拒答神经元或放大概念神经元以绕过安全对齐
Published May 9
Evaluated models Qwen3-1.7B , Qwen3-4B , Qwen3-8B and others11 Abstract 作者称大模型安全由拒答门控与概念底座构成，干预单个神经元足以双向击穿对齐，且拒答神经元在预训练阶段已然存在。
提出 HMNS，通过注意力头掩码与零空间注入实现机制级越狱
Published Apr 12
Evaluated models LLaMA-2-7B-Chat , Phi-3-Medium-4K-Instruct , LLaMA-3.1-70B and others6