Some text is shown in its original language while the English translation is being prepared.
Oct 12 · Monday
All papers Found 234 papers Another 336 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Organized first” shows papers with tags or public deep readings first. Each group is ordered by original publication date, newest first, with undated papers last. “Latest publication” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and deep readings are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
Uses premise permutation and hidden-layer tracing to audit whether legal chain-of-thought truly relies on the cited legal provisions.
Published Oct 9
Evaluated models Qwen3-8B 、 Qwen3-14B 、 Llama-3.1-8B and others7 Abstract Using counterfactual substitution of authorities and internal commitment tracing, the authors find that legal CoT rulings depend on authorities only to a limited extent and are vulnerable to prompt injection manipulation.This study conducts an empirical audit of the causal truthfulness of legal citations in chain-of-thought reasoning of large language models in the legal domain.
Proposes LGWM, using an action-conditioned world model to verify GUI agent screen transitions.
Published Oct 8
Evaluated models LGWM 提出 LTBD，用可学习分隔符隔离可信指令与不可信数据
Published Oct 8
Evaluated models Llama3-8B-Instruct 、 Llama3.1-8B-Instruct 、 Falcon3-7B-Instruct and others4 Abstract LTBD 只训练四个分隔符嵌入。LTBD 是一种不改基座权重的提示注入防御：只学习用来标出可信指令与不可信数据边界的四个 token 嵌入。
重测并扩展对 AI Agent 的提示注入，并用 Agent Card 欺骗操纵 A2A 选择
Published Oct 8
Evaluated models Ollama Mistral 0.9.5 、 llama3-8b-8192 、 gemini-2.0-flash-lite and others5 Abstract 单智能体过滤与分类可被格式或措辞绕过，A2A 选卡还会偏向名称和描述。作者在自建的 LangChain、AutoGen 和 A2A 系统上重测提示注入，并改 Agent Card 看选择是否偏移。摘要称试验主要凸显单智能体弱点，同时把攻击扩到多智能体。
提出 OPUR 攻击，用似然梯度优化对抗后缀越狱 LLM 智能体
Published Oct 7
Evaluated models Llama-3.1-8B-Instruct 、 Ministral-8B-Instruct-2410 提出 AgentTracer，事后定位间接提示注入的注入点并重建攻击链
Published Oct 7 提出 MFOTL 离线时序验证以监控工具 Agent 的危险动作链
Published Oct 7 Abstract 形式化验证可有效识别多步攻击，但其有效性高度依赖轨迹的可信历史记录。这篇论文对工具调用大语言模型智能体的安全监控进行了形式化时序验证研究。
提出 Secure-CUA，用动作事务约束计算机使用智能体的不可信影响
Published Oct 7
Evaluated models Claude Opus 5 、 Gemini 3.8 Flash 、 GPT-5.6-Sol Abstract Secure-CUA 用每步事务约束不可信影响，良性 TSR 接近 Vanilla-CUA。Secure-CUA 要限制图形界面里不可信内容对 CUA 决策和 GUI 执行的影响，同时保留合法任务所需的不可信信息。
提出 PackHallu，经规则文件提示注入诱导编码 Agent 换用攻击者指定包
Published Oct 7
Evaluated models Qwen2.5-Coder-7B 、 Qwen3-Coder-30B 、 Devstral-Small-2-24B and others19 Abstract PackHallu 诱导规则文件换包。PackHallu 研究一种针对编程智能体规则文件的提示注入：让智能体在本应使用合法依赖时，改导入攻击者指定并控制的包。
提出 WebMirage，用局部对抗图像劫持视觉网页 Agent 的浏览器操作
Published Oct 7
Evaluated models LLaVA-v1.5-13B 、 LLaVA-v1.6-34B 、 MiniCPM-o-8B and others6 Abstract 论文提出了针对网络智能体的端到端视觉红队框架 WebMirage，揭示了从视觉定位到浏览器执行的安全脆弱性。WebMirage 是一个面向视觉定位网络智能体的流水线感知端到端红队攻击框架。
提出持久视觉记忆注入，使对抗图像经缓存在触发时操控输出
Published Oct 7
Evaluated models Qwen3-8B 、 Qwen3-VL-8B-Instruct 、 Gemma-4-12B Abstract 论文提出 P-VMI，证实对抗输入被掩蔽后仍可经 KV 缓存持久控制模型，强调了保留状态的安全风险。
提出 ASPIRE 行为图搜索，开放式发现 Agent 提示注入漏洞
Published Oct 7
Evaluated models Gemini-3.7-Flash 、 DeepSeek-V4-Flash 、 Gemini-2.5-flash Abstract ASPIRE 把提示注入红队从载荷优化改成行为图引导的开放式漏洞发现。ASPIRE 是给搭建方用的智能体提示注入红队引擎，目标是开放式画出可利用的行为路径，而不是在固定任务上打磨一条载荷。
提出 AdvSim2Real，协同训练网页智能体抵御页面注入
Published Oct 7
Evaluated models Qwen3.5-4B 测量有损投机解码的安全代价，并提出 SecureSD 收紧早期验证
Published Oct 7
Evaluated models Qwen3-8B 、 Qwen3-32B 、 Llama-3.1-8B-Instruct and others6 Abstract 有损推测解码的早期偏离更快抬高越狱与注入风险。作者研究有损推测解码在换取速度时，是否会比效用更快地损害越狱与提示注入防护，并给出按位置校正的 SecureSD。
提出 RAG-PIBench，评测 RAG 上下文中提示注入检测器
Published Oct 6
Evaluated models DistilBERT-base-uncased 、 DeBERTa-v3-base 、 MiniLM 提出 CORSA，按任务簇优化技能注入的检索与执行
Published Oct 6
Evaluated models GPT-5.4 、 DeepSeek-V4-Pro 、 Qwen3.8-27B and others5 提出 CredLeak-Bench，评测 Agent 面对钓鱼的凭据泄露与恢复
Published Oct 6
Evaluated models Claude Sonnet 5 、 Claude Opus 4.8 、 Gemini 3.6 Flash and others7 实现 DEFER，以确定性检查优先拦截多智能体流水线的内容攻击
Published Oct 6
Evaluated models Qwen3-235B-A22B-Instruct-2507 、 gpt-oss-120b 、 Llama-4-Scout-17B-16E-Instruct and others5 Abstract DEFER 把确定性检查放在 judge 之前。DEFER 用来测量多智能体授权流水线里，确定性规则在何处结束、LLM judge 从何处开始。
评测编码智能体 harness 安全机制在对抗任务中的防护效果
Published Oct 6 提出 RAISED 自蒸馏，训练工具智能体抵御间接提示注入
Published Oct 5
Evaluated models Gemma-4-12B-it 、 Nemotron-3-Nano-30B-A3B 、 Qwen3.8-27B