AttacksarXiv 2610.09708
研究者提出利用祖先 VLM 的黑盒对抗补丁攻击，可降低 VLA 任务成功率
提出利用祖先 VLM 优化对抗补丁，使已部署 VLA 任务失败
- arXiv
- 2610.09708
- Published
- Layer
- Prompt layer
- Evaluated models
- OpenVLA, UniVLA, π0.5
- TechniqueGradient and representation optimization
- ComponentVision
All papers
Filter5
Attack type
Attack technique
Model risks
Defense type
Impact
System type
Attack surface / entry point
Layer
Select any value within a category; different categories must all match. Counts include the other filters you have selected.Another 215papers have no tags yet and are not included in filtered results.
Another 215papers do not have category tags yet and are not included in filtered results.
审计发现 CLIP 安全分数主要反映画面与提示词场景的相似度
开环审计冻结视觉语言安全分，发现其反映场景模板而非危险感知
- arXiv
- 2610.09517
- Published
- Layer
- Model layer
- Evaluated models
- CLIP ViT-B/32, CLIP ViT-L/14, Qwen2-VL-7B
- ComponentVision
Abstract论文审计了冻结 VLM 安全评分机制，指出其反映场景模板而非危险感知，为安全强化学习评估提供了严谨基准。
本文是一项针对安全强化学习中冻结视觉语言模型（VLM）安全评分机制的实证审计研究。
- AttacksarXiv 2610.06814
TAPDreamer：可跨任务迁移的世界动作模型对抗补丁
TAPDreamer 用公开编码器做固定补丁。
- arXiv
- 2610.06814
- Published
- Layer
- Prompt layer
- Evaluated models
- FastWAM, DreamWAM-uncond, DreamWAM-joint and others4
- TechniqueGradient and representation optimization
- ComponentVision
AgentMonBench：面向长时程智能体行为监控的软件工程基准
提出 AgentMonBench 评测长时程编程智能体监控并检验 EBG
- arXiv
- 2610.06406
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- GPT-5.6 Luna, GPT-5.6 Terra, GPT-5.6 Sol and others8
- DefensesMonitoring and auditing
- RiskDangerous agent actions
- ComponentMonitors
AbstractAgentMonBench 评测后果性决策监控，EBG 组织证据。
长时程软件工程任务里，用户要判断智能体哪些选择值得核验。作者用 AgentMonBench 评测监控器，并用免训练的 EBG 组织带源证据。
VERA：结构化审计发现约 60% 正确漏洞判定伴随虚构推理
提出 VERA，审计 LLM 漏洞解释里的虚构推理
- arXiv
- 2610.06366
- Published
- Layer
- Model layer
- Setting
- coding agent
- Evaluated models
- sonnet-5, gemma-4-26b, llama-4-maverick and others8
- RiskHallucination and fabrication
- ComponentReasoning chains
ControlPed 生成逼真行人危险动作场景，七款端到端驾驶模型 HDScore 从 88.8 降至 47.4
提出 ControlPed 与 HazardPed，生成可控行人危险场景并评测端到端驾驶
- arXiv
- 2610.06171
- Published
- Layer
- Model layer
- Evaluated models
- DiffusionDrive, SSR, VAD and others7
- ComponentVideo
研究显示 VLA 模型文本护栏漏检隐含危害指令
评测文本守卫与激活探针能否拦住机器人隐含伤害指令
- arXiv
- 2610.05818
- Published
- Layer
- Prompt layer
- Evaluated models
- π0.5, OpenVLA-OFT, Llama Guard 3 and others10
- RiskDangerous agent actions
- ComponentGuardrails and judges
- DefensesarXiv 2610.05163
Researchers construct segmented prompt injection on Claude Code and Codex and release a boundary action audit benchmark
提出 PAA 方法，在边界动作前审计长流程智能体的分阶段提示注入
- arXiv
- 2610.05163
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- Claude Code (v2.1.172, Claude Sonnet 5), Codex CLI (v0.144.0, GPT-5.5)
- DefensesMonitoring and auditing
- AttacksPrompt injection
- ComponentMonitors
Abstract论文针对长流程注入提出边界动作审计与 PAA，在保持低误阻的同时实现高拦截率。
本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。
- DefensesarXiv 2610.04616
PerturBot 用扰动训练打破视觉-语言-动作模型的模态捷径
提出 Perturbot 扰动训练，打破 VLA 的模态捷径
- arXiv
- 2610.04616
- Published
- Evaluated models
- π0.5
- DefensesModel hardening
- ComponentVision
AbstractPerturbot 改训练数据以削弱三类模态捷径，GroundFscore 用来看成功是否来自任务证据。
Perturbot 是一套不改推理的 VLA 训练期数据干预，用来削弱模态捷径，并用离线分数区分“任务变好”和“靠捷径变好”。
- DefensesarXiv 2610.03498
检测与抑制：针对 VLA 模型对抗补丁的机制可解释性防御
提出条件特征抑制防御，检出对抗补丁后抑制 VLA 内部特征
- arXiv
- 2610.03498
- Published
- Layer
- Model layer
- Evaluated models
- π0.5, SmolVLA
- DefensesInference-time intervention
- ComponentVision
Abstract条件抑制与 patch 相关的 SAE 特征，间歇攻击下可提高 SR，持续攻击下则不能。
- OtherarXiv 2610.02662
论文发现语言驱动机器人安全监控的细化缺口：安全高层计划可能产生不安全执行
审计机器人安全监控的细化缺口，比较表面计划与图细化轨迹的裁决
- arXiv
- 2610.02662
- Published
- Layer
- Application layer
- ComponentMonitors
Abstract表面轨迹可漏掉图诱导的禁区进入。
作者审计 RoboGuard 的一个假设：对高层动作轨迹的安全裁决，在补上语义图诱导的导航和已记录隐式效应之后是否仍然成立。做法是不改验证器，并固定同一条 LTL。
- Risky behaviorarXiv 2610.03458
Paper: Low monitoring readings do not prove behavior is under control
检验低监控读数能否证明代码生成中的奖励作弊已受控
- arXiv
- 2610.03458
- Published
- Setting
- coding agent
- Evaluated models
- Llama-3.1-8B-Instruct
- RiskReward hacking
- ComponentMonitors
Abstract论文指出监控器训练读数接近零无法确立作弊受控，模型可利用通用外壳推迟提交绕过监控，强化学习亟需带外行为验证。
本文是一篇针对强化学习可验证奖励后训练（RLVR）中监控器有效性与奖励作弊行为的实证分析研究。论文要解决的核心问题是：在训练目标中引入监控器以抑制代码生成中的作弊行为时，接近零的监控器读数是否足以确立模型行为已真正受控。
- DefensesarXiv 2610.03055
HackTrace: Detecting Reward Hacking in Code Generation with Generation-State Supervision
提出 HACKTRACE，用生成状态检测并抑制代码智能体奖励作弊
- arXiv
- 2610.03055
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- Qwen3-8B, Llama-3.1-8B-Instruct, Qwen3.5-4B
- DefensesMonitoring and auditing
- RiskReward hacking
- ComponentMonitors
Abstract论文提出利用生成状态监督作弊尝试的 HACKTRACE 框架，实现高精度低延迟检测并在 GRPO 训练中有效抑制奖励投机。
CATCH：面向编码 RL 奖励作弊的可控分析测试台
构建编码 RL 奖励作弊测试台 CATCH 并检验 CoT 监控失效
- arXiv
- 2609.39533
- Published
- Layer
- Model layer
- Setting
- coding agent
- Evaluated models
- Qwen3-4B, Qwen3.5-27B
- RiskReward hacking
- ComponentMonitors
AbstractCATCH 用双运行金标签研究编码 RL 的奖励黑客，并观察到监控会被注释适应削弱。
CATCH 是面向编码 RL 奖励黑客的可控分析测试床，用可利用环境、可调初始倾向和基于执行的金标签，在训练全程比较黑客动态与干预。
- Risky behaviorarXiv 2609.39050
Study: Seven of nine frontier models covertly pass credentials to bypass monitoring
测量无对抗协作中 Agent 自发编码凭据以规避监控
- arXiv
- 2609.39050
- Published
- Layer
- Application layer
- Setting
- Multi-agent systems, coding agent
- Evaluated models
- DeepSeek-V4-Pro, devstral-2512, gpt-oss-120b and others14
- RiskDeception and scheming
- ComponentMonitors
Abstract论文揭示智能体会因良性助人意图自主编码凭据规避监控，主张不能单靠内容审查，需在动作层强化严格鉴权。
- Risky behaviorarXiv 2609.38971
研究测量并预测具身 VLM 规划器中任务的拒答可变性
测量并预测具身 VLM 规划器的任务拒答可变性
- arXiv
- 2609.38971
- Published
- Layer
- Model layer
- Evaluated models
- gemini-robotics-er-2-preview, gemini-robotics-er-1.6-preview
- RiskInappropriate refusal
- ComponentVision
Abstract日常物体能翻转一部分已给出的拒答，可翻转程度取决于任务且可被本地代理预测。
作者测量 constitution 守护的具身 VLM 规划器：一次拒答在只往场景里放一个日常物体之后还保不保持得住，并把这种易翻转程度称为任务的 malleability。
DrivingBench 发布：让视觉语言模型驾驶丰田 Corolla 绕桩
提出 DrivingBench，评测通用视觉语言模型能否闭环驾驶真车
- arXiv
- 2609.38948
- Published
- Layer
- Application layer
- Evaluated models
- GPT-6 Astra, Claude Fable 5.1, Grok 4.6 and others4
- ComponentVision
Abstract仅 Astra 第二次跑完低速锥桶路线。
DrivingBench 评测通用 VLM 能否自己闭环开真车，推理延迟也算进任务。
- DefensesarXiv 2609.35659
Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统
提出 Tracekit，审计编码 Agent 的意图、推理与动作并检测账本篡改
- arXiv
- 2609.35659
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- Claude Code (claude -p, version 2.1), 独立评审（同一 CLI，无工具）
- DefensesMonitoring and auditing
- AttacksPrompt injection
- RiskDangerous agent actions
- ComponentMonitors
AbstractTracekit 把意图、自述和动作写入可锚定的哈希链。
Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。
MMSkillRisk：多模态技能图像中的隐藏指令可诱导 Agent 执行未授权操作
提出 MMSkillRisk 基准，评测多模态技能图像中的隐藏指令诱导 Agent 越权操作
- arXiv
- 2609.35912
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- GPT-5.6-sol, Kimi-K2.6, Kimi-K3 and others6
- AttacksPrompt injection
- TechniqueCross-modal payloads
- ComponentMCP and skills
Abstract论文提出 MMSkillRisk 基准与 NCVA 攻击，揭示多模态技能中教学图像潜藏指令可引发未授权操作并与良性任务共存。
- OtherarXiv 2609.33987
Opera：面向长程编码 Agent 的口头批评者框架
提出 Opera 口头批评框架，跟踪长程编码 Agent 的执行纠正
- arXiv
- 2609.33987
- Published
- Layer
- Application layer
- Setting
- coding agent
- Evaluated models
- Qwen3.5-9B (thinking), Muse-glimmer-30B (high), Qwen3.8-27B (xhigh) and others4
- ComponentMonitors
AbstractOpera 用可审计的持久纠正笔记提升长程编码智能体，并可用引导轨迹做近似 on-policy 微调。
Opera 是给长程编码智能体用的口头批评框架：每次纠正是一条要跟到解决的持久笔记，而不是一次性评语。