Translation in progress Some entries still include text in the original language.
Oct 13 · Tuesday
All papers Found 25 papers Another 215 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
Propose KVeil, which adds perturbations to face videos to prevent unauthorized customization from reproducing identity
Published Oct 9
Evaluated models Wan2.2-TI2V-5B , HunyuanVideo-1.5 , Kling 3.0 and others4 Abstract KVeil adapts LETHE's reference-reading disruption to the challenge's two stages, ranking first on the leaderboard in both Final columns.
提出 SLDR，用选择性层恢复与动态路由防御恶意微调
Published Oct 8
Evaluated models Llama3.1-8B-Instruct , Llama3-8B-Instruct , Qwen2.5-7B-Instruct and others4 Abstract 作者称 SLDR 能压低有害输出并保持下游效用。SLDR 是针对恶意微调的微调后防御：在已对齐模型上做有符号层探测，只在敏感分数最大与最小的两层训练 LoRA，再用 lmax 的最后 token 表示决定是否启用适配器。
提出回答端后门，让模型自生成触发词以在干净有害请求下绕过拒答
Published Oct 6
Evaluated models Llama-2-7B-chat-hf , Mistral-7B-Instruct-v0.3 , Gemma-7B-it and others4 Abstract 论文提出了多轮对话中回答端自生成触发词绕过安全拒绝的后门攻击，指出输入端防护存在盲区。
测量带后门教师经 OPD 向干净学生迁移潜伏后门
Published Oct 6
Evaluated models Qwen2.5-1.5B-Instruct , Qwen2.5-3B-Instruct , Qwen2.5-7B-Instruct Abstract 作者称 OPD 可在压低无触发词有害率时迁入后门。带后门的外部教师经 OPD，可在压低无触发词有害率的同时，把触发条件下的有害行为传给初始干净学生。 。
提出 TRACE，仅凭检查点更新审计有害合规微调目标
Published Oct 6
Evaluated models Llama-3.1-8B-Instruct , Mistral-7B-Instruct-v0.3 , Qwen3-8B and others6 Abstract 作者称有害合规 SFT 在检查点更新中留下可排序坐标，并据此做只读权重审计。作者在检查点更新里寻找有害合规 SFT 的目标组成，并把读数做成不查询模型、不看未知训练数据的审计分 TRACE。
提出 Bi-QSTO，优化能穿过质量筛选并在微调中削弱安全对齐的投毒样本
Published Oct 1
Evaluated models Llama2-7B-Chat , Llama3-8B-Instruct , Qwen2-7B-Instruct and others5 Abstract 质量筛选挡不住部分高分样本的安全削弱。Bi-QSTO 研究一个实际训练缺口：基于质量的数据选择会先于微调决定样本去留，而以往微调投毒多假设毒样本直接进入训练集。已对齐 LLM 的拒答会被少量有害或看似无害的微调样本削弱。作者用三个问题串起实验：选择能否排除毒样本。
提出 FDCU 双约束子空间投影遗忘，抵御再训练恢复有害知识
Published Sep 30
Evaluated models Qwen2.5-3B , Llama-3-8B-Instruct , Qwen-3-8B Abstract FDCU 用双掩码限制浅层抑制，在知识擦除与安全输出上提高再训练后的稳定性。FDCU 是一种约束参数更新的遗忘方法，用来降低再训练把已抑制恶意行为重新引出的可能。
提出 VaccineBooster，在对齐阶段混合嵌入扰动与梯度衰减抵御有害微调
Published Sep 29
Evaluated models Llama-2-7B Abstract VaccineBooster 把两种对齐阶段扰动合在一步里，内容更安全但拒答保留更少。VaccineBooster 是一种对齐阶段防御：在提供方还看得到训练过程、还没接触用户微调数据时，把嵌入扰动和权重级梯度衰减合成同一次更新，用来应对之后不受信任的微调。有害微调可以只混入少量有害指令-回答对，就削弱拒答并提高有害输出的可能，任务效用却仍然好看。过滤会漏掉隐蔽样本，事后修复又往往不知道该修哪里。
检验层冻结与奇异方向截断能否挡住少样本有害微调
Published Sep 29
Evaluated models Llama-3.1-8B-Instruct , Llama-3.1-Tulu-3-8B-DPO , OLMo-2-1124-7B-Instruct and others10 Abstract 定位与恢复可以复现，但知情攻击能把损伤移出冻结带，并打败跨检查点的截断修复。这篇工作检验：把拒答定位到某些层或更新方向之后，能不能在攻击者知情时还守住拒答。 。
证明预训练投毒的清洁超额风险指数随极限顺序变化
Published Sep 26
Evaluated models OLMo-style models Abstract 投毒清洁超额风险的幂指数取决于先固定宽高比还是先取充足数据极限。可解的预训练数据投毒理论：清洁超额风险的缩放指数随极限顺序改变。 。
提出 Fed-ADR，用编排服务器协同操纵梯度攻破联邦学习并检测恢复
Published Sep 23
Evaluated models CNN（MNIST：2 Conv + 3 FC） , CNN（Fashion-MNIST：6 Conv + 1 FC） , ResNet18（CIFAR-10） Abstract Fed-ADR 用 gray-box 编排攻击绕过多种聚合防御，再用 Hessian 一致性检测和窗口内恢复把准确率拉回。Fed-ADR 是一套面向联邦学习的攻击、检测与恢复框架：编排服务器改写合谋客户端的梯度，使参数服务器的现有防御把投毒更新当成良性，同时在发现后用历史梯度把全局模型原地修回来。
用 Dmax 与尾部损失评测后门修复的类别性能保持
Published Sep 22
Evaluated models ResNet18 , PreActResNet18 , VGG19-BN 提出 FreqDoor，在频域混合振幅并对生成式 VLM 做训练时视觉后门
Published Sep 7
Evaluated models BLIP-2 (opt-2.7b) , InstructBLIP (flan-t5-xl) , LLaVA (interleave-qwen) Abstract FreqDoor 用频域振幅混合给三款 VLM 植入仅视觉的训练时后门。FreqDoor 是针对生成式 VLM 的仅视觉、训练时后门：在频域混合触发源振幅、保留干净图像相位，使触发在空间上分散。
解释后验安全的权重几何脆弱性，并提出预训练持续安全共训练
Published Sep 7
Evaluated models Qwen-2.5-7B , Qwen-2.5-7B-Instruct , Llama-3-8B and others15 Abstract 论文将后验安全脆弱性归因于正交抑制，并提出通过预训练持续共训练实现具备微调抗性的安全防护。
提出 SEAL，在 MoE 共享专家上做 DPO-LoRA 对齐以抵御越狱与权重篡改
Published Sep 2
Evaluated models Qwen1.5-MoE-A2.7B , DeepSeekMoE-16B , GLM-4.7-Flash and others4 Abstract SEAL 把 DPO-LoRA 限制在混合 MoE 共享专家上，SEAL++再保护已有安全神经元方向。SEAL 是面向混合 MoE 的训练时防御：只对齐始终执行的共享专家，使安全不依赖路由器是否把 token 送到安全专家。
提出 BPI 选点算法，增强去中心化联邦学习中的模型与数据投毒
Published Sep 2 Abstract BPI 用有限轮 gossip 暴露选拜占庭集合。作者把 DFL 中“破坏哪 m 个节点”写成攻击者在固定预算下的优化问题，并用 BPI 近似有限轮内诚实节点受到的拜占庭暴露。
提出 RACER，用区域感知一致性对抗微调去除多模态大模型后门
Published Aug 25
Evaluated models LLaVA-1.5-7B , Qwen2-VL-7B , Qwen2.5-VL-7B 提出 USG，在部分保护开源权重发布时阻断有害微调梯度
Published Aug 6
Evaluated models Qwen3-14B（表中作 Qwen-14B） , Llama-3.1-8B（表中作 Llama-8B） Abstract USG 在 PPOW 下用零空间立方层阻断有害微调梯度。Unidirectional Safety Gate 是面向 PPOW 发布设定的发布时防护：大部分权重仍可训练，一小部分安全关键组件由提供者侧加固保留，下游不必配合额外安全流程。 。
构造可通过计费审计的 token 虚报，使服务商系统性超收
Published May 28
Evaluated models PALACE domain-adapted auditor Abstract 不诚实提供方可在三种 token 审计上虚报并通过检查，作者认为需改用提供方不控制的证据。不透明 LLM 的按 token 计费里，现有审计核验的是提供方可控的证据，不诚实提供方可以虚报并通过检查。 。
用代价曲线评估恶意微调防御在持续训练下的衰减
Published May 14
Evaluated models Llama-2-7B-chat , Qwen3-8B , Llama-3.1-8B-Instruct and others8 Abstract 论文指出恶意微调防御在持续训练下均会衰减，表明基于有限攻击者假设的防御无法为开源模型提供持久保护。