Translation in progress Some entries still include text in the original language.
Oct 12 · Monday
Defenses and guardrails · Papers
Found 70 papersProposes ReSI, which recursively improves model safety alignment using automatic red teaming and recipe search.
- Published
- Evaluated models
- Qwen3.6-27B, Ministral-3-14B-Reasoning-2512, DeepSeek-V4-Flash-0731 and others4
提出 GUISE 基准与 AXIS 训练，防御叙事包装越狱
- Published
- Evaluated models
- Qwen3-1.7B, Qwen3-4B, GLM-4-9B
AbstractGUISE 分开测包装与语域。
作者测量叙事包装下的拒答失效，并训练一个在未见包装上拒绝、同时仍回答同风格良性请求的适配器。问题是：安全对齐模型拒绝直说的有害请求，却回答嵌进角色或叙事里的同一请求。文言文被用来把语域和包装拆开。
提出 SafeBridge，对齐循环语言模型不同循环深度的安全性
- Published
- Evaluated models
- Ouro-1.4B, Ouro-2.6B
提出 Safety-Aware Pruning，缓解视觉 token 剪枝放大的多模态越狱
- Published
- Evaluated models
- LLaVA-1.5-7B
Abstract剪枝去掉背景 token 后注意力塌向恶意前景。
这篇工作评估视觉 token 剪枝如何改变 VLM 在多模态越狱下的行为，并给出推理时防御 SAP。
用 SafeEvo 提取拒绝电路，并提出 SCA 仅微调该电路
- Published
- Evaluated models
- Llama-3-8B, Qwen-2.5-7B, Mistral-7B-v0.1 and others4
AbstractSafeEvo 识别出基座模型中存在的弱安全电路及其演化动态，据此提出的 SCA 算法实现了安全对齐、能力保留与低过度拒绝的平衡。
提出 Persist-3 序贯检验，从隐藏表示识别未见越狱源
- Published
- Evaluated models
- Llama2-7B-chat, Qwen2.5-7B-Instruct, Gemma-2-9B-it and others4
AbstractPersist-3 用有限窗口检验攻击流是否超出已知越狱源，检出率低于全历史 SR-DKW，但决策只依赖最近观测。
Persist-3 是一个有限记忆的序贯检测器，用来判断攻击表示流是否已经不能由任何一个已知越狱源解释。。
提出 ASCENT，在效用微调中做一阶安全校准并只压制负贡献更新
- Published
- Evaluated models
- Qwen2.5-7B-Instruct, Llama-3.1-8B-Instruct, Gemma-3-12B-it and others4
AI summary研究者提出一种轻量级路由 logits 安全检测器，在提示词预填充阶段读取 MoE 视觉语言模型的专家路由信号，在生成前判断多模态请求是否安全，且不修改模型参数或专家路由。
- Published
- Evaluated models
- Qwen3-VL-30B-A3B-Instruct, Kimi-VL-A3B-Instruct
Abstract读出而非操纵 router logits，可在不改模型的情况下降低两模型的组合式安全错误。
作者在两个指令微调 MoE VLM 上比较改模型与读路由。组合式风险按 HoliSafe 分成五类：图文各自可安全，合在一起才不安全，或不安全内容只在图像里。
提出 LADE，用首 token 暗知识在生成前过滤越狱查询
- Published
- Evaluated models
- Llama-2-7B-Chat, Llama-3-8B-Instruct, Qwen2-7B-Instruct and others13
Abstract作者用 LADE 在生成前过滤有害查询，并称八个模型中六个的 Held-out 平均最好。
LADE 是一种只读首 token 输出概率的防御，用来在生成前挡下可能引出有害回复的查询。
提出融合定位拒答与能力保留的安全微调，补齐视觉定位输出的拒答缺口
- Published
- Evaluated models
- Claude Sonnet 4.6, Gemini 3.5 Flash, Molmo2-8B and others5
Abstract论文揭示了 VLM 定位安全落后于 VQA 的对齐断层，提出三成分微调方案有效弥合差距并保留定位能力，表征分析揭示了对齐机制。
提出审计感知遗忘框架 AVCE，从文本与视觉通路擦除扩散模型概念
- Published
- Evaluated models
- Stable Diffusion XL (SDXL), Stable Diffusion v1.5 (SD v1.5), Flux 1.0
AbstractAVCE 在审计锚点上改两条注意力通路。
AVCE 是面向扩散模型的概念擦除方法，要让擦除经得起绕过文本条件的潜空间审计，而不只是挡住对抗提示词。
形式化 watchman 防御以阻止序贯马赛克攻击
- Published
- Evaluated models
- Qwen3.6-35B-A3B, Gemma-4-26B-A4B-it, DeepSeek-V2-Lite (16B-A2.4B)
Abstractwatchman 理论给出零失败且有用的条件。
这篇工作同时给出序贯马赛克防御的博弈理论，以及冻结 LLM 上的分角色自博弈训练。
提出 SSRFT，用角色监督内化安全原则以替代拒答式对齐
- Published
- Evaluated models
- Qwen2.5-3B, Gemma2-2B, Llama3.1-8B and others6
AbstractSSRFT 用角色监督替代拒答中心对齐。
SSRFT是一种用监督微调把预定义安全角色写进参数的安全对齐方法。作者称它是首个以安全角色内化本身为对齐目标的框架。
提出 EmoRSS，推理时在拒绝子空间反向抵消情绪激活偏移以缓解过度拒答
- Published
- Evaluated models
- Llama-3.1-8B-it, Qwen3-8B
提出 Prefix Steering，以短前缀激活引导控制行为并保住能力
- Published
- Evaluated models
- OLMo 3 7B, OLMo 3 32B, Qwen3 1.7B and others4
Abstract短前缀 steering 用已有方向做短暂干预。
本文用注意力层匹配连接提示词与激活干预，并把干预改成从末提示词 token 开始的短前缀。
提出生成时防御 SENTINEL，匹配输入输出以抽出越狱意图并停写
- Published
- Evaluated models
- Llama2-7B, Llama3-8B, Mistral-7B-v0.2 and others6
提出 Target-free LAT，用无目标多方向潜干预做对抗安全对齐以抵御越狱
- Published
- Evaluated models
- Qwen2.5-7B-Instruct, Llama-3-8B-Instruct, Mistral-7B-Instruct-v0.2
AbstractTarget-free LAT 用无目标多方向潜干预扩大行为覆盖，作者称能提高越狱鲁棒性并保住效用。
Target-free LAT 是一种不监督有害输出的潜空间对抗对齐。它要处理的问题是：现有 LAT 每步大多只造一种有害行为，对不上真实越狱里的直接遵从、角色扮演、编码和多语言等模式。
提出收缩约束 SSM 安全头，认证嵌入扰动并检测越狱
- Published
- Evaluated models
- ToySSMClassifier, S4 safety head
Abstract收缩给出玩具 LTI 的有界认证。
给 SSM 安全头一个收缩条件，并在越狱检测上使用收缩正则的 S4 头。。
提出 DNAlign，在不改权重的推理期用零空间约束控制信号做安全对齐
- Published
- Evaluated models
- Vicuna-7B, Qwen-7B
AbstractDNAlign 用零空间约束的推理期控制做安全对齐，Table I 平均奖励高于所列基线。
DNAlign 是一个不改 LLM 参数的安全对齐框架，用来在推理时压低有害输出，并减少对中性知识所支持的流畅、事实回答的改动。
用分类后缀提升激活探针对分布外恶意输入的检测
- Published
- Evaluated models
- Llama-3.1-8B, Qwen3.5-9B, Gemma-4-12B
Abstract作者称排序增益来自分类格式，低 FPR 精度来自点名准则。
用户轮后的分类后缀，被作者用作激活探针的分布外检测干预：排序看格式，低 FPR 精度看是否点名恶意/良性。