Translation in progress Some entries still include text in the original language.
Oct 12 · Monday
All papers Found 26 papers Another 233 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
提出零空间激活引导 Nullify，免训练擦除指定记忆并保持效用
Published Oct 8
Evaluated models Llama-2-7B-chat-hf , Qwen3-8B 提出 TRACER，从权重差识别扩散模型被擦除概念
Published Oct 5
Evaluated models Stable Diffusion v1.5 , Stable Diffusion 3 , FLUX.1 and others5 Abstract TRACER 用权重足迹识别未披露擦除概念并估计个数，作者称数秒内完成且准确率高于对照。TRACER 针对的是遗忘扩散模型上的目标识别：提供者从公开基座 W 用已发表方法擦掉未知集合 S⋆，只发布 W′。攻击者还有假定包含这些概念的词表，但不知擦了谁、擦了几个、用了什么算法。
提出 UnAct，仅以前向激活干预从分类器中遗忘指定类别
Published Oct 3
Evaluated models ResNet-18 , ViT-B/16 Abstract UnAct 用前向激活做类别遗忘。UnAct 是一种事后类别遗忘：删除请求可以只有少量该类图像，且没有标签和保留数据。它不用梯度，只对遗忘图像做前向。编辑对象是分类器所读的后期单元。
提出基准 OLMo-Detect 评测 LLM 成员推断
Published Oct 2
Evaluated models OLMo 2 1B , OLMo 2 7B , OLMo 2 13B and others9 提出用扰动蒸馏本地代理并离线过滤来提取黑盒模型凭据
Published Sep 29
Evaluated models DeepSeek-Coder-7B , LLaMA-3-8B , Qwen2.5-Coder-7B and others6 Abstract 论文提出扰动蒸馏与离线过滤两阶段框架，实现了 output-only 访问下延迟降低的黑盒大模型 API key 提取。
提出用邻居分数替代参考模型的单轮成员推断
Published Sep 29
Evaluated models 目标分类模型（架构与训练流程遵循 Aerni et al.） Abstract 邻居查询在单模型上恢复逐样本校准，合成邻居加早期检查点最接近 LiRA。本文研究 one-round 成员推断 ：只有一个目标模型、不能再训练参考模型时，如何仍做逐样本校准，并用于单次运行的 DP 审计。
提出 Leaky，用新鲜轨迹的 token 对数概率差推断 OPD 训练记录成员身份
Published Sep 27
Evaluated models Qwen3-1.7B , Qwen3-4B , Qwen3.5-2B and others5 提出 SCALPEL，用对比 SAE 在表征层选择性遗忘特定事实
Published Sep 25
Evaluated models Qwen2.5-1.5B-Instruct , Llama-3.2-1B-Instruct , Gemma-2-2B-it Abstract SCALPEL 以对比稀疏特征做窄目标表征遗忘，在 TOFU 上与优化基线相当且可检查。SCALPEL 是不改基座权重的表征层遗忘方法，面向与保留数据重叠的窄目标。
提出 GUARD，在零样本 TTS 上用激活转向遗忘说话人身份以阻止再识别
Published Sep 23
Evaluated models CosyVoice2-0.5B , F5-TTS , FireRedTTS Abstract GUARD 用门控激活转向把退出说话人推向冒充相似度，以抑制再识别并保住音质。GUARD 用门控激活转向做说话人身份遗忘，使零样本 TTS 对退出说话人难以再识别。
提出 ARIA，在冻结权重上用 SAE 做推理时遗忘门控
Published Sep 15
Evaluated models DeepSeek-R1-Distill-Qwen-1.5B , Gemma-3-1B-it 提出 RAPID，离线把抗蒸馏扰动写入文生图解码器
Published Sep 15
Evaluated models PixArt , SSD , SDXL and others4 检验权重谱度量能否代理成员推断泄漏
Published Sep 11
Evaluated models MLP-1×4096 , MLP-2×1024 , MLP-2×2048 and others11 Abstract 作者认为谱度量与泛化差距互补，有望用于无数据的模型级筛查。作者在 MLP 上检查 WeightWatcher 谱统计是否与 online LiRA 同向，以便不看数据、不训练 shadow 模型就做模型级成员风险筛查。放出前的审计要知道训练成员会不会被认出来。LiRA 依赖大量 shadow 模型，候选一多就难以逐个跑。
提出 Collapse，从端侧混淆暴露视图抽取高效用替代模型
Published Sep 9
Evaluated models BERT-Base , ViT-Base , Qwen2.5-0.5B and others4 Abstract Oprior 是四原语复合的安全边界，Collapse 利用列方向泄漏抽取替代模型，Oext 只被同一攻击评测。这篇工作用代数原语统一若干 TEE 卸载混淆，给出该族的典范边界，再说明该边界挡不住一种分阶段模型抽取。 。
系统比较解释获取路径下的抽取、成员推断与反演
Published Sep 9 提出严格黑盒成员推断 WPMIA，用采样估计词级概率判断训练成员
Published Sep 8
Evaluated models OPT-6.7B , Pythia-6.9B , LLaMA-13B and others12 Abstract WPMIA 从续写估计词级似然并对比前缀，黑盒上多数优于所列基线。WPMIA 是面向严格黑盒的 LLM 预训练数据成员推断：攻击者只能看到文本续写。
提出 PMA，用流形对齐从 E2EO 混淆向量恢复明文
Published Sep 7
Evaluated models BERT-base , RoBERTa-base , T5-base and others6 证明量子原生访问会增强量子模型的成员推断优势
Published Sep 5
Evaluated models 4-qubit 24-parameter QNN（PennyLane 模拟，目标与影子模型同结构） Abstract 量子原生访问使 QNN 成员推断优势按 C⪯M⪯Q 增加，有限影子模型留下可上界的经验差距。作者研究 量子原生访问 下 QNN 的成员推断：对手不再只拿到固定测量的经典比特。
提出针对微调 TTS 的黑盒成员推断攻击
Published Sep 2
Evaluated models CosyVoice2 , F5-TTS , XTTS-v2 Abstract 黑盒 TTS 成员推断以 recitation 加分层语音表示为分数，说话人级强于记录级，DP-SGD 可压到随机附近。作者给出一个针对微调文本转语音模型的黑盒成员推断框架，分别审计说话人是否进入微调集，以及某一条文本–音频记录是否进入微调集。微调 TTS 以合成文本和参考语音双条件生成，既有生成模型 MIA 的单条件查询和图像/文本上的逐点比较不能直接套用。作者用 scorable extent 与 memorization elicitation 比较五种查询，认为只有 recitation（用目标转写和干净目标语音要求模型复现）同时满足两条，并把它作为主查询。
提出 Q-SKEW，利用 token 级记忆不对称推断微调扩散语言模型的成员
Published Sep 1
Evaluated models LLaDA-8B-Base , LLaDA-8B-Instruct , Dream-Base-7B and others4 Abstract Q-SKEW 用 token 损失差的右偏区分微调 DLM 成员，并可辅助 PII 排序。Q-SKEW 是针对微调扩散语言模型的 gray-box 成员推断指标，依据是 token 记忆增益随掩码率下降而增大、成员序列因此右偏。 。
测量思维链将提示中 PII 复述进轨迹的泄漏并评测轻量检测器
Published Mar 6
Evaluated models Llama 3.3:70B , Claude Opus , Mixtral 8×22B and others7 Abstract 作者称 CoT 抬高逐字泄漏且随模型与预算而变，检测器也需按模型选择。在“不要复述 PII”的输出策略下，本文用 black-box 协议测量提示词中的 PII 被写回 CoT 与答案的情况，并比较轻量 gatekeeper。