Another 240papers do not have category tags yet and are not included in filtered results.
提出 A2A-TIBA，经 A2A 对等任务间接注入并植入常驻回调
A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
评测多轮对话中 GradSafe 越狱检测的可分性与脆弱性
作者评估梯度越狱检测从单条提示词迁到多轮对话后还剩多少可分性，方法是用 Context Window Scanner 把 GradSafe 原封不动地套到用户轮窗口上。
提出 MIPC 与 CFA，观察模型自拟测验后接受开发者身份
这项工作把“模型自己出题、自己批改、再宣布身份已核验”定义成对话层认证失败，并与后端提权分开。
提出多轮越狱框架 BLUEPRINT，用世界观模拟与心理因素诱导有害输出
BLUEPRINT 是一个将因子化社会影响力策略空间与跨轮世界观模拟解耦的多轮大语言模型安全评测框架。
提出面向意图的多轮 LLM 越狱分类体系
这是一篇关于多轮 LLM 越狱的 SoK：按有害意图在交互中的组织位置分类，而不是按单步提示技巧分类。
提出生物红队模型 Intern-BioBreaker，多轮越狱诱导模型输出可操作生物危害
Abstract论文通过构建专用红队模型评估前沿大模型的生物安全漏洞与物理转化风险。
提出 SMT 框架，用模拟审核轨迹越狱函数调用 LLM
提出 AdvGRPO，用 GRPO 闭环共训多轮越狱攻击者与防御者
构建 MultiTurnPSB，评测四轮医疗越狱与分类器输入防御
MultiTurnPSB 针对患者端医疗大模型在持续交互中的安全风险，构建了包含三种攻击模态的四轮对抗评测基准。
提出 Persona Attack，分步写入对话记忆指令以越狱
提出多轮意图欺骗越狱 iDecep，用良性意图伪装引出有害内容
iDecep 是一种黑盒多轮越狱：用表面良性的意图维持与恶意目标贴近的对话，并单独计入 safe completion 替代内容中的有害信息。。
Proposes the STAR multi-turn role-playing framework, which bypasses safety alignment through dialogue state evolution
Using ADVERSA to measure guardrail degradation and reviewer reliability under multi-turn attacks
ADVERSA is an automated multi-turn red-teaming measurement framework that records guardrail behavior as per-turn compliance trajectories and simultaneously measures whether reviewers agree. The problem it addresses: single-turn binary pass/fail cannot show how safety properties change under sustained adversarial pressure, nor can it separate gradual refusal consolidation from stable scores. The authors argue that real-world adversaries rewrite and persist over multiple turns.
提出 FERRET 框架，用扩展生成多轮多模态越狱对话
提出 MAPA 多轮自适应提示攻击，交替文本与视觉动作越狱视觉语言模型
提出 MM-Plan 多模态越狱框架，自动规划多轮图像编辑以越狱视觉独占目标
MM-Plan 是面向 Visual Exclusivity 的 black-box 多模态红队方法，并配有人工基准 VE-Safety。
提出 JustAsk，用在线技能选择提取模型系统提示词
提出 ICON 多轮越狱，用意图-上下文先验生成攻击序列
提出知识驱动多轮越狱 Mastermind，用策略知识闭环攻击对齐模型
提出多轮多模态越狱，并用 FragGuard 拦截有害响应