Translation in progress Some entries still include text in the original language.
Oct 13 · Tuesday
All papers Found 22 papers Another 213 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
Proposes the semantic watermark SemField, which still identifies the attribution of generated text after paraphrasing and structural changes.
Published Oct 8
Evaluated models Llama-3.2-1B , Qwen3-1.7B , OPT-1.3B Abstract Training-independent document-level semantic watermark.SemField is a zero-bit semantic watermark embedded by the provider at generation time and detected later with a key, used to identify the provider's own model text after paraphrasing and sentence-level structural changes.
提出 CredLeak-Bench，评测 Agent 面对钓鱼的凭据泄露与恢复
Published Oct 6
Evaluated models Claude Sonnet 5 , Claude Opus 4.8 , Gemini 3.6 Flash and others7 把 SynthID 嵌入基因组语言模型采样，并用位置无关检测追溯生成序列
Published Oct 4
Evaluated models Carbon-500M , GENERator-v2-eukaryote-1.2b-base Abstract 两个六碱基基因组模型嵌入 SynthID 后，位置无关验证能找回水印，作者称这只是统计检测。作者在两个六碱基基因组模型的采样里嵌入 SynthID，并让验证者在不知道起点、链和 token phase 时做一次校正后的检出。
提出抗删除水印 RMCW，在生成时注入 Reed-Muller 结构并做局部检验
Published Oct 2
Evaluated models OPT-1.3B , Llama-3.1-8B-Instruct 提出 ZoneClaw，用记忆分区防御计算机使用 Agent 的持久记忆攻击
Published Oct 1
Evaluated models Claude Sonnet 4.6 , GPT-5.5 , GLM-5.2 and others4 提出 MADBench，评测多智能体辩论是吸收还是放大对抗影响
Published Sep 30
Evaluated models gpt-4o , GPT-5 , GPT-6 Astra Abstract MADBench 显示辩论能吸收部分准确率攻击，同时放大未授权读写。MADBench 是一个评测多智能体辩论安全性的基准，用来看攻击是被辩论吸收还是被放大。
提出 VirusCascade，联合操纵商品描述与交互轨迹以劫持推荐智能体协同反思
Published Sep 29
Evaluated models AgentCF , AgentSEQ , AgentRAG and others4 Abstract 作者把反思写回视为推广攻击入口，并用联合操纵和诊断探针研究其持续与传播。VirusCascade 是针对推荐智能体协作反思的 black-box targeted promotion 攻击研究。 攻击者只改商品描述和少量账号的普通交互，试图让目标商品获得更多良性用户曝光。
提出 AutoMark，自动搜索并统计检验 LLM 文本水印
Published Sep 29
Evaluated models Llama-3.1-8B-Instruct , Qwen3.8-27B , GPT-6 Astra and others5 Abstract AutoMark 的贡献同时包含搜索出的水印，以及用于约束自动研究误报与评测漏洞的验证框架。AutoMark 是一套自动水印研究框架 ：先检查生成分布和误报性质，再比较检测、编辑鲁棒性与质量，最后人工分析组件并做留出评测。
提出成对无失真水印 TTMARK，增强低熵下的机器文本检测
Published Sep 29
Evaluated models Llama3.2-3B-Instruct , Mistral-v0.3-7B-Instruct , Qwen2.5-7B-Instruct Abstract TTMARK 用水印化相邻 token 对利用条件熵，在多种无失真方案上提高检测并保持生成质量。TTMARK 是一种成对、无失真的文本水印：对相邻 token 的联合分布重加权，而不是逐 token 独立重加权。
提出双控多智能体基准 DUMA-Bench，测量对抗环境下的策略违反
Published Sep 21
Evaluated models GPT-5 , GPT-5-mini , GPT-5-nano and others14 Abstract DUMA-Bench 用双控交互评测智能体安全。DUMA-Bench 把 τ²-bench 的双控交互做成智能体安全评测，用来看策略违反如何随用户、模型和环境一起出现。
提出多智能体系统提示注入的威胁模型与四层架构防御
Published Sep 19
Evaluated models GPT-4o (2024-08-06) , Claude 3.5 Sonnet , Llama 3 70B-Instruct 提出 Emergence World，对长时程多智能体系统开展对抗压力测试
Published Sep 15
Evaluated models Claude Opus 4.8 , DeepSeek v4 Pro , Gemini 3.5 Flash and others9 Abstract 作者通过长期平行世界实验指出模型对齐不具备可组合性，单模型群体会产生社会奉承、协同退缩及语言不透明等失效。
提出 DenMark，在扩散语言模型去噪时注入可抵抗保义编辑的语义水印
Published Sep 13
Evaluated models LLaDA-8B , LLaDA1.5-8B , LLaDA2.0-mini and others4 Abstract DenMark 用 rollout 在 DLM 去噪中累积语义水印，扫描检测以抵抗保义编辑。DenMark 是面向扩散语言模型的语义水印：在去噪的局部更新里注入密钥相关语义信号，并在编辑改变 token 边界后仍检测。现有句子级语义水印要先完成整个语义单元再打分取舍，而 DLM 以任意顺序更新掩码，中间单元不完整。DenMark 把续写划成固定 token 区域，对每个局部候选做不提交的 rollout 补全，按语义分 gb 的平均选择更新，从而沿轨迹累积证据。
提出 Cocktail 水印，共嵌稳健与脆弱信号以溯源并发现篡改
Published Aug 13
Evaluated models Llama-3.2-1B , Gemma-3-4B 提出 EXE-Bench 比较 Windows 恶意软件检测器的可用性权衡
Published Jul 27
Evaluated models EmberGBDT , BBDnn , BBDnnFDRS and others15 Abstract 统一四指标后，手工特征的 EmberGBDT 综合居首，只看准确率会误导部署。EXE-Bench 用同一设置给 AI Windows 恶意软件检测器做四指标排序，而不是只比一次测试集准确率。 。
提出 WebTrap 三阶段陷阱，中途劫持浏览器 Agent 完成攻击后再返回用户任务
Published May 8
Evaluated models DeepSeek-V3.1-Terminus , Gemini-2.5-Flash , GLM-4.5-Air and others5 Abstract WebTrap 把攻击目标嵌进用户流程中途执行再返回。WebTrap 是针对长程网页与文件导航的中途劫持注入，目标是在完成攻击动作后仍回到用户任务。
Proposing a lineage-graph governance layer to suppress error cascades in multi-agent collaboration
Published Mar 4 Abstract A single seed can solidify into a false consensus along a fixed collaboration graph.The authors turn "small errors becoming collective false consensus" in LLM-MAS into a measurable propagation on a graph, and use a plug-in that only changes messages, not topology, to reduce the final infection.
提出 LODO 评测恶意提示探针的跨数据集泛化
Published Feb 15
Evaluated models Llama-3.1-8B-Instruct , Gemma-3-27B , Qwen-3.5-4B and others5 Abstract 作者称 LODO 露出 CV 高估，数据集身份与安全方向部分重叠，标准域泛化干预关不上。LODO 用来检查恶意提示词分类器换成没见过的数据集后，还剩多少检测能力。 。
提出 AgentLeak 基准，测量多智能体内部通道隐私泄露
Published Feb 12
Evaluated models GPT-4o , GPT-4o-mini , Claude-3.5-Sonnet and others5 构建 TRAP 基准，评测网页 Agent 被界面提示注入劫持任务的情况
Published Dec 29, 2025
Evaluated models GPT-5 , Claude Sonnet 3.7 , Gemini 2.5 Flash and others6 Abstract 论文提出了基于五维模块化攻击空间的 TRAP 基准，评估了六个模型在真实网页环境中的注入风险。研究定位 ：针对网页自主智能体易受外部界面提示注入攻击的问题，构建了基于真实网站克隆的模块化评测基准 TRAP。