Translation in progress Some entries still include text in the original language.
Oct 13 · Tuesday
All papers Found 33 papers Another 213 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
Measures citation fragility in AI search, demonstrating that ordinary public posts can enter citations and answers.
Published Oct 8
Evaluated models Grok , Doubao , ChatGPT and others10 Abstract The authors claim the paper quantifies vulnerabilities in AI search caused by citation preferences and low posting thresholds; tests show public web posts can penetrate AI citations, and they call for auditing the citation supply chain.
提出 LTBD，用可学习分隔符隔离可信指令与不可信数据
Published Oct 8
Evaluated models Llama3-8B-Instruct , Llama3.1-8B-Instruct , Falcon3-7B-Instruct and others4 Abstract LTBD 只训练四个分隔符嵌入。LTBD 是一种不改基座权重的提示注入防御：只学习用来标出可信指令与不可信数据边界的四个 token 嵌入。
提出 multi-CaMeL，在智能体调用边界隔离可信指令与非可信数据
Published Oct 5
Evaluated models Claude Fable 5 , GPT-5.5 , GPT-4.1 and others6 Abstract 论文针对多智能体中单体防御不组合的边界清洗问题，提出 multi-CaMeL 协议彻底阻断了 MultiAgentDojo 上的注入攻击。
提出 MADBench，评测多智能体辩论是吸收还是放大对抗影响
Published Sep 30
Evaluated models gpt-4o , GPT-5 , GPT-6 Astra Abstract MADBench 显示辩论能吸收部分准确率攻击，同时放大未授权读写。MADBench 是一个评测多智能体辩论安全性的基准，用来看攻击是被辩论吸收还是被放大。
提出 VirusCascade，联合操纵商品描述与交互轨迹以劫持推荐智能体协同反思
Published Sep 29
Evaluated models AgentCF , AgentSEQ , AgentRAG and others4 Abstract 作者把反思写回视为推广攻击入口，并用联合操纵和诊断探针研究其持续与传播。VirusCascade 是针对推荐智能体协作反思的 black-box targeted promotion 攻击研究。 攻击者只改商品描述和少量账号的普通交互，试图让目标商品获得更多良性用户曝光。
提出双控多智能体基准 DUMA-Bench，测量对抗环境下的策略违反
Published Sep 21
Evaluated models GPT-5 , GPT-5-mini , GPT-5-nano and others14 Abstract DUMA-Bench 用双控交互评测智能体安全。DUMA-Bench 把 τ²-bench 的双控交互做成智能体安全评测，用来看策略违反如何随用户、模型和环境一起出现。
提出多智能体系统提示注入的威胁模型与四层架构防御
Published Sep 19
Evaluated models GPT-4o (2024-08-06) , Claude 3.5 Sonnet , Llama 3 70B-Instruct 提出 Provenance-Aware Transformers，隔离不可信来源防御间接提示注入
Published Sep 18
Evaluated models SmolLM2-360M-Instruct , LLaMA-3-8B-Instruct , Qwen2.5-7B-Instruct and others4 提出 ALIBI，向恶意二进制注入不执行掩护叙事使分析器误判为良性
Published Sep 17
Evaluated models Gemini 2.5 Pro , GPT-5.5 Pro , Claude Opus 4.7 Abstract ALIBI 用二进制内的掩护叙事重释可疑静态证据，Gemini 上翻转多，另两模型主要为降级。ALIBI 是针对 LLM 恶意软件分诊的语义掩护叙事攻击：不覆盖系统指令，而把仍可见的可疑静态证据重释成良性安全产品的预期行为。
提出 Emergence World，对长时程多智能体系统开展对抗压力测试
Published Sep 15
Evaluated models Claude Opus 4.8 , DeepSeek v4 Pro , Gemini 3.5 Flash and others9 Abstract 作者通过长期平行世界实验指出模型对齐不具备可组合性，单模型群体会产生社会奉承、协同退缩及语言不透明等失效。
提出 DEMI 检测框架，用生命周期模拟和证据映射发现 DAO 提案错配
Published Sep 12
Evaluated models GPT-4o , GPT-4o-mini , GPT-4.1 and others9 Abstract 作者把 DAO 错配检测做成执行前审计层，主张逐动作证据映射与风险复核是关键。这是面向 DAO 治理的执行前错配检测研究 ：攻击者可以提交看似合理的描述，但让获批载荷执行另一种行为，投票描述并不直接约束代码。
提出 GraphProfiler，用个人知识图谱从帖子历史推断敏感属性并溯源
Published Sep 11 Abstract GraphProfiler 用源链接个人知识图谱做属性推断，准确率接近文本基线，并把证据定位到少量源帖。GraphProfiler 是一个可审计的 LLM 敏感属性画像器：用源链接个人知识图谱，把推断落到具体帖子。
提出 OBELISK 三级流水线，权衡恶意软件检测的准确率、开销与鲁棒性
Published Sep 8
Evaluated models GBDT-ALL , GBDT-YARA , NEBULA-ALL and others4 Abstract 三级过滤以不大的检测损失换速度，同一机制扩大攻击面，部署应按约束选配置。OBELISK 把 Windows PE 恶意软件检测做成 YARA、EMBER-GBDT 与 Nebula 的顺序流水线，用来同时看检出、计算开销和对抗鲁棒性。
构建 COUNTER-GEO-BENCH，评测生成式搜索中的 GEO 虚假信息防御
Published Sep 2
Evaluated models Gemma-4-31B-IT , Qwen-3.5-35B-A3B , Llama-4-Scout-17B-16E and others8 Abstract 论文构建了针对 GEO 虚假信息的首个防御基准，揭示通用护栏的失效与反作用，并提出了有效的轻量对比检测基线。
提出 Mind2Web-Injection 评测网页 Agent 视觉注入护栏
Published Sep 2
Evaluated models GPT-5.6-luna , Qwen3-VL-32B , Qwen3-VL-8B and others6 Abstract 作者称检测、定位和反事实响应在六个 VLM 上可分开。Mind2Web-Injection 用来检查网页截图护栏的判决是否对齐到该用的画面证据。 。
提出 LongPIBench，评测长文档场景下的提示注入攻击与防御
Published Aug 28
Evaluated models Llama-3.1-8B-Instruct , Llama-3.2-3B-Instruct , Apertus-8B-Instruct and others11 Abstract 论文构建长文本提示注入基准 LongPIBench，揭示启发式与优化攻击在长文档中的高有效性及现有防御的大幅失效。
提出 GEOFlagBench 与 IPT，检测并测量生成式引擎优化网页
Published Aug 18
Evaluated models ModernBERT-base , Qwen3-0.6B , Gemini-3.5-flash and others11 Abstract GEOFlagBench 与 IPT 用于检测 GEO 页，并估计真实检索中的占比与引用可核验性。GEO-Flag 把页面级 GEO 检测做成可评测任务，并在发布的检索结果上估计被判为 GEO 的页面占比。
提出分片监督，将评判标准分配给独立调用以抵御展示攻击
Published Aug 6
Evaluated models Claude Opus 4.8 , Claude Sonnet 4.6 , Claude Opus 4.6 and others4 Abstract 论文揭示决策负载是大模型监督的独立瓶颈，提出分片与辩论机制有效分离注意力与平衡证据，在多项高难度基准上实现稳健评判。本文系统研究了大语言模型在执行多标准监督与评判时的决策负载瓶颈及其安全风险。
提出多智能体流水线的边界攻击，使对抗内容作为可信输入跨层传播
Published Aug 1
Evaluated models GPT-5-mini , Claude Sonnet 4.5 , Kimi K2.5 Abstract 缺边界校验使对抗内容跨智能体传播，作者称这是架构属性而非模型能力。作者把多智能体 LLM 流水线的对抗问题定义为缺少边界校验，并用生产轨迹和受控实验检查脆弱性来自架构还是骨干模型。中间输出未经验证就传给下游。作者认为，一旦某级接受对抗内容，后续智能体会把它当作可信输入。
提出对抗重构，仅改表述以拉高 AI 审稿分数
Published Jun 11
Evaluated models Claude Sonnet 4 , Claude Sonnet 4.5 , GPT-5-mini Abstract 揭示 AI 审稿系统易受纯表述重构操纵，建议在部署前解耦科学与写作评价。