Translation in progress Some entries still include text in the original language.
Oct 12 · Monday
All papers Found 25 papers Another 305 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
Measures citation fragility in AI search, demonstrating that ordinary public posts can enter citations and answers.
Published Oct 8
Evaluated models Grok , Doubao , ChatGPT and others10 Abstract The authors claim the paper quantifies vulnerabilities in AI search caused by citation preferences and low posting thresholds; tests show public web posts can penetrate AI citations, and they call for auditing the citation supply chain.
提出临时可见性协议，限制持续摄入 RAG 向量库的投毒暴露
Published Oct 5 Abstract 用截止期限制未核验可见时长。这篇工作给持续摄入的 RAG 向量库一个失败关闭的临时可见性协议，把协议能限制的未核验暴露和依赖检测器的中毒暴露分开。
提出 HDI 攻击以篡改 GraphRAG 辅助结构破坏检索
Published Oct 2
Evaluated models Microsoft GraphRAG , HippoRAG2 Abstract 论文形式化了 GraphRAG 辅助模式级实体攻击面，提出 HDI 攻击并验证其攻击效果。
提出 MADBench，评测多智能体辩论是吸收还是放大对抗影响
Published Sep 30
Evaluated models gpt-4o , GPT-5 , GPT-6 Astra Abstract MADBench 显示辩论能吸收部分准确率攻击，同时放大未授权读写。MADBench 是一个评测多智能体辩论安全性的基准，用来看攻击是被辩论吸收还是被放大。
用因果激活修补定位模型服从提示注入的决策层
Published Sep 29
Evaluated models Qwen3-4B , Qwen3-14B , Qwen3-32B and others7 Abstract 合规的因果杠杆集中在网络后三分之一的低秩子空间，该层也是混淆下检测最好的位置。这篇工作用逐层激活修补定位提示注入合规发生在网络何处，并把该位置用于检测验证。 。
提出 LENS，构造集合级 RAG 语料投毒以导向预设答案
Published Sep 28
Evaluated models Qwen3.6-35B-A3B , Llama-3.1-70B-Instruct , DeepSeek-V4-Pro 提出 Provenance-Aware Transformers，隔离不可信来源防御间接提示注入
Published Sep 18
Evaluated models SmolLM2-360M-Instruct , LLaMA-3-8B-Instruct , Qwen2.5-7B-Instruct and others4 提出神经符号纵深架构，阻断 AI-SOC 的日志投毒与间接提示注入
Published Sep 10
Evaluated models Gemma 3 (12B) 提出 CodePoisonRAG，对检索增强代码生成的知识库投毒以植入漏洞
Published Sep 3
Evaluated models Qwen 3.5 9B , Code Llama 13B , DeepSeek-Coder-V2 16B Abstract CodePoisonRAG 展示了 RACG 外部知识库的新攻击面，在较低投毒率下可定向诱发指定漏洞并部分抵御防御。
构建 COUNTER-GEO-BENCH，评测生成式搜索中的 GEO 虚假信息防御
Published Sep 2
Evaluated models Gemma-4-31B-IT , Qwen-3.5-35B-A3B , Llama-4-Scout-17B-16E and others8 Abstract 论文构建了针对 GEO 虚假信息的首个防御基准，揭示通用护栏的失效与反作用，并提出了有效的轻量对比检测基线。
提出类型化溯源与断言护栏，约束持久 Agent 释放自传断言
Published Sep 2 提出 VerTox，用可验证奖励强化学习生成误导文档并投毒检索语料
Published Sep 1
Evaluated models SimLM-base , BGE-base , Cohere-embed-english-v3.0 and others8 Abstract VerTox 以可验证奖励微调小 LLM，生成能抬高排序并腐蚀事实的投毒文档。VerTox 用可验证奖励把小 LLM 微调成语料投毒生成器，用来探测神经排序器在注入文档下的暴露面。
用 MisKnow-Agent 评测深度研究智能体是否采纳误导文档结论
Published Jul 23
Evaluated models DeerFlow , WebThinker , Gemini Deep Research and others6 Abstract 论文通过 MisKnow-Agent 框架评估发现长程研究智能体易采纳误导性知识，且现有防御难以完全消除该现象。
提出 LogInject 框架，评测日志分析中的被动提示注入及缓解
Published Jul 16
Evaluated models GPT-4o , Claude 3.5 Sonnet , Llama-3-70B-Instruct Abstract 论文评估了 LLM 日志分析中的上下文污染风险，提出分片拼接等攻击与三层防御，指出必须结合架构隔离与人工介入。
提出策略 RAG 的知识库投毒攻击与检测防御 CLD-KB
Published Jul 6
Evaluated models Llama 3.2 提出 KidnapRAG，用投毒文档黑盒劫持 Agentic RAG 的推理链
Published Jul 1
Evaluated models Qwen2.5-32B-Instruct , Llama-3.3-70B-Instruct , QwQ-32B and others5 Abstract 顺序投毒可把多步推理拖向指定应答，作者称关键在持续引导而非单次注入。KidnapRAG 是针对 Agentic RAG 的 black-box 语料投毒：攻击者不能访问模型、提示词、检索器或私有轨迹，只能发布可能被检索的文档，并利用公开界面上的推理与搜索查询。
提出 CRCP 框架，优化分块与重排下的 RAG 语料投毒
Published Jun 9
Evaluated models GPT-4o , DeepSeek-R1 , Qwen3-Max and others11 Abstract CRCP 把投毒做成多阶段一致性问题。CRCP 研究的是带分块和重排的 RAG 语料投毒，而不是只提高文档级检索分数。
提出 Ghostwriter 攻击，用伪权威证据条件注入操纵模型观点
Published Jun 4
Evaluated models GPT-4o , Claude-3.7-Sonnet , DeepSeek-V3 and others10 Abstract 作者称攻击未被消除。Ghostwriter 是一种针对上下文窗口的观点引导攻击：把误导陈述改写成伪权威文本，再在相关查询中让目标模型把该观点写进回答。
提出 DiscourseFlip，用有限文档投毒操纵黑盒 RAG 的话语级观点
Published May 31
Evaluated models Llama3.1-8B-Instruct , Qwen3-8B-Instruct , BGE and others5 Abstract DiscourseFlip 按语义图分配投毒预算。DiscourseFlip 是针对黑盒 RAG 的话语级观点操纵。作者要处理的缺口是：只打单条查询或主题局部查询时，覆盖窄，目标受审查时容易被隔离，也难沿相关话题传播。攻击者不能看检索器或 LLM 内部，也不能改提示词模板，只能在文档数、生成 token 和 SEO 编辑距离限制下注入少量文档。
提出 AdversarialCoT 单文档检索投毒以操纵 RAG 推理答案
Published Apr 14
Evaluated models DeepSeek-R1 , Qwen3 , GLM4.5 and others5