Translation in progress Some entries still include text in the original language.
Oct 12 · Monday
All papers Found 21 papers Another 265 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
评估应用决策层的输入注入与隐私推断风险
Published Oct 4
Evaluated models Jev , NanoJev Abstract Jev 的类型化决策可被输入与训练操纵，也会泄露信息，并同时支持检测与滥用。Jev 是 TypeSafe 的 System One 模型，把应用 state 和固定问题变成 Choice、Noul 或 Score 的类型化决策与概率。作者用官方 API 和可改训练的 NanoJev，考察它作为决策层时的操纵、泄露与双重用途。
消融比较方言越狱中表层形式、文化框架与策略库的作用
Published Sep 15
Evaluated models GPT-4o , DeepSeek-Reasoner , DeepSeek-Chat 提出 SAST-IR，用有状态攻击者迭代说服无记忆模型接受反事实
Published Sep 15
Evaluated models DeepSeek-Chat 提出内容不变样式包装，翻转安全评审器的判定
Published Sep 8
Evaluated models GPT-4o-mini (gpt4o) , GPT-4o-mini (strongreject) , DeepSeek-Chat and others7 Abstract 论文揭示特定安全评审器易受保持内容不变的外层包装诱导改变判定，并指出安全评估应将判定稳定性作为重要考量指标。这是一项关于大语言模型自动化安全评审系统表面样式脆弱性的评估研究。
提出 MIPC 与 CFA，观察模型自拟测验后接受开发者身份
Published Sep 3
Evaluated models ChatGPT , Claude , Qwen3.7-Plus and others5 Abstract 自拟测验可造成对话层虚假认证，但所测授权边界并未因此改变。这项工作把“模型自己出题、自己批改、再宣布身份已核验”定义成对话层认证失败，并与后端提权分开。
提出多轮越狱框架 BLUEPRINT，用世界观模拟与心理因素诱导有害输出
Published Sep 2
Evaluated models Qwen3-Next-80B , DeepSeek-V3.2 , GLM-4.7 and others6 Abstract BLUEPRINT 解耦多轮越狱策略与情境模拟，揭示任务具象化是摆脱拒绝的核心机制，为多轮安全防御提供新视角。BLUEPRINT 是一个将因子化社会影响力策略空间与跨轮世界观模拟解耦的多轮大语言模型安全评测框架。
提出 RolePlay 框架，用人设条件放大 LLM 单次推理开销
Published Jul 29
Evaluated models DeepSeek-V4-Pro , Gemini-3.5-Flash , Qwen-3.5-Plus and others5 提出 Concept2Scenario，借助内部概念归因发现可迁移的越狱场景
Published Jul 26
Evaluated models Qwen3.5-9B , Llama-3.1-8B , Ministral-3-8B and others6 Abstract 该研究从表征空间因果归因揭示场景削弱拒绝的机制，发现可复用脆弱场景先验，提升多模型黑盒越狱效能与探索速度。
提出 Ghostwriter 攻击，用伪权威证据条件注入操纵模型观点
Published Jun 4
Evaluated models GPT-4o , Claude-3.7-Sonnet , DeepSeek-V3 and others10 Abstract 作者称攻击未被消除。Ghostwriter 是一种针对上下文窗口的观点引导攻击：把误导陈述改写成伪权威文本，再在相关查询中让目标模型把该观点写进回答。
提出 Persona Attack，分步写入对话记忆指令以越狱
Published May 29
Evaluated models GPT-4o , Llama-3.2-3B-Instruct , ChatGPT-4o and others5 提出 PCSA，用人设多轮模拟咨询来访者以诱导有害共情回复
Published Apr 7
Evaluated models Llama-3.1-8B , Llama-3.1-70B , GPT-3.5-Turbo and others8 提出复合越狱，叠对比结构、权威人设与自评饱和指令层级
Published Apr 3
Evaluated models OpenAI gpt-oss-20b 提出 S2C 越狱，用情境改写、切分和线索伪装推迟有害意图整合
Published Mar 17
Evaluated models Llama3.3-70B-Instruct , DeepSeek-r1 , DeepSeek-v3 and others16 提出 STAR 多轮角色扮演框架，利用对话状态演化绕过安全对齐
Published Mar 15
Evaluated models GPT-4o , Claude 3.5 Sonnet , Gemini 2.0-Flash and others5 提出 Aegis 红队框架，多轮攻击高风险语音 Agent
Published Feb 7
Evaluated models GPT-4o , GPT-4o-mini , Gemini-1.5 Pro and others7 Abstract Aegis 红队评测三类语音智能体：查询式访问消掉认证与泄密成功，行为类攻击仍在。Aegis 用多轮红队评测已接入业务系统的 ALLM 语音智能体。作者称这是该设定下的 the first systematic red-teaming framework。
提出 GradingAttack，用梯度后缀与角色扮演操纵教育评分智能体判定
Published Feb 1
Evaluated models Qwen2.5-7B , Qwen2.5-7B-Instruct , Qwen2.5-14B-Instruct and others8 提出黑盒 context nesting，用结构化补全任务嵌套有害请求越狱扩散 LLM
Published Jan 31
Evaluated models LLaDA-8B-Instruct , LLaDA-1.5 , Dream-v0-Instruct-7B and others5 Abstract 去噪抑制多种越狱。作者把 D-LLM 相对 AR-LLM 越狱的稳健性称为 safety blessing，并把 context nesting 当作它的 black-box 失效方式。
提出 ICON 多轮越狱，用意图-上下文先验生成攻击序列
Published Jan 28
Evaluated models Llama-4-Maverick-Instruct , Llama-3.1-405B-Instruct , Qwen-Max-2025-01-25 and others11 用醉酒语言诱导改编对话模型并评测越狱与隐私泄露
Published Jan 19
Evaluated models LLaMA2-7B , LLaMA3-8B , Mistral-7B and others5 Abstract 醉酒语言诱导在五个 LLM 上抬高越狱与部分隐私错误，作者将其视为攻击向量。作者把醉酒语言当作攻击向量，检验把 LLM 适配成醉酒发短信的模式后，越狱和情境隐私是否变差。动机是人类醉酒时的失范与泄密，以及 LLM 模拟人设的能力。
Attacks arXiv 2510.17904 · Oct 19, 2025 提出 BreakFun ，用模拟代码执行中的对象实例化越狱模型
Published Oct 19, 2025
Evaluated models GPT-4.1 Mini , Gemini 2.5 Flash , Claude-3.5 Sonnet and others16