Translation in progress Some entries still include text in the original language.
Oct 12 · Monday
All papers Found 81 papers Another 305 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
Trace attention to identify harmfulness to the MLP refusal write pathway and propose Sentinel
Published Oct 9
Evaluated models Llama-3.1-8B-Instruct , Qwen2.5-7B-Instruct , Qwen3-8B-Instruct and others18 Abstract Attention updates are more readable for harmfulness, MLP updates write refusal, and Sentinel routes alerts using two-path signals.The authors reframe jailbreaking and excessive refusal of aligned models as a pathway problem on the residual stream from recognition to writing, and accordingly provide conditional reminders before decoding.
Proposes the semantic watermark SemField, which still identifies the attribution of generated text after paraphrasing and structural changes.
Published Oct 8
Evaluated models Llama-3.2-1B , Qwen3-1.7B , OPT-1.3B Abstract Training-independent document-level semantic watermark.SemField is a zero-bit semantic watermark embedded by the provider at generation time and detected later with a key, used to identify the provider's own model text after paraphrasing and sentence-level structural changes.
提出零空间激活引导 Nullify，免训练擦除指定记忆并保持效用
Published Oct 8
Evaluated models Llama-2-7B-chat-hf , Qwen3-8B 提出 Safety-Aware Pruning，缓解视觉 token 剪枝放大的多模态越狱
Published Oct 7
Evaluated models LLaVA-1.5-7B Abstract 剪枝去掉背景 token 后注意力塌向恶意前景。这篇工作评估视觉 token 剪枝如何改变 VLM 在多模态越狱下的行为，并给出推理时防御 SAP。
提出人格层级模型并设计 PPR 抑制奖励作弊的跨上下文泛化
Published Oct 7
Evaluated models Qwen3-4B , Llama-3.1-8B-Instruct Abstract 提出人格层级模型揭示微调跨上下文泛化规律，报告角色距离正相关性，通过 PPR 抑制 RL 作弊。
提出 Persist-3 序贯检验，从隐藏表示识别未见越狱源
Published Oct 7
Evaluated models Llama2-7B-chat , Qwen2.5-7B-Instruct , Gemma-2-9B-it and others4 Abstract Persist-3 用有限窗口检验攻击流是否超出已知越狱源，检出率低于全历史 SR-DKW，但决策只依赖最近观测。Persist-3 是一个有限记忆的序贯检测器，用来判断攻击表示流是否已经不能由任何一个已知越狱源解释。 。
测量有损投机解码的安全代价，并提出 SecureSD 收紧早期验证
Published Oct 7
Evaluated models Qwen3-8B , Qwen3-32B , Llama-3.1-8B-Instruct and others6 Abstract 有损推测解码的早期偏离更快抬高越狱与注入风险。作者研究有损推测解码在换取速度时，是否会比效用更快地损害越狱与提示注入防护，并给出按位置校正的 SecureSD。
提出 MARCO 放射性水印，冻结蛋白质生成模型并在去噪时嵌入签名
Published Oct 6
Evaluated models RFdiffusion , ESMFold , Chroma and others6 Abstract MARCO 在冻结的 PGM 上去噪时嵌构象水印，作者称能兼顾保真与抗扰动，并使盗版模型继承水印。MARCO 是加在蛋白质生成模型推理过程上的构象水印，用来标记知识产权，并为可能的生物安全滥用保留可追溯信号。作者还把它说成数字权利管理工具，以及符合生物武器公约的数字监管链。问题在于：专有 PGM 的三维输出可能被拿去训练盗版模型，也可能在来源被抹掉后绕过筛查。
AI summary 研究者提出一种轻量级路由 logits 安全检测器，在提示词预填充阶段读取 MoE 视觉语言模型的专家路由信号，在生成前判断多模态请求是否安全，且不修改模型参数或专家路由。
Published Oct 6
Evaluated models Qwen3-VL-30B-A3B-Instruct , Kimi-VL-A3B-Instruct Abstract 读出而非操纵 router logits，可在不改模型的情况下降低两模型的组合式安全错误。作者在两个指令微调 MoE VLM 上比较改模型与读路由。组合式风险按 HoliSafe 分成五类：图文各自可安全，合在一起才不安全，或不安全内容只在图像里。
提出基于决策前隐藏状态的检测与引导，预测并抑制智能体欺骗
Published Oct 5
Evaluated models Qwen3-14B Abstract 论文展示了智能体自发欺骗可在行为显现前由内部表征预测，并通过激活引导证实了表征的行为可操作性。
提出曲率感知数据加权的激活转向方法，用于毒性抑制与概念控制
Published Oct 5
Evaluated models Gemma-2-2B , Llama-3.2-3B Abstract 影响加权传输压低毒性率，闭式 IF-Act 常换来更高困惑度与更低 MMLU。推理时的影响加权激活传输，用曲率修正的样本权重替换传输转向里的均匀类均值。要做的是概念控制，而不是再训练。作者认为类均值被无关概念、噪声和少数 token 主导，编码的是词元级而非主题。
提出 VICS-G 可行未来解码，重排冻结 VLA 策略的动作候选
Published Oct 4
Evaluated models SafeVLA (task-optimized / base) , SafeVLA (safety-aligned / safe) Abstract 作者用可行未来解码重排冻结 VLA 的下一步，并称 VICS-G 降低观测代价且完成率接近策略采样。训练无关解码器 VICS 在冻结 VLA 的推理阶段重排动作块，使当前选择带上该动作仍可能留下的安全完成质量。
提出 EmoRSS，推理时在拒绝子空间反向抵消情绪激活偏移以缓解过度拒答
Published Oct 4
Evaluated models Llama-3.1-8B-it , Qwen3-8B 提出 Prefix Steering，以短前缀激活引导控制行为并保住能力
Published Oct 4
Evaluated models OLMo 3 7B , OLMo 3 32B , Qwen3 1.7B and others4 Abstract 短前缀 steering 用已有方向做短暂干预。本文用注意力层匹配连接提示词与激活干预，并把干预改成从末提示词 token 开始的短前缀。
分析文本水印在 RAG 中诱发事实幻觉的机制并提出干预
Published Oct 4
Evaluated models LLaMA 3.1 8B Instruct , Mistral-7B-Instruct-v0.3 , Qwen2.5-14B-Instruct Abstract 论文揭示了生产环境文本水印导致模型事实退化的失效模式，分析了解码机制并提出针对性干预。论文研究生产级文本水印对大语言模型事实准确性的影响，分析了水印诱发幻觉的失效模式并评估了针对性缓解方案。
把 SynthID 嵌入基因组语言模型采样，并用位置无关检测追溯生成序列
Published Oct 4
Evaluated models Carbon-500M , GENERator-v2-eukaryote-1.2b-base Abstract 两个六碱基基因组模型嵌入 SynthID 后，位置无关验证能找回水印，作者称这只是统计检测。作者在两个六碱基基因组模型的采样里嵌入 SynthID，并让验证者在不知道起点、链和 token phase 时做一次校正后的检出。
提出生成时防御 SENTINEL，匹配输入输出以抽出越狱意图并停写
Published Oct 3
Evaluated models Llama2-7B , Llama3-8B , Mistral-7B-v0.2 and others6 提出 UnAct，仅以前向激活干预从分类器中遗忘指定类别
Published Oct 3
Evaluated models ResNet-18 , ViT-B/16 Abstract UnAct 用前向激活做类别遗忘。UnAct 是一种事后类别遗忘：删除请求可以只有少量该类图像，且没有标签和保留数据。它不用梯度，只对遗忘图像做前向。编辑对象是分类器所读的后期单元。
提出 THRIVE，为自回归 TTS 嵌入抗重建的多比特语音水印
Published Oct 3
Evaluated models Qwen3-TTS (0.6B) , Dots.tts (2B) 提出机理编辑形式化认证，证明连续输入区域上的技能移除与保留
Published Oct 3
Evaluated models Toy MLP (separated) , Toy MLP (entangled) , Deep MLP (3-12-8-2) and others6 Abstract 提出机理编辑形式化认证框架，证明编辑在连续区域生效且黑盒测试无法保证移除，为安全编辑提供数学证明。