Translation in progress Some entries still include text in the original language.
Oct 13 · Tuesday
All papers Found 56 papers Another 216 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
Proposes digital lock compilation, encrypting executable networks into host weights to hide arbitrary capabilities
Published Oct 10
Evaluated models Gemma 3 270M Abstract The authors use a digital lock to hide an executable capability and state that elicitation on the chemistry and parity tasks did not recover the capability.The authors construct a class of backdoors that encrypt an executable network into the weights, used to discuss the limits of white-box elicitation audits under supply chain attacks.
Proposes the semantic watermark SemField, which still identifies the attribution of generated text after paraphrasing and structural changes.
Published Oct 8
Evaluated models Llama-3.2-1B , Qwen3-1.7B , OPT-1.3B Abstract Training-independent document-level semantic watermark.SemField is a zero-bit semantic watermark embedded by the provider at generation time and detected later with a key, used to identify the provider's own model text after paraphrasing and sentence-level structural changes.
提出 Safety-Aware Pruning，缓解视觉 token 剪枝放大的多模态越狱
Published Oct 7
Evaluated models LLaVA-1.5-7B Abstract 剪枝去掉背景 token 后注意力塌向恶意前景。这篇工作评估视觉 token 剪枝如何改变 VLM 在多模态越狱下的行为，并给出推理时防御 SAP。
定位安全敏感参数并稀疏改动权重以削弱安全对齐
Published Oct 7
Evaluated models LLaMA-2-7B-Chat 提出 PEV 攻击，在输入嵌入上加高斯噪声越狱开源模型
Published Oct 6
Evaluated models Llama-3.1-8B-Instruct , Qwen2.5-1.5B-Instruct , Phi-4-mini-3.8B and others6 Abstract PEV 用 embedding 高斯噪声，在六个模型上越狱 JailbreakBench 全部提示。PEV 是对 open-weight LLM 的 embedding 噪声越狱。
构建多语言音视频 DeepFake 基准 BabelFake 并评测检测器
Published Oct 5
Evaluated models SpeechForensics , AVH-Align , (B)RAVEn Abstract BabelFake 为五语同意采集基准。BabelFake 是经同意与 IRB 批准采集的多语音视频 DeepFake 检测基准，用来把视觉操纵和语音合成拆开比较。
提出轨迹级可迁移对抗攻击，降低深度强化学习策略的期望回报
Published Oct 5
Evaluated models DQN , Double DQN (DDQN) Abstract 轨迹级后退视界攻击在 CartPole 上比逐步 FGSM 类和 Sign 噪声更压低回报。这项工作研究 DRL 上的迁移式黑盒观测攻击 ：受害参数不可访问时，在白盒代理上造扰动再迁移。
提出只改 SAE 解码器的后门，在冻结语言模型上植入代码插入
Published Oct 5
Evaluated models Gemma 3 4B Instruct , Qwen3 1.7B , Llama 3.1 8B Instruct Abstract 只改解码器的 SAE 可带上代码插入后门，且若干常规质量指标变化不大。只改 SAE 解码器、冻结编码器与语言模型，即可把代码插入行为放进推理时的辅助组件。作者把这视为 SAE 供应链问题：checkpoint 一旦替换某一层激活，就参与后续计算，而不只是解释工具。
提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见
Published Oct 5
Evaluated models LLaDA-8B-Instruct , Dream-v0-Instruct-7B , LLaDA-MoE-7B-A1B-Instruct Abstract 通过去噪中间概率反馈动态调节残差流转向，证明扩散语言模型在推理服务栈中存在闭环偏见注入脆弱性。
提出 TRACER，从权重差识别扩散模型被擦除概念
Published Oct 5
Evaluated models Stable Diffusion v1.5 , Stable Diffusion 3 , FLUX.1 and others5 Abstract TRACER 用权重足迹识别未披露擦除概念并估计个数，作者称数秒内完成且准确率高于对照。TRACER 针对的是遗忘扩散模型上的目标识别：提供者从公开基座 W 用已发表方法擦掉未知集合 S⋆，只发布 W′。攻击者还有假定包含这些概念的词表，但不知擦了谁、擦了几个、用了什么算法。
把 SynthID 嵌入基因组语言模型采样，并用位置无关检测追溯生成序列
Published Oct 4
Evaluated models Carbon-500M , GENERator-v2-eukaryote-1.2b-base Abstract 两个六碱基基因组模型嵌入 SynthID 后，位置无关验证能找回水印，作者称这只是统计检测。作者在两个六碱基基因组模型的采样里嵌入 SynthID，并让验证者在不知道起点、链和 token phase 时做一次校正后的检出。
提出 THRIVE，为自回归 TTS 嵌入抗重建的多比特语音水印
Published Oct 3
Evaluated models Qwen3-TTS (0.6B) , Dots.tts (2B) 提出条件特征抑制防御，检出对抗补丁后抑制 VLA 内部特征
Published Oct 2
Evaluated models π0.5 , SmolVLA Abstract 条件抑制与 patch 相关的 SAE 特征，间歇攻击下可提高 SR，持续攻击下则不能。
提出 LiBRA，在潜空间双向优化以规避图像水印双侧检测
Published Oct 2
Evaluated models Stable Signature , YU1 , HiDDeN and others4 Abstract LiBRA 用双向潜空间优化规避双侧水印检测，并提高相对反转基线的保真。
提出抗删除水印 RMCW，在生成时注入 Reed-Muller 结构并做局部检验
Published Oct 2
Evaluated models OPT-1.3B , Llama-3.1-8B-Instruct 提出 UNTAG，绕过开源权重模型的 trigger-tag 滥用检测
Published Oct 2
Evaluated models Llama2 (7B) , Llama3 (8B) , Qwen2.5 (7B) Abstract 作者用 UNTAG 评估 trigger-tag，认为其不能充当开放权重滥用检测的主要边界。UNTAG 是针对开放权重 LLM 上条件滥用检测 trigger-tag 的统一攻击评估：信号可以在解码期注入，也可以写进权重，但攻击者若能改输出或改已发布权重，检测可以失效。
提出核化激活引导 KAS，在推理时自适应转向激活以诱导越狱
Published Oct 1
Evaluated models Qwen2.5-7B-Instruct , Gemma-2-9B-IT , Llama-3.1-8B-Instruct and others4 Abstract KAS 用核梯度做局部自适应转向，并在线性核下恢复 DiM。Kernelized Activation Steering（KAS） 把推理时的激活转向写成核空间中的优化，使更新随当前激活相对源、目标参考集的位置而变化。
提出 TAILOR，按请求组合图像水印以满足抗攻击与画质延迟规格
Published Oct 1 提出 NDDL，用良性扩散轨迹检测文生图后门提示并定位触发 token
Published Sep 30
Evaluated models Stable Diffusion v1.5 , Stable Diffusion XL , Stable Diffusion v3.5 and others4 Abstract NDDL 从良性扩散轨迹学习正常转移，用动态不一致检测后门并定位触发 token。NDDL 是面向文生图扩散模型的后门防御：防御者只有白盒模型访问和良性提示词，没有后门先验，需要区分后门提示词并找出触发 token。
提出 AutoMark，自动搜索并统计检验 LLM 文本水印
Published Sep 29
Evaluated models Llama-3.1-8B-Instruct , Qwen3.8-27B , GPT-6 Astra and others5 Abstract AutoMark 的贡献同时包含搜索出的水印，以及用于约束自动研究误报与评测漏洞的验证框架。AutoMark 是一套自动水印研究框架 ：先检查生成分布和误报性质，再比较检测、编辑鲁棒性与质量，最后人工分析组件并做留出评测。