Some text is shown in its original language while the English translation is being prepared.
Oct 12 · Monday
All papers Found 21 papers Another 336 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Organized first” shows papers with tags or public deep readings first. Each group is ordered by original publication date, newest first, with undated papers last. “Latest publication” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and deep readings are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
提出利用路由元数据推断敏感话题的侧信道攻击
Published Oct 7
Evaluated models RouteLLM (BERT router) 、 notdiamond-0001 、 Vela (vLLM Semantic Router) Abstract 论文揭示并测量了 LLM 路由决策在无文本日志中的敏感话题泄露，验证了按类别公平性防御的有效性与边界。
量化片外功耗测量对隐藏算力的约束能力
Published Oct 6 Abstract 作者称功耗单独只能弱约束隐藏算力。这篇工作定量估计片外功耗能为算力核验排除多少未声明运算。
提出 TRANSCOPE，用 CPU 硬件计数器推断训练集成员
Published Oct 6
Evaluated models BERT (4.4M-340M) 、 ViT (22M-307M) 、 Pythia (70M-2.8B) and others5 Abstract TRANSCOPE 揭示了分词器在嵌入表引发的硬件访问局部性差异，证实微架构计数器可突破恒定时间与置信度遮蔽防御。
提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见
Published Oct 5
Evaluated models LLaDA-8B-Instruct 、 Dream-v0-Instruct-7B 、 LLaDA-MoE-7B-A1B-Instruct Abstract 通过去噪中间概率反馈动态调节残差流转向，证明扩散语言模型在推理服务栈中存在闭环偏见注入脆弱性。
提出利用共享冷却的跨租户干扰攻击，并设计租户隔离机制
Published Oct 4 Abstract 揭示网关共享冷却漏洞，提出来源检查与租户隔离防御。
提出 HXAI 分层隐私解释框架，本地保留细解释并只发布加噪摘要
Published Oct 2
Evaluated models gradient-boosted tree regression models Abstract HXAI 把无噪声局部 SHAP 留在家庭内，只聚合差分隐私摘要。HXAI 是面向分布式能源系统的分层隐私保护解释框架，服务规划、监测与诊断，而不是实时控制。
提出 MIRROR，用多路径摘要多数表决保障多智能体通信完整性
Published Oct 2
Evaluated models Gemma-4-31B-it 、 Gemini 2.5 Pro Abstract MIRROR 靠多数路径。MIRROR 是 LLM 多智能体通信层上的多路径法定人数完整性原语，只处理不透明字节，不解释消息内容。要处理的是 Agent-in-the-Middle：中介合法终结 TLS 后可改在途消息，而语义校验有推理开销和误拦，签名又要求私钥管理。做法是生成结束后复制同一规范化载荷。
用 SCM 合成会话并训练检测器识别推理层滥用
Published Sep 29
Evaluated models gradient-boosted detector (GBDT/XGBoost) 部署蜜罐测量针对暴露 LLM 基础设施的攻击
Published Sep 24 提出 PMA，用流形对齐从 E2EO 混淆向量恢复明文
Published Sep 7
Evaluated models BERT-base 、 RoBERTa-base 、 T5-base and others6 提出 Agent Flight Recorder，为长时程工具智能体构建链上锚定的防篡改审计追踪
Published Sep 2 Abstract 语义事件加哈希链、Merkle 与链上锚定，用来在争议中核验长程智能体的动作序列。Agent Flight Recorder 把长程工具智能体的动作收成可被第三方独立核验的审计记录，面向运营方本身可能改写历史的争议。
提出 GIFT，用加密与 GPU 信息流跟踪隔离共享 LLM 服务中的用户数据
Published Aug 26
Evaluated models Qwen2.5-14B 、 Qwen2.5-32B 、 Qwen2.5-72B and others6 Abstract GIFT 以加密隔离加 GPU 信息流规则，在 vLLM 与 DistServe 上强制用户数据隔离，并报告了吞吐开销。GIFT 是作者为共享 LLM serving 做的用户数据隔离系统，并有启用机密计算的 GIFT-CC。作者在结论中称它是该场景的首个 IFT 设计。
提出 KeyPooling，测量 API 中继何处瓦解提示缓存隔离
Published Aug 18
Evaluated models grok-4-fast-non-reasoning 、 grok-4-1-fast-non-reasoning 、 grok-3 and others11 Abstract 共享上游凭证使中继客户进入同一缓存域，保留身份或独立 principal 可分开。KeyPooling 测量 LLM API 中继在何处丢掉客户身份，使 prompt cache 不再按下游客户隔离。
提出 CodeSpear 越狱，借语法约束解码生成恶意代码，并给出 CodeShield 防御
Published Jun 10
Evaluated models Qwen2.5-Coder-7B 、 Qwen2.5-Coder-32B 、 Qwen2.5-7B and others10 Abstract 论文发现语法约束解码会破坏自然语言安全对齐，提出 CodeSpear 越狱攻击与基于蜜罐代码对齐的 CodeShield 防御。
构造可通过计费审计的 token 虚报，使服务商系统性超收
Published May 28
Evaluated models PALACE domain-adapted auditor Abstract 不诚实提供方可在三种 token 审计上虚报并通过检查，作者认为需改用提供方不控制的证据。不透明 LLM 的按 token 计费里，现有审计核验的是提供方可控的证据，不诚实提供方可以虚报并通过检查。 。
提出 SeedHijack，劫持采样 PRNG 以强制选定 token
Published May 8
Evaluated models GPT-2 (124M) 、 Qwen2-1.5B-Instruct 、 DeepSeek-R1-1.5B and others5 Abstract 采样层 PRNG 被替换以强制选 token。SeedHijack 把 LLM 采样用的 PRNG 输出换成攻击者选定的数，从而指定下一个 token。权重、输入和 logits 都不改。防御是用硬件 QRNG 替换该随机源。
提出 PrefixWall 选择性隔离共享前缀以缓解计时侧信道
Published Mar 11
Evaluated models gemma-3-4b-it 、 llava-onevision-qwen2-0.5b-ov-hf 、 llava-onevision-qwen2-7b-ov-chat-hf and others9 Abstract PrefixWall 用缓存元数据按需切断跨用户前缀延续，以保留 APC 并限制 TTFT 侧信道。PrefixWall 是多租户 LLM 服务上的系统级防御，用来限制 Automatic Prefix Caching 的 TTFT 侧信道，同时保留前缀复用。
提出 OPTILEAK，经 KV 缓存侧信道逐 token 重建他人提示
Published Feb 24
Evaluated models Qwen-2.5-3B-Instruct 、 Qwen-2.5-7B-Instruct 、 Qwen-2.5-14B-Instruct and others4 Abstract OPTILEAK 用 SFT 与 hard-token DPO 降低每 token 请求数，作者称缓存提示泄露的风险高于先前报告。
提出 TFL 定向比特翻转，使选定提示输出虚假答案且无关查询保持正确
Published Feb 20
Evaluated models Qwen3-8B 、 DeepSeek-R1-Distill-Qwen-14B 、 LLaMA-3.1-8B-INSTRUCT Abstract TFL 在三个 LLM 上搜索权重比特，使指定提示出现目标关键词，并约束无关任务下降。TFL 是对 LLM 主存权重的目标比特翻转框架：攻击者要让选定提示输出指定虚假答案关键词，同时限制无关查询上的降质。
提出 TFA 与 SVA，抑制 ensemble 后门指纹验证
Published Jan 7
Evaluated models LLaMA2-7B 、 LLaMA3.1-8B-It 、 Qwen2.5-7B and others11 Abstract 两种 ensemble 攻击 TFA/SVA 抑制后门指纹。TFA 与 SVA 是针对后门式 LLM 指纹的 ensemble 抑制攻击，不改模型参数。所有者用 SFT 写入秘密对，只通过 API 验证版权。攻击者未授权取得模型，不知道触发和指纹，却要把每个模型的验证变成失败，同时让 ensemble 至少不差于性能最高的单模型。