Some text is shown in its original language while the English translation is being prepared.
Oct 12 · Monday
All papers Found 26 papers Another 336 papers do not have category tags yet and are not included in filtered results.
“
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Organized first” shows papers with tags or public deep readings first. Each group is ordered by original publication date, newest first, with undated papers last. “Latest publication” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and deep readings are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
提出 A2A-TIBA，经 A2A 对等任务间接注入并植入常驻回调
Published Sep 30
Evaluated models MiniMax-M3 、 deepseek-v4-pro 、 glm-5.3 and others8 Abstract A2A-TIBA 一次植入后绕过智能体，GDA 用四类结果定位防线，ELA-ITL 把信封标注列为第三层。A2A-TIBA 把间接提示注入和绕过放进 A2A：gray-box 攻击者已能投递任务，诱导目标部署常驻回调程序后，下令和外传不再经过智能体。
评测多轮对话中 GradSafe 越狱检测的可分性与脆弱性
Published Sep 29
Evaluated models Llama 3.1 8B Instruct 、 Qwen2.5-7B-Instruct Abstract CWS 显示不安全梯度在真实多轮流量中变弱，且随攻击族和模型而变。作者评估梯度越狱检测从单条提示词迁到多轮对话后还剩多少可分性，方法是用 Context Window Scanner 把 GradSafe 原封不动地套到用户轮窗口上。
提出能力洗钱攻击，拆分任务向对齐模型套取能力
Published Sep 14
Evaluated models GPT-5.5 、 Claude Opus 4.8 、 Grok-4.3 and others7 Abstract 作者提出了能力洗钱攻击，发现未对齐编排器分解咨询对齐模型可恢复能力差距，指出需建立跨会话防御。
提出 MIPC 与 CFA，观察模型自拟测验后接受开发者身份
Published Sep 3
Evaluated models ChatGPT 、 Claude 、 Qwen3.7-Plus and others5 Abstract 自拟测验可造成对话层虚假认证，但所测授权边界并未因此改变。这项工作把“模型自己出题、自己批改、再宣布身份已核验”定义成对话层认证失败，并与后端提权分开。
提出多轮越狱框架 BLUEPRINT，用世界观模拟与心理因素诱导有害输出
Published Sep 2
Evaluated models Qwen3-Next-80B 、 DeepSeek-V3.2 、 GLM-4.7 and others6 Abstract BLUEPRINT 解耦多轮越狱策略与情境模拟，揭示任务具象化是摆脱拒绝的核心机制，为多轮安全防御提供新视角。BLUEPRINT 是一个将因子化社会影响力策略空间与跨轮世界观模拟解耦的多轮大语言模型安全评测框架。
提出面向意图的多轮 LLM 越狱分类体系
Published Aug 2
Evaluated models Llama-3 、 Llama-3.3-70B 、 DeepSeek-V3 and others11 Abstract 作者用四维意图分类整理多轮越狱，并称组织方式影响效果与观察范围。这是一篇关于多轮 LLM 越狱的 SoK：按有害意图在交互中的组织位置分类，而不是按单步提示技巧分类。
提出生物红队模型 Intern-BioBreaker，多轮越狱诱导模型输出可操作生物危害
Published Jul 20
Evaluated models DeepSeek-V3 、 Kimi-K2.6 、 DeepSeek-V4-Pro and others14 Abstract 论文通过构建专用红队模型评估前沿大模型的生物安全漏洞与物理转化风险。
提出工作流级越狱，让编程 Agent 在开发任务中写入有害示例
Published Jul 5
Evaluated models Claude Sonnet 4.6 、 Claude Haiku 4.5 、 Gemini 3.1 Pro and others4 Abstract 作者报告 Copilot 后端会在编码工作流中生成其在单轮条件下通常拒绝的有害答案。这是一项生产 IDE 编码智能体的工作流越狱研究 ，受测对象是 Copilot 的四个模型后端，而非评测流水线中的名义目标。
提出 SMT 框架，用模拟审核轨迹越狱函数调用 LLM
Published Jul 1
Evaluated models GPT-4o 、 GPT-5.4 、 Qwen3-Max and others7 提出 AdvGRPO，用 GRPO 闭环共训多轮越狱攻击者与防御者
Published Jun 9
Evaluated models Qwen2.5-7B-Instruct 、 Qwen2.5-14B-Instruct 、 Qwen3.5-9B and others7 构建 MultiTurnPSB，评测四轮医疗越狱与分类器输入防御
Published May 30
Evaluated models GPT-4.1-mini 、 Claude Sonnet 4.5 Abstract 多轮攻击加剧医疗模型风险，分类器干预有效但受高误报率制约。MultiTurnPSB 针对患者端医疗大模型在持续交互中的安全风险，构建了包含三种攻击模态的四轮对抗评测基准。
提出 TRACE 框架，用分解与可演化多轮策略诱导智能体执行有害工作流
Published May 29
Evaluated models Codex 、 Claude Code 、 GPT-5.5 and others6 提出 Persona Attack，分步写入对话记忆指令以越狱
Published May 29
Evaluated models GPT-4o 、 Llama-3.2-3B-Instruct 、 ChatGPT-4o and others5 提出多轮意图欺骗越狱 iDecep，用良性意图伪装引出有害内容
Published Apr 27
Evaluated models GPT-4o 、 Gemini-2.5-Flash 、 Claude-Sonnet-4.5 and others4 Abstract iDecep 用意图欺骗做多轮越狱，在 GPT-5 与 Claude-Sonnet-4.5 上同时测到直接成功和 para 成功。iDecep 是一种黑盒多轮越狱：用表面良性的意图维持与恶意目标贴近的对话，并单独计入 safe completion 替代内容中的有害信息。 。
提出 STAR 多轮角色扮演框架，利用对话状态演化绕过安全对齐
Published Mar 15
Evaluated models GPT-4o 、 Claude 3.5 Sonnet 、 Gemini 2.0-Flash and others5 用 ADVERSA 测量多轮对抗下护栏退化与评审可靠性
Published Mar 10
Evaluated models Claude Opus 4.6 、 Gemini 3.1 Pro 、 GPT-5.2 Abstract ADVERSA 用逐轮合规轨迹和三评审共识测量多轮护栏变化。ADVERSA 是一套自动多轮红队测量框架，把护栏行为记成逐轮合规轨迹，并同时测量评审是否一致。要处理的问题是：单轮二元通过或失败既看不到持续对抗下安全属性如何变化，也分不开拒答逐步巩固和分数保持稳定。作者认为真实使用中的对手会改写并持续多轮。
提出 FERRET 框架，用扩展生成多轮多模态越狱对话
Published Feb 18
Evaluated models Llama Maverick 、 Claude Haiku 、 GPT-4o 提出 MAPA 多轮自适应提示攻击，交替文本与视觉动作越狱视觉语言模型
Published Feb 16
Evaluated models LLaVA-V1.6-Mistral-7B 、 Qwen2.5-VL-7B-Instruct 、 Llama-3.2-Vision-11B-Instruct and others4 提出 Aegis 红队框架，多轮攻击高风险语音 Agent
Published Feb 7
Evaluated models GPT-4o 、 GPT-4o-mini 、 Gemini-1.5 Pro and others7 Abstract Aegis 红队评测三类语音智能体：查询式访问消掉认证与泄密成功，行为类攻击仍在。Aegis 用多轮红队评测已接入业务系统的 ALLM 语音智能体。作者称这是该设定下的 the first systematic red-teaming framework。
提出 MM-Plan 多模态越狱框架，自动规划多轮图像编辑以越狱视觉独占目标
Published Feb 5
Evaluated models Llama-3.2-11B 、 InternVL3-8B 、 Qwen3-VL-8B and others8 Abstract 作者称全局规划能攻破对单轮攻击更稳的前沿 MLLM。MM-Plan 是面向 Visual Exclusivity 的 black-box 多模态红队方法，并配有人工基准 VE-Safety。