跳到正文
10月10日 · 周六

全部论文

找到 18 篇
筛选6

攻击类型

越狱11

攻击技术

自动化搜索4多轮渐进3编码与混淆3推理链操控5跨模态载荷7

影响

有害内容11数据与隐私泄露3

系统形态

模型与 API18coding agent0web agent0

攻击者权限

黑盒18白盒7

攻击面/入口

用户输入14图像与音视频11

层

提示层15

系统组件

护栏与评审21推理链8微调与开源权重3视觉11音频3图像生成11多模态26
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 232 篇还没打标签，不在筛选结果里。
系统形态：模型与 API系统形态：coding agent系统形态：web agent攻击者权限：黑盒系统组件：推理链系统组件：视觉清除全部

另有 232 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 防御arXiv 2610.09703

    研究揭示 Token-Pruning 对 VLM 安全性的影响并提出 SAP 缓解机制

    提出 Safety-Aware Pruning，缓解视觉 token 剪枝放大的多模态越狱

    arXiv
    2610.09703
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    LLaVA-1.5-7B
    摘要剪枝去掉背景 token 后注意力塌向恶意前景。

    这篇工作评估视觉 token 剪枝如何改变 VLM 在多模态越狱下的行为，并给出推理时防御 SAP。

    深度解读完整解读
  2. 攻击arXiv 2609.35699

    论文：蒸馏防御在蒸馏后强化学习下易被攻破

    提出用 API 推理摘要重建轨迹再蒸馏加强化学习，攻破蒸馏防御

    arXiv
    2609.35699
    发表
    层
    训练与数据层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    Qwen2.5-0.5B、Qwen2.5-1.5B、Qwen2.5-3B 等 12 个
    摘要更现实的蒸馏攻击是蒸馏后再 RL。

    这篇工作修订蒸馏攻击的威胁模型：攻击者经合法 API 收集闭源推理数据，先蒸馏自有模型，再做强化学习。作者认为只在蒸馏后评估防御，会漏掉后续 RL，从而高估防御。

    深度解读完整解读
  5. 攻击arXiv 2609.09553

    研究：任意密文攻击前沿大模型无需微调即可越狱

    提出任意字母置换密码越狱，无需微调即可诱导有害输出

    arXiv
    2609.09553
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    Claude Sonnet 4、Claude Sonnet 4.5、Gemini 3 Flash (preview) 等 7 个

    摘要前沿大模型无需微调即可通过提示词学会字母置换密码，进而绕过分类器与对齐，作者呼吁关注能力提升带来的安全风险。

    深度解读完整解读
  7. 防御arXiv 2608.12876

    SPARED：用对抗编辑数据训练基于推理的 AI 生成图像检测器

    提出 SPARED，用对抗编辑数据训练基于推理的 AI 生成图像检测器

    arXiv
    2608.12876
    发表
    层
    训练与数据层
    场景
    模型与 API
    攻击者
    黑盒、白盒
    被测模型
    Qwen3.5-9B
    摘要SPARED 用防捷径的编辑对抗环训练 9B 推理检测器。

    SPARED 是一套用于可解释 AI 生成图像检测的攻防强化学习流程，报告模型是 Qwen3.5-9B 上的第三轮防御器。

    深度解读完整解读
  8. 攻击arXiv 2608.09867

    研究者利用加密推理块跨模型兼容性窃取专有 LLM 推理链

    利用加密思维块的跨模型重放，诱导弱模型逐字转写专有推理链

    arXiv
    2608.09867
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    Claude Opus 4.8、Claude Sonnet 4.6、Claude Haiku 4.5 等 13 个

    摘要论文揭示了客户端加密思维块跨模型互换漏洞，提出了低成本提取方法并给出防御方案。

    深度解读完整解读
  10. 攻击arXiv 2605.21541

    研究者提出 FRA-Attack 频域正则化方法，提升对闭源 MLLM 的迁移攻击效果

    提出 FRA-Attack，用频域对齐与梯度正则做可迁移定向视觉攻击

    arXiv
    2605.21541
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    GPT-5.2、GPT-5.4、Claude-Opus-4.6 等 15 个
    摘要FRA-Attack 以频域对齐和梯度低通做可迁移定向攻击，闭源面板上作者称整体更强，Gemma 除外。

    FRA-Attack 是面向闭源 MLLM 的迁移式定向图像攻击。作者要解决的是：空间域局部对齐重复全局低频，代理梯度的高频成分又把更新拉向代理自身。

    深度解读完整解读
  12. 攻击arXiv 2605.13338

    研究者提出层级遗传算法黑盒攻击，诱导推理模型过度思考

    提出层级遗传算法 HGA，扰动题目逻辑结构诱发推理模型过度思考

    arXiv
    2605.13338
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    DeepSeek-R1 (671B)、Qwen3-Thinking、GPT-o3 等 5 个

    摘要HGA 在黑盒推理模型上用逻辑扰动拉长输出，作者称可从小代理迁移，查询成本是其局限。

    深度解读完整解读
  14. 攻击arXiv 2603.20198

    研究者提出 MM-Plan 多模态越狱框架

    提出 MM-Plan 多模态越狱框架，自动规划多轮图像编辑以越狱视觉独占目标

    arXiv
    2603.20198
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    Llama-3.2-11B、InternVL3-8B、Qwen3-VL-8B 等 8 个
    摘要作者称全局规划能攻破对单轮攻击更稳的前沿 MLLM。

    MM-Plan 是面向 Visual Exclusivity 的 black-box 多模态红队方法，并配有人工基准 VE-Safety。

    深度解读完整解读
  18. 攻击arXiv 2503.06223

    RedDiffuser：用强化扩散生成视觉输入审计 VLM 多模态安全失效

    提出 RedDiff，用强化扩散生成图像审计 VLM 情境安全失效

    arXiv
    2503.06223
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    LLaVA-1.5-7B、Gemini-1.5-flash、LLaMA-3.2-11B-Vision-Instruct
    摘要用强化扩散生成视觉上下文，审计有害文本情境下的 VLM 安全失效。

    RedDiffuser 是黑盒审计框架：有害内容不是显式攻击指令，而是固定的部分有毒文本，再配上扩散模型生成的图像，看 VLM 的开放续写会不会变得不安全。

    深度解读完整解读
已经到底了