攻击arXiv 2610.08331
STCA：研究者提出针对自动驾驶视频 VLM 的时空一致性对抗攻击
提出 STCA，对驾驶视频 VLM 构造可迁移的时空对抗扰动
- arXiv
- 2610.08331
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 无盒（离线迁移）
- 被测模型
- Video-LLaVA-7B、Qwen2.5-VL-7B、Dolphins
- 评测与基准arXiv 2610.07939
CCDF 数据集：Grok Imagine、Veo 3.1、Sora 2 伪造监控录像，十个深伪检测器基本认不出
提出监控深伪基准 CCDF，在统一编码后评测检测器对伪造犯罪事故录像的识别
- arXiv
- 2610.07939
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- C2P-CLIP、ForgeLens、D3-Im 等 10 个
摘要提出消除格式捷径的监控深度伪造基准 CCDF，揭示现有检测器难以识别商用生成视频。
- 攻击arXiv 2610.07323
ATLAS：用自适应信任域与主动学习搜索潜在对抗样本集
提出 ATLAS 用水平集估计恢复黑盒分类器的对抗输入集合
- arXiv
- 2610.07323
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- LeNet5、ResNet50 (CIFAR-10 standard)、ResNet50 (ImageNet standard) 等 5 个
摘要ATLAS 用主动水平集估计构造黑盒对抗集，作者称其集合比单点攻击更具代表性。
ATLAS 是一个查询式 black-box 框架，用来构造诱发失败的对抗输入集合，供鲁棒性审计使用。
- 防御arXiv 2610.02853
研究提出基于收缩约束状态空间模型的有界可达性与越狱检测方法
提出收缩约束 SSM 安全头，认证嵌入扰动并检测越狱
- arXiv
- 2610.02853
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- ToySSMClassifier、S4 safety head
摘要收缩给出玩具 LTI 的有界认证。
给 SSM 安全头一个收缩条件，并在越狱检测上使用收缩正则的 S4 头。。
- 防御arXiv 2610.00883
DeBERTa-ConPara：面向部署的 AI 生成文本检测，推理端 Unicode 归一化提升对抗鲁棒性
提出推理时 Unicode 归一化的检测器，识别遭字符级扰动的 AI 生成文本
- arXiv
- 2610.00883
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- microsoft/deberta-v3-large、deberta-v3-base、bert-large-cased 等 4 个
摘要推理时归一化消除两类 Unicode 攻击，训练时归一化则会删掉对抗监督。
DeBERTa-ConPara 是一个面向部署的 AI 文本检测器：DeBERTa-v3-large 在多数据集原始文本上训练，推理前做确定性 Unicode 归一化，用一个固定阈值面对没有目标域标签的场景。
- 分析与理论arXiv 2610.00417
研究：合成数据溯源识别在改写后准确率大幅下降
检验合成数据来源识别是否等于再训练适配筛选
- arXiv
- 2610.00417
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-3B-Instruct、DistilRoBERTa、word TF-IDF logistic regression 等 5 个
摘要来源识别在原文上准确，改写后精确归因下降。
作者在金融风险文本上把来源识别和训练样本是否有用拆成两次测量，并写明这不是电信部署实验。
- 可解释性arXiv 2609.24801
研究用 XAI 归因分析 Prompt Guard 2，同义词替换可翻转其提示注入判定
用词级归因指导同义词替换，翻转提示注入检测并验证越狱
- arXiv
- 2609.24801
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Prompt Guard 2 (86M)、Llama 3.1 8B
摘要作者称检测靠分散的词法线索。
- 防御arXiv 2609.31694
RemTraceNet：不可见水印攻击的少样本取证检测
提出 RemTraceNet，少样本识别图像是否经过指定去除流水线
- arXiv
- 2609.31694
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- RemTraceNet
- 攻击arXiv 2609.15989
研究者提出 plan injection 攻击，可绕过思维链监控
提出 plan injection 攻击，植入良性伪装计划以绕过思维链监视器
- arXiv
- 2609.15989
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 灰盒
- 被测模型
- Qwen2.5-Coder-7B-Instruct、Qwen3-8B、DeepSeek-R1-0528 等 6 个
摘要论文指出模型会将外部上下文中的伪装计划改写为自身推理，使思维链监视器失效甚至反向合理化恶意行为。
- 攻击arXiv 2609.08236
研究：内容不变的风格包装可翻转 LLM 安全评判器的判定
提出内容不变样式包装，翻转安全评审器的判定
- arXiv
- 2609.08236
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4o-mini (gpt4o)、GPT-4o-mini (strongreject)、DeepSeek-Chat 等 7 个
摘要论文揭示特定安全评审器易受保持内容不变的外层包装诱导改变判定，并指出安全评估应将判定稳定性作为重要考量指标。
这是一项关于大语言模型自动化安全评审系统表面样式脆弱性的评估研究。
- 评测与基准arXiv 2609.05843
SinoGlyphBench：中文字形混淆下语言模型审核的诊断基准
提出 SinoGlyphBench，用配对字形混淆诊断中文审核稳定性
- arXiv
- 2609.05843
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- GPT-5.4 mini、GPT-5.5、DeepSeek V4 Flash 等 12 个
摘要SinoGlyphBench 显示中文字形混淆会同时增加有害漏报和误报，全文扰动最重。
SinoGlyphBench是一个配对诊断基准，用来看内容审核在可还原的中文字形混淆下是否还保持原决定。
- 评测与基准arXiv 2607.19855
研究者提出最小范数攻击集成，用鲁棒性曲线替代单一 ε 评测
提出最小范数攻击集成，用鲁棒性曲线评测图像分类器
- arXiv
- 2607.19855
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- C1–C20（CIFAR-10，Table 1）、I1–I10（ImageNet，Table 1）
摘要预算可控的最小范数集成用 AOI 逼近攻击前沿，DOI 给出不依赖单一ε的防御排序。
这篇工作把对抗鲁棒评测从单一 ε、固定集成，改成可按查询预算收紧的曲线估计。
- 攻击arXiv 2606.09700
研究者提出 HPAA 攻击：用排版视觉线索绕过 13 个内容审核系统
提出 HPAA 攻击，用排版视觉线索绕过内容审核系统
- arXiv
- 2606.09700
- 发表
- 层
- 提示层
- 场景
- LLM 应用
- 攻击者
- 黑盒
- 被测模型
- Llama-Guard-3-8B、Perspective API、ShieldGemma-2B 等 13 个
摘要揭示了排版视觉线索与分词差异带来的审核盲区，HPAA 以极低查询实现近乎完全规避。
这篇论文研究了人类视觉感知与大模型分词处理机制之间的差异所导致的内容审核漏洞。
- 攻击arXiv 2605.26156
BITE：用上下文赌博机操纵风格偏置攻击 LLM 评委
提出 BITE，用上下文赌博机选择风格修改抬高 LLM 评委打分
- arXiv
- 2605.26156
- 发表
- 层
- 提示层
- 场景
- LLM 应用
- 攻击者
- 黑盒
- 被测模型
- o3-mini、Gemini-2.5-Flash、Llama-3.3-70B-Instruct 等 8 个
摘要BITE 用黑盒赌博机利用风格偏差抬分，作者称这对 LLM-as-a-judge 构成威胁。
BITE 是黑盒风格操纵：在保持答案语义的同时，抬高 LLM 评审给出的分数。
- 攻击arXiv 2605.21541
研究者提出 FRA-Attack 频域正则化方法，提升对闭源 MLLM 的迁移攻击效果
提出 FRA-Attack，用频域对齐与梯度正则做可迁移定向视觉攻击
- arXiv
- 2605.21541
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-5.2、GPT-5.4、Claude-Opus-4.6 等 15 个
摘要FRA-Attack 以频域对齐和梯度低通做可迁移定向攻击，闭源面板上作者称整体更强，Gemma 除外。
FRA-Attack 是面向闭源 MLLM 的迁移式定向图像攻击。作者要解决的是：空间域局部对齐重复全局低频，代理梯度的高频成分又把更新拉向代理自身。
- 攻击arXiv 2605.07481
Vaporizer：研究者用改写类攻击破解大语言模型输出水印方案
提出 Vaporizer，用词法变换、翻译和释义破解 LLM 输出水印
- arXiv
- 2605.07481
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击arXiv 2509.09112
研究：字符级扰动可破坏 LLM 水印，并提出基于遗传算法的去除攻击
提出字符级扰动与遗传算法去除 LLM 水印
- arXiv
- 2509.09112
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- OPT-1.3B、LLaMA-3-8B
摘要字符级扰动靠更大攻击范围移除水印。
这篇工作评估推理时 LLM 水印在黑盒、有限查询下的移除难度，并比较字符级、token 级和句子级编辑。
- 攻击arXiv 2503.02174
研究者提出对抗分词攻击，可在不改文本的情况下绕过 LLM 安全限制
提出 AdvTok 对抗分词攻击，不改文本只改分词来越狱并规避安全分类器
- arXiv
- 2503.02174
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 灰盒
- 被测模型
- Llama3.2-1B、Llama3.2-3B、Llama3.1-8B 等 7 个
摘要作者称非规范分词能躲开对齐并仍得到针对原请求的回复。
作者用非规范分词攻击已对齐的子词 LLM：恶意字符串的字符不变，只改 token 边界。
已经到底了