另有 242 篇论文还没打上分类标签，暂不在筛选结果里。
提出 PatchBench-Local 协议，评测激活补丁修复越狱的局部附带损伤
摘要论文提出 PatchBench 与局部评估协议，揭示了激活补丁在全局能力无损下仍存局部良性退化。
提出 Safety-Aware Pruning，缓解视觉 token 剪枝放大的多模态越狱
这篇工作评估视觉 token 剪枝如何改变 VLM 在多模态越狱下的行为，并给出推理时防御 SAP。
提出 PEV 攻击，在输入嵌入上加高斯噪声越狱开源模型
PEV 是对 open-weight LLM 的 embedding 噪声越狱。
提出 ReSA，从对齐模型行为恢复安全奖励并在解码时反转
ReSA 是一种对抗攻击：从对齐模型的可观察行为恢复代理安全奖励，再在解码时把该奖励反过来用。。
构建多语言音视频 DeepFake 基准 BabelFake 并评测检测器
BabelFake 是经同意与 IRB 批准采集的多语音视频 DeepFake 检测基准，用来把视觉操纵和语音合成拆开比较。
把 SynthID 嵌入基因组语言模型采样，并用位置无关检测追溯生成序列
作者在两个六碱基基因组模型的采样里嵌入 SynthID，并让验证者在不知道起点、链和 token phase 时做一次校正后的检出。
提出生成时防御 SENTINEL，匹配输入输出以抽出越狱意图并停写
提出 THRIVE，为自回归 TTS 嵌入抗重建的多比特语音水印
提出 LiBRA，在潜空间双向优化以规避图像水印双侧检测
摘要LiBRA 用双向潜空间优化规避双侧水印检测，并提高相对反转基线的保真。
提出抗删除水印 RMCW，在生成时注入 Reed-Muller 结构并做局部检验
用分类后缀提升激活探针对分布外恶意输入的检测
用户轮后的分类后缀，被作者用作激活探针的分布外检测干预：排序看格式，低 FPR 精度看是否点名恶意/良性。
提出 UNTAG，绕过开源权重模型的 trigger-tag 滥用检测
UNTAG 是针对开放权重 LLM 上条件滥用检测 trigger-tag 的统一攻击评估：信号可以在解码期注入，也可以写进权重，但攻击者若能改输出或改已发布权重，检测可以失效。
提出 TAILOR，按请求组合图像水印以满足抗攻击与画质延迟规格
提出 Constitutional adapters，蒸馏宪法行为以缓解越狱与失准
摘要差分宪法适配器在长上下文和多轮上更稳，并可按 α 换取遵从。
诊断护栏相对基座在对抗提示上的置信失校
诊断性分析：五个提示词分类 guard 的置信度，在清洁输入上可以较校准，在越狱包装后则变成高置信度的错误判定。
提出成对无失真水印 TTMARK，增强低熵下的机器文本检测
TTMARK 是一种成对、无失真的文本水印：对相邻 token 的联合分布重加权，而不是逐 token 独立重加权。
提出带密钥的 SNW，抵御事后图像水印的身份伪造
Gesny 与 Giboulot 针对生成内容追溯所依赖的多比特事后图像水印，批评端到端 DNN 方案既无容量理论、又无密钥。
提出 CAM-Steer，推理时按多类别风险引导隐藏状态以降低有害回复
提出 AnchorRep，用 LoRA 推离有害提示表征以防御跨模型越狱迁移
用能量势垒信号检测扩散语言模型的越狱
Bach 等提出用去噪能量景观解释 masked diffusion 语言模型上的越狱，并由此得到三个免训练检测信号。。