另有 331 篇论文还没打上分类标签，暂不在筛选结果里。
构建 EpiReal-Bench，评测图像生成器将虚假主张渲染为可信证据
EpiReal-Bench 用来量商用图像生成器会不会把虚假现实主张画成可信视觉证据。
提出 SLDR，用选择性层恢复与动态路由防御恶意微调
SLDR 是针对恶意微调的微调后防御：在已对齐模型上做有符号层探测，只在敏感分数最大与最小的两层训练 LoRA，再用 lmax 的最后 token 表示决定是否启用适配器。
提出 PatchBench-Local 协议，评测激活补丁修复越狱的局部附带损伤
摘要论文提出 PatchBench 与局部评估协议，揭示了激活补丁在全局能力无损下仍存局部良性退化。
提出 Safety-Aware Pruning，缓解视觉 token 剪枝放大的多模态越狱
这篇工作评估视觉 token 剪枝如何改变 VLM 在多模态越狱下的行为，并给出推理时防御 SAP。
ASRD 用四态标签检查五个开源模型如何处理非规范表面上的有害请求。
论证发布时互信息不能认证开源权重抗微调恢复
作者研究开源权重模型的篡改抵抗：发布时的互信息是否足以保证微调恢复很慢。
定位安全敏感参数并稀疏改动权重以削弱安全对齐
提出 MARCO 放射性水印，冻结蛋白质生成模型并在去噪时嵌入签名
MARCO 是加在蛋白质生成模型推理过程上的构象水印，用来标记知识产权，并为可能的生物安全滥用保留可追溯信号。作者还把它说成数字权利管理工具，以及符合生物武器公约的数字监管链。问题在于：专有 PGM 的三维输出可能被拿去训练盗版模型，也可能在来源被抹掉后绕过筛查。
提出 LADE，用首 token 暗知识在生成前过滤越狱查询
LADE 是一种只读首 token 输出概率的防御，用来在生成前挡下可能引出有害回复的查询。
提出 TRACE，仅凭检查点更新审计有害合规微调目标
作者在检查点更新里寻找有害合规 SFT 的目标组成，并把读数做成不查询模型、不看未知训练数据的审计分 TRACE。
提出 PEV 攻击，在输入嵌入上加高斯噪声越狱开源模型
PEV 是对 open-weight LLM 的 embedding 噪声越狱。
提出 ReSA，从对齐模型行为恢复安全奖励并在解码时反转
ReSA 是一种对抗攻击：从对齐模型的可观察行为恢复代理安全奖励，再在解码时把该奖励反过来用。。
评测文生图模型的有害内容生成能力与审核检测缺口
提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见
摘要通过去噪中间概率反馈动态调节残差流转向，证明扩散语言模型在推理服务栈中存在闭环偏见注入脆弱性。
提出审计感知遗忘框架 AVCE，从文本与视觉通路擦除扩散模型概念
AVCE 是面向扩散模型的概念擦除方法，要让擦除经得起绕过文本条件的潜空间审计，而不只是挡住对抗提示词。
形式化 watchman 防御以阻止序贯马赛克攻击
这篇工作同时给出序贯马赛克防御的博弈理论，以及冻结 LLM 上的分角色自博弈训练。
提出 SSRFT，用角色监督内化安全原则以替代拒答式对齐
SSRFT是一种用监督微调把预定义安全角色写进参数的安全对齐方法。作者称它是首个以安全角色内化本身为对齐目标的框架。
提出 Red-TTT，在攻击过程中更新攻击者实现自动化越狱
固定有害指令，单轴归因图像到文本越狱的图像属性
摘要固定文本的图像越狱拆解，只在 Qwen 上给出一条有界相关性归因。
遮挡审计 AdvWave-P 音频越狱的频带必要性与解码层关联
这是对加性音频越狱 AdvWave-P 的频率与解码器深度审计，受害模型主要是 Qwen2-Audio-7B-Instruct，不提出新攻击。