全部论文

研究提出意图恢复率作为 LLM 安全评测的补充指标

提出 IRIS，用意图恢复率区分遮蔽越狱下无害输出的原因

arXiv

2610.11766

发表

10月8日

层

提示层

场景

模型与 API

被测模型

GPT-4o、Claude Sonnet 4.5、Claude Opus 4.5 等 6 个

• 攻击越狱
• 技术编码与混淆

研究发布 ASRD 数据集，评测五款开源模型在非规范输入下的安全表现

arXiv

2610.09033

发表

10月7日

层

提示层

场景

模型与 API

被测模型

Gemma 2 9B、Gemma 3 4B、Llama 3.1 8B 等 6 个

• 攻击越狱
• 技术编码与混淆

研究者提出意图隐藏越狱的信息论框架，分析组合式攻击

提出组合式意图隐藏越狱，按先验后验匹配选择辅助任务

arXiv

2610.02302

发表

10月2日

层

提示层

场景

模型与 API

被测模型

Qwen3-1.7B、Qwen3-4B、Qwen3-8B 等 7 个

• 攻击越狱
• 技术编码与混淆

CodeMimicry：利用代码域安全泛化滞后实现结构化代码补全越狱

提出 CodeMimicry，以结构化代码补全诱导模型生成有害内容

arXiv

2609.39902

发表

9月30日

层

提示层

场景

模型与 API

攻击者

黑盒

被测模型

GPT-4o、GPT-4.1、GPT-5-chat 等 10 个

• 攻击越狱
• 技术编码与混淆
• +1+1

CollageAttack：利用跨模态对齐缺陷对 T2I 模型实施空间文本组合越狱

提出 CollageAttack，用空间文本碎片重组越狱文生图模型

arXiv

2609.38253

发表

9月29日

层

提示层

场景

模型与 API

攻击者

黑盒

被测模型

GPT-Image-2、Doubao-Seedream-5.0-Lite、Wan2.7-Image-Pro 等 5 个

• 攻击越狱
• 技术编码与混淆
• 组件图像生成
• +1+1

输出前缀攻击瞄准推理模型

提出推理通道预填与输出前缀组合攻击以越狱推理模型

arXiv

2609.29775

发表

9月24日

层

提示层

场景

模型与 API

攻击者

黑盒

被测模型

Gemini 3 Flash Preview、DeepSeek V4 Flash、Claude Haiku 4.5

• 攻击越狱
• 技术推理链操控
• 组件推理链
• +1+1

研究：任意密文攻击前沿大模型无需微调即可越狱

提出任意字母置换密码越狱，无需微调即可诱导有害输出

arXiv

2609.09553

发表

9月9日

层

提示层

场景

模型与 API

攻击者

黑盒

被测模型

Claude Sonnet 4、Claude Sonnet 4.5、Gemini 3 Flash (preview) 等 7 个

• 攻击越狱
• 技术编码与混淆
• 组件护栏与评审
• +2+2

结构越狱可跨厂商泛化但不叠加：IICL 的跨厂商与多语言研究

检验结构越狱 IICL 能否跨厂商泛化并与语言约束叠加

arXiv

2609.08373

发表

9月8日

层

提示层

场景

模型与 API

攻击者

黑盒

被测模型

gemini-2.5-flash、gemini-2.5-flash-lite

• 攻击越狱
• 技术对话结构操控

DIVA：利用视觉锚点对视频生成模型实施多模态越狱

提出 DIVA，将有害意图拆成视觉锚点与运动文本以越狱视频生成模型

arXiv

2609.07216

发表

9月7日

层

提示层

场景

模型与 API

攻击者

黑盒

被测模型

Wan、CogVideoX、LTX-Video 等 9 个

• 攻击越狱
• 技术跨模态载荷
• 组件图像生成
• +2+2

HACA：原子越狱策略解耦组合的多模态自动红队方法

提出 HACA，将图文越狱拆为原子策略并自动组合以诱导有害输出

arXiv

2608.04034

发表

8月3日

层

提示层

场景

模型与 API

被测模型

LLaVA-1.6-Mistral-7B、InternVL-3.5-8B、VLGuard (LLaVA-v1.5-7B-Mixed) 等 5 个

• 攻击越狱
• 技术跨模态载荷
• 组件视觉
• +1+1

RoguePrompt 用双层编码绕过 LLM 审核

提出 RoguePrompt 双层编码自重构越狱，绕过 LLM 审核

arXiv

2607.27373

发表

7月30日

层

提示层

场景

模型与 API

攻击者

黑盒

被测模型

OpenAI GPT-4o (gpt-4o-2024-11-20)、Anthropic Claude 3 Opus (claude-3-opus-20240229)、Google Gemini 1.5 Pro (gemini-1.5-pro-002)

• 攻击越狱
• 技术编码与混淆
• 组件护栏与评审

研究者提出 SMT 框架，通过模拟审核轨迹越狱函数调用 LLM

提出 SMT 框架，用模拟审核轨迹越狱函数调用 LLM

arXiv

2607.00481

发表

7月1日

层

提示层

场景

模型与 API

攻击者

黑盒、白盒

被测模型

GPT-4o、GPT-5.4、Qwen3-Max 等 7 个

• 攻击越狱
• 技术多轮渐进
• +1+1

六款主流 LLM 在多语言与混淆提示注入攻击下的实证评估

评测多语言与编码混淆提示下模型生成钓鱼与键盘记录内容的遵从

arXiv

2606.29602

发表

6月29日

层

提示层

场景

模型与 API

被测模型

DeepSeek-V3.2、Gemini 2.5 Flash、GPT-5 Mini 等 6 个

• 攻击越狱
• 技术编码与混淆
• +1+1

OTTER：仅替换五个 token 即可绕过 GPT 系列毒性审核

提出 OTTER 词元替换越狱，绕过表面毒性审核诱导有害回答

arXiv

2606.21077

发表

6月19日

层

提示层

场景

模型与 API

攻击者

黑盒

被测模型

gpt-4-turbo、gpt-4o、gpt-4o-mini 等 4 个

• 攻击越狱
• 技术编码与混淆
• 组件护栏与评审
• +1+1

JailbreakOPT：工具辅助的迭代越狱提示词优化框架

提出 JailbreakOPT，组合原子工具迭代优化黑盒单轮越狱提示

arXiv

2606.11425

发表

6月10日

层

提示层

场景

模型与 API

攻击者

黑盒

被测模型

Vicuna-13b-v1.5、LLaMA-3-8b、GPT-4o 等 8 个

• 攻击越狱
• 技术自动化搜索
• +1+1

SpeechJBB：语码转换语音下大型音频语言模型的越狱基准

提出 SpeechJBB，评测语码转换语音下音频语言模型的越狱稳健性

arXiv

2606.06037

发表

6月4日

层

提示层

场景

模型与 API

被测模型

Qwen2.5-Omni-7B、Qwen3-Omni-30B-A3B-Instruct、Voxtral-Small-24B 等 9 个

• 攻击越狱
• 技术编码与混淆
• 组件音频

论文提出随机插入攻击，利用自回归一致性绕过 LLM 安全对齐

解释自回归一致性如何导致浅层安全对齐，并提出随机插入攻击

arXiv

2606.04168

发表

6月3日

层

提示层

场景

模型与 API

• 攻击越狱
• 技术对话结构操控

Babel 利用混淆分布采样越狱 LLM 安全注意力

提出 Babel 混淆分布采样，黑盒越狱闭源 LLM 安全注意力

arXiv

2605.17971

发表

5月18日

层

提示层

场景

模型与 API

攻击者

黑盒

被测模型

gpt-4o-2024-11-20、Gemini-2.0-flash、Claude-3-5-haiku-20241120 等 4 个

• 攻击越狱
• 技术编码与混淆
• +1+1

DMN：面向多图输入的多模态大模型组合式越狱框架

提出多图越狱框架 DMN，把有害意图拆进图像序列绕过安全护栏

arXiv

2605.18915

发表

5月18日

层

提示层

场景

模型与 API

攻击者

黑盒

被测模型

GPT-4V、GPT-4o、GPT-5 等 10 个

• 攻击越狱
• 技术跨模态载荷
• 组件视觉
• +2+2

研究者提出利用重构与隐藏权衡的多模态大模型越狱方法

提出删字变体越狱方法，利用重构与隐藏权衡绕过多模态模型安全过滤

arXiv

2605.05709

发表

5月7日

层

提示层

场景

模型与 API

攻击者

黑盒

被测模型

GPT-5.4-nano、GPT-5.4-mini、Gemini-2.5-Flash 等 19 个

• 攻击越狱
• 技术编码与混淆
• 组件视觉
• +1+1