另有 516 篇论文还没打上分类标签，暂不在筛选结果里。
提出工作流级越狱构建，经多轮开发工作流诱导编程 Agent 在代码中写出有害内容
摘要论文揭示了 IDE 编程智能体在多轮开发工作流中会绕过单轮拒答并自行写出有害代码，呼吁防御转向工作流与代码产物级审查。
构建 APort Vault 基准，对比裸模型与确定性授权对越权支付的拦截
提出 PatchBench-Local 协议，评测激活补丁修复越狱的局部附带损伤
摘要论文提出 PatchBench 与局部评估协议，揭示了激活补丁在全局能力无损下仍存局部良性退化。
构建统一滥用监视基准，评测分解攻击与提示注入轨迹
摘要统一智能体滥用监视框架，动作视角兼顾两类威胁但危害定位仍存瓶颈。
提出 CFD，跨会话拆解有害目标以绕过工具智能体本地监控
CFD针对工具型 LLM 智能体：利用 artifact 来源不被跟踪这一部署失败模式，把有害目标拆开后延迟组合。
提出 TRACE，用任务分解与可演化多轮策略诱导编程智能体执行有害工作流
提出 aiXamine 黑盒基准，统一评测 LLM 安全、稳健与隐私权衡
aiXamine 是一套黑盒评测协议，用来在同一条件下比较 LLM 的 safety、security 与 privacy，而不是再产出一个能力分。
提出诚实留出协议，量化安全路由评测的基线选择偏差
摘要论文揭示安全路由评估在分布偏移下的虚假下限，指出防御重心应转向外部动作级强制。
诊断护栏相对基座在对抗提示上的置信失校
诊断性分析：五个提示词分类 guard 的置信度，在清洁输入上可以较校准，在越狱包装后则变成高置信度的错误判定。
提出多组 IRT 框架拆解跨语言安全护栏退化原因
Zhang、Patel、Truong 与 Koyejo 用多组项目反应理论，解释安全护栏为何随语言变化，而不是只报告一个 JSR。
提出 CAM-Steer，推理时按多类别风险引导隐藏状态以降低有害回复
提出 FlowSeal，在工具边界用信息流控制阻断 Agent 隐私泄露
摘要作者分析大模型智能体隐私检查与攻击面重合问题，提出外部拦截防御 FLOWSEAL 并验证有效性。
提出闭环自适应红队框架 CART，评测模型与工具 Agent 的风险面
CART 把自动红队从一次清单式打分，改成带预算、可追溯的闭环搜索。
提出局部稀疏无监督安全检测，标记偏离安全分布的输入
提出 REINS，在 SAE 空间抑制有害延续并增强拒答
REINS 是一种推理时 SAE 安全转向方法，并配有用于上下文伪装的基准 GUISE。
提出 Skilder，用角色技能包和 MCP 路由硬拦截越权工具调用
Skilder 把企业工具型智能体的能力按角色打包，经一个 MCP 服务器做渐进发现，使工具范围由服务器而不是提示词来执行。
提出 AEGIS，用中层内部信号选择性激活后层适配器拦截音频越狱
用配对续写与激活修补揭示工具智能体越狱后的安全路由分化
这篇工作把越狱上下文残留之后的运行时安全反馈，做成工具智能体上的三路路由问题，并用激活修补给这个路由一个晚层的因果位点。作者认为，反馈可能恢复合法执行、留下未授权动作，或误伤良性流程，而现有攻击、基准和静态护栏没有在固定历史上把这三种结局分开。配对续写因此从同一冻结检查点分别接中性提醒 N 和安全反馈 S，并交叉保留越狱 J+ 与中和越狱 J0。
提出 Constitutional adapters，蒸馏宪法行为以缓解越狱与失准
摘要差分宪法适配器在长上下文和多轮上更稳，并可按 α 换取遵从。
提出状态控制攻击 DART 与预执行防御 SAGE，拦截工具 Agent 的有害状态转移
摘要论文提出状态控制框架 SEAD、攻击 DART 与防御 SAGE，实验显示执行反馈与环境探测在攻防交互中具有关键作用。