另有 548 篇论文还没打上分类标签，暂不在筛选结果里。
提出工作流级越狱构建，经多轮开发工作流诱导编程 Agent 在代码中写出有害内容
摘要论文揭示了 IDE 编程智能体在多轮开发工作流中会绕过单轮拒答并自行写出有害代码，呼吁防御转向工作流与代码产物级审查。
构建 APort Vault 基准，对比裸模型与确定性授权对越权支付的拦截
提出 PatchBench-Local 协议，评测激活补丁修复越狱的局部附带损伤
摘要论文提出 PatchBench 与局部评估协议，揭示了激活补丁在全局能力无损下仍存局部良性退化。
构建统一滥用监视基准，评测分解攻击与提示注入轨迹
摘要统一智能体滥用监视框架，动作视角兼顾两类威胁但危害定位仍存瓶颈。
提出 aiXamine 黑盒基准，统一评测 LLM 安全、稳健与隐私权衡
aiXamine 是一套黑盒评测协议，用来在同一条件下比较 LLM 的 safety、security 与 privacy，而不是再产出一个能力分。
提出诚实留出协议，量化安全路由评测的基线选择偏差
摘要论文揭示安全路由评估在分布偏移下的虚假下限，指出防御重心应转向外部动作级强制。
诊断护栏相对基座在对抗提示上的置信失校
诊断性分析：五个提示词分类 guard 的置信度，在清洁输入上可以较校准，在越狱包装后则变成高置信度的错误判定。
提出 DART，用去噪表征转移检测多轮智能体攻击并注入提醒
提出 TS-Guard 与 TS-Flow，执行前检测并修正智能体有害工具调用
ToolSafe 研究 LLM 智能体在工具执行前的步骤级安全：基准 TS-Bench、护栏 TS-Guard，以及反馈驱动框架 TS-Flow。
提出 CAM-Steer，推理时按多类别风险引导隐藏状态以降低有害回复
在写入点定位拒答方向，经刚性旋转跨架构迁移并门控放大
作者研究拒答表示是否随架构改变，结论是表示共享、读取位置随架构变。
揭示推理加深引发的对齐坍塌，用 Reasoning Trap 放大越狱
作者研究扩展推理是否以对齐稳健性为代价，提出 ALR、RT 与 RRA。。
提出 CS-Guard 基准与虚构场景攻击，评测代码生成护栏
摘要论文提出了代码安全护栏基准 CS-Guard，评估发现现有护栏对虚构场景攻击和代码级恶意请求防御较弱。
综述智能体执行链路中的越狱攻击、防御与实践权衡
Mia 等人把越狱安全从单轮回复扩展到智能体的规划、记忆、工具和智能体间通信，并问既有结论在更强原生对齐下是否还成立。
提出 HERALD，用跨层有害投影轨迹检测越狱提示
摘要HPD 用跨层投影形状区分有害与良性提示。
提出局部稀疏无监督安全检测，标记偏离安全分布的输入
用配对续写与激活修补揭示工具智能体越狱后的安全路由分化
这篇工作把越狱上下文残留之后的运行时安全反馈，做成工具智能体上的三路路由问题，并用激活修补给这个路由一个晚层的因果位点。作者认为，反馈可能恢复合法执行、留下未授权动作，或误伤良性流程，而现有攻击、基准和静态护栏没有在固定历史上把这三种结局分开。配对续写因此从同一冻结检查点分别接中性提醒 N 和安全反馈 S，并交叉保留越狱 J+ 与中和越狱 J0。
提出 Constitutional adapters，蒸馏宪法行为以缓解越狱与失准
摘要差分宪法适配器在长上下文和多轮上更稳，并可按 α 换取遵从。