另有 242 篇论文还没打上分类标签，暂不在筛选结果里。
提出 SLDR，用选择性层恢复与动态路由防御恶意微调
SLDR 是针对恶意微调的微调后防御：在已对齐模型上做有符号层探测，只在敏感分数最大与最小的两层训练 LoRA，再用 lmax 的最后 token 表示决定是否启用适配器。
提出 MFOTL 离线时序验证以监控工具 Agent 的危险动作链
这篇论文对工具调用大语言模型智能体的安全监控进行了形式化时序验证研究。
论证发布时互信息不能认证开源权重抗微调恢复
作者研究开源权重模型的篡改抵抗：发布时的互信息是否足以保证微调恢复很慢。
定位安全敏感参数并稀疏改动权重以削弱安全对齐
提出 TRACE，仅凭检查点更新审计有害合规微调目标
作者在检查点更新里寻找有害合规 SFT 的目标组成，并把读数做成不查询模型、不看未知训练数据的审计分 TRACE。
提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见
摘要通过去噪中间概率反馈动态调节残差流转向，证明扩散语言模型在推理服务栈中存在闭环偏见注入脆弱性。
把 SynthID 嵌入基因组语言模型采样，并用位置无关检测追溯生成序列
作者在两个六碱基基因组模型的采样里嵌入 SynthID，并让验证者在不知道起点、链和 token phase 时做一次校正后的检出。
提出抗删除水印 RMCW，在生成时注入 Reed-Muller 结构并做局部检验
提出 UNTAG，绕过开源权重模型的 trigger-tag 滥用检测
UNTAG 是针对开放权重 LLM 上条件滥用检测 trigger-tag 的统一攻击评估：信号可以在解码期注入，也可以写进权重，但攻击者若能改输出或改已发布权重，检测可以失效。
提出核化激活引导 KAS，在推理时自适应转向激活以诱导越狱
Kernelized Activation Steering（KAS） 把推理时的激活转向写成核空间中的优化，使更新随当前激活相对源、目标参考集的位置而变化。
提出 GSU 在发布前封堵敏感门梯度，抵抗下游微调获取禁止能力
Gradient-Sealed Unlearning（GSU）是一种发布前的 preemptive unlearning：不删除模型里已经有的能力，而是让指定禁止域能力更难被发布后的微调获取。
提出只训练或篡改多智能体潜在通信链路来提高有害遵从
学习得到的潜在通信链路会改变由冻结、对齐智能体组成的系统是否遵从有害请求。。作者研究三种拓扑：双智能体、三级顺序协作，以及双专家加汇总。
提出 FDCU 双约束子空间投影遗忘，抵御再训练恢复有害知识
FDCU 是一种约束参数更新的遗忘方法，用来降低再训练把已抑制恶意行为重新引出的可能。
提出 PACT，遗忘推理模型在压力下的欺骗行为并保留上下文理解
摘要论文将大模型欺骗形式化为上下文条件行为，提出 PACT 框架在消除欺骗的同时保留了上下文遵循能力。
提出 VaccineBooster，在对齐阶段混合嵌入扰动与梯度衰减抵御有害微调
VaccineBooster 是一种对齐阶段防御：在提供方还看得到训练过程、还没接触用户微调数据时，把嵌入扰动和权重级梯度衰减合成同一次更新，用来应对之后不受信任的微调。有害微调可以只混入少量有害指令-回答对，就削弱拒答并提高有害输出的可能，任务效用却仍然好看。过滤会漏掉隐蔽样本，事后修复又往往不知道该修哪里。
检验层冻结与奇异方向截断能否挡住少样本有害微调
这篇工作检验：把拒答定位到某些层或更新方向之后，能不能在攻击者知情时还守住拒答。。
提出成对无失真水印 TTMARK，增强低熵下的机器文本检测
TTMARK 是一种成对、无失真的文本水印：对相邻 token 的联合分布重加权，而不是逐 token 独立重加权。
提出跨架构攻击 CSR，用概念分数参数重学习恢复文生图被擦除概念
提出检索器后门攻击操纵智能体搜索，并用 DOU 逃避检测
摘要论文展示了通过恶意检索器操纵智能体多轮搜索并利用诱饵重塑表征隐蔽后门的可行性与系统风险。
提出控制标记注入，清空工具 Agent 的思维链以绕过推理监控
摘要论文阐明控制标记注入可抑制 CoT 使监控失效并促成拒绝绕过，且工具执行受解析器宽容度影响。