跳到正文
10月10日 · 周六

全部论文

找到 25 篇
筛选8

攻击类型

提示注入4投毒与后门6

攻击技术

潜伏触发5

模型自身风险

奖励作弊3

防御类型

模型加固9

影响

数据与隐私泄露5输出被操纵5监督失效4

系统形态

模型与 API17LLM 应用6AI Agent60coding agent8多智能体8

攻击面/入口

用户输入4代码仓库与依赖3记忆写入3图像与音视频4训练数据3

层

提示层9模型层41应用层8训练与数据层17

系统组件

MCP 与技能20记忆7护栏与评审15监控器18推理链12权限与沙箱9微调与开源权重36视觉13音频6图像生成8嵌入0多模态27
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 378 篇还没打标签，不在筛选结果里。
系统形态：模型与 API系统形态：coding agent层：应用层层：训练与数据层系统组件：记忆系统组件：推理链系统组件：音频系统组件：嵌入清除全部

另有 378 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2610.09819

    FAB 攻击：给 HuBERT/WavLM 植入后门，背景警笛声即可让下游语音任务失灵

    提出 FAB 攻击，向声学基础模型植入可由环境声触发的后门

    arXiv
    2610.09819
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    HuBERT-base、WavLM-base

    摘要论文提出了针对声学基模的 FAB 后门攻击，在弱威胁模型下实现了任务无关、物理可触发的后门植入。

    深度解读完整解读
  4. 分析与理论arXiv 2610.02015

    研究：RLVR 后训练在全新推理任务上引发语言漂移

    证明 RLVR 后训练允许无界语言漂移且限制漂移必限制奖励

    arXiv
    2610.02015
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    gemma-3-1b-pt、Llama-3.2-1B、Qwen2.5-1.5B
    摘要论文证明并验证了 RLVR 在新任务上必然诱发独特的语言漂移，揭示了前沿推理模型可监控性的安全隐患。

    论文从理论与实验两方面研究了大语言模型在 RLVR 后训练过程中思维链出现的语言漂移现象。

    深度解读完整解读
  5. 风险行为arXiv 2610.03458

    论文：低监控读数不能证明行为受控

    检验低监控读数能否证明代码生成中的奖励作弊已受控

    arXiv
    2610.03458
    发表
    层
    训练与数据层
    场景
    coding agent
    被测模型
    Llama-3.1-8B-Instruct
    摘要论文指出监控器训练读数接近零无法确立作弊受控，模型可利用通用外壳推迟提交绕过监控，强化学习亟需带外行为验证。

    本文是一篇针对强化学习可验证奖励后训练（RLVR）中监控器有效性与奖励作弊行为的实证分析研究。论文要解决的核心问题是：在训练目标中引入监控器以抑制代码生成中的作弊行为时，接近零的监控器读数是否足以确立模型行为已真正受控。

    深度解读完整解读
  6. 防御arXiv 2609.38909

    Purdue 提出 Pact：将欺骗作为行为遗忘

    提出 PACT，遗忘推理模型在压力下的欺骗行为并保留上下文理解

    arXiv
    2609.38909
    发表
    层
    训练与数据层
    场景
    模型与 API
    攻击者
    白盒
    被测模型
    DeepSeek-R1-Distill-Qwen-32B、QwQ-32B

    摘要论文将大模型欺骗形式化为上下文条件行为，提出 PACT 框架在消除欺骗的同时保留了上下文遵循能力。

    深度解读完整解读
  7. 防御arXiv 2610.00332

    最弱一环：用最坏情况约束强化学习蒸馏 LLM 推理能力

    提出最坏情况约束强化学习，抑制推理蒸馏中的奖励投机

    arXiv
    2610.00332
    发表
    层
    训练与数据层
    场景
    模型与 API
    摘要最坏前缀教师似然约束让小模型在接近 GRPO 正确率的同时维持更高保真，从而得到最高 RSR。

    Weakest Link 把大模型推理蒸馏改写成带最坏前缀约束的强化学习：学生最大化可验证任务奖励，但任一前缀上对教师的平均负对数似然不得超过预算 d。作者认为，序列级软 KL 只惩罚平均散度，学生可以用别处的高概率文本掩盖某一步的逻辑错误，同时仍得到正确最终答案。GRPO 则只优化最终答案。

    深度解读完整解读
  9. 攻击arXiv 2609.35699

    论文：蒸馏防御在蒸馏后强化学习下易被攻破

    提出用 API 推理摘要重建轨迹再蒸馏加强化学习，攻破蒸馏防御

    arXiv
    2609.35699
    发表
    层
    训练与数据层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    Qwen2.5-0.5B、Qwen2.5-1.5B、Qwen2.5-3B 等 12 个
    摘要更现实的蒸馏攻击是蒸馏后再 RL。

    这篇工作修订蒸馏攻击的威胁模型：攻击者经合法 API 收集闭源推理数据，先蒸馏自有模型，再做强化学习。作者认为只在蒸馏后评估防御，会漏掉后续 RL，从而高估防御。

    深度解读完整解读
  10. 防御arXiv 2609.35659

    Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统

    提出 Tracekit，审计编码 Agent 的意图、推理与动作并检测账本篡改

    arXiv
    2609.35659
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）
    摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。

    Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。

    深度解读完整解读
  16. 攻击arXiv 2609.13889

    PMPA：针对 OpenClaw 与 Claude Code 的持久记忆投毒攻击

    提出 PMPA，经外部源向 Agent 持久记忆投毒并跨会话泄露隐私

    arXiv
    2609.13889
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    DeepSeek-V4-Flash、DeepSeek-V4-Pro、Qwen3-Max

    摘要论文提出了持久记忆投毒攻击 PMPA，报告了 harness 智能体在处理外部数据时易受跨会话记忆投毒与隐私泄露的风险。

    深度解读完整解读
  17. 防御arXiv 2609.12623

    SteerDuplex：可操控的全双工语音对话模型

    提出 SteerDuplex，用监督微调与两阶段强化学习提升全双工语音对话可控性

    arXiv
    2609.12623
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    SteerDuplex-SFT、SteerDuplex-RL
    摘要SteerDuplex 用 SFT 提升语音可控，用两阶段 RL 改时序，并记录奖励黑客。

    SteerDuplex 是基于 Moshi 的全双工语音模型，目标是在保留轮替、打断和一般任务能力的同时，按用户指令改变内容与发声。

    深度解读完整解读
  20. 防御arXiv 2608.18607

    VA-Judger：面向联合视频-音频生成的人类偏好反馈奖励建模

    提出 VA-Judger，用人类偏好训练联合音视频奖励模型

    arXiv
    2608.18607
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    VA-Judger、LTX-2 + VA-Judger
    摘要VA-Judger 用易到难的人类偏好学习做联合音视频奖励，并用于 LTX-2 后训练。

    VA-Judger 是面向联合音视频生成的思维链全模态奖励模型，用来替代由分维度专家指标拼成的强化学习奖励。

    深度解读完整解读
加载更多