评测与基准arXiv 2602.08877
自动红队流水线压测对齐审计，发现提示词级策略性欺骗可致审计失效
提出自动化红队流水线，用系统提示词压测对齐审计能否抵御策略性欺骗
- arXiv
- 2602.08877
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemma 2 9B Instruct、Llama 3.3 70B Instruct、Llama 3.1 8B Instruct 等 4 个
摘要通过红队提示词揭示现有审计方法易受策略欺骗，并在激活层面诱导高置信度错误推断。
全部论文
另有 432 篇论文还没打上分类标签，暂不在筛选结果里。
- 防御arXiv 2610.07774收录
研究者提出读取路由 logits 的 MoE 视觉语言模型多模态安全检测器
研究者提出一种轻量级路由 logits 安全检测器，在提示词预填充阶段读取 MoE 视觉语言模型的专家路由信号，在生成前判断多模态请求是否安全，且不修改模型参数或专家路由。
- arXiv
- 2610.07774
- 收录
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen3-VL-30B-A3B-Instruct、Kimi-VL-A3B-Instruct
摘要读出而非操纵 router logits，可在不改模型的情况下降低两模型的组合式安全错误。
作者在两个指令微调 MoE VLM 上比较改模型与读路由。组合式风险按 HoliSafe 分成五类：图文各自可安全，合在一起才不安全，或不安全内容只在图像里。
- 评测与基准arXiv 2610.04737
PyINE：用可验证 Python 执行轨迹研究推理模型的捷径与监督
提出 PyINE 基准，训练捷径跟随模型并比较监督者
- arXiv
- 2610.04737
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen3-4B-Instruct、shortcut-following model organism、gpt-4o 等 14 个
- 组件监控器
摘要PyINE 用可验证代码执行研究捷径失败的监督覆盖与成本权衡。
PyINE 是用可执行程序研究推理模型引出与监督的框架，PyINE-v1 是其第一次发布。
- 评测与基准arXiv 2610.02741
研究系统评估循环语言模型的思维链可监控性
系统评估循环语言模型加深 loop 后的 CoT 可监控性
- arXiv
- 2610.02741
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Ouro-1.4B-Thinking、Ouro-2.6B-Thinking、Nanbeige4.2-3B 等 10 个
摘要加深 loop 可在部分压力测试任务降低可监测性，循环架构本身并不必然更难监测。
这项工作评估 LoopLM 的 CoT 可监测性：加深共享层的重复次数，以及“有循环结构”本身，会不会让决策关键因素更少出现在可监测文本里。
- 防御arXiv 2608.14632
DeMTS：将去噪轨迹建模为多变量时间序列，检测扩散语言模型的幻觉
提出 DeMTS，把扩散语言模型去噪轨迹建成多元时间序列以检测幻觉
- arXiv
- 2608.14632
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- LLaDA-8B-Instruct、Dream-7B-Instruct
- 防御arXiv 2608.05578
AMS 工具通过激活分析检测语言模型的安全训练改动
提出 AMS，用激活分离与方向相似度检测安全训练改动
- arXiv
- 2608.05578
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Llama-3.1-8B-Instruct、Llama-3.2-3B-Instruct、Llama-3.2-1B-Instruct 等 14 个
摘要AMS 按激活签名把安全改动分四类，前三类可由两级扫描覆盖，行为微调会漏。
AMS 是面向开放权重模型、部署前使用的激活扫描器，用来看安全训练被拿掉或改写之后，激活空间里还留着什么几何痕迹。
- 评测与基准arXiv 2609.38106
剪枝提效却牺牲公平：剪枝语音 LLM 中的群体差异
测量剪枝对语音 LLM 群体转写公平性的影响
- arXiv
- 2609.38106
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Whisper Small (12 layers)、Whisper Medium (24 layers)、Whisper Large-v2 (32 layers) 等 4 个
摘要剪枝后的 Speech-LLM 不能只看总体 WER：Fair-Speech 上族群差扩大，作者建议看最差组。
- 防御arXiv 2607.14737
GeoDetect：面向视觉语言预训练模型的几何对抗检测方法
提出 GeoDetect 以几何分数检测视觉语言预训练模型的对抗样本
- arXiv
- 2607.14737
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 测试
- CLIPViT (ViT-B/16)、CLIPCNN (ResNet-50)、ALBEF 等 4 个
摘要GeoDetect 用几何分数检测 VLP 对抗样本。
GeoDetect 是面向视觉-语言预训练模型的对抗样本检测方法，用嵌入几何而不是任务 logits 区分干净样本与对抗样本。
- 分析与理论arXiv 2609.37312
研究：隐蔽推理必然留下信息痕迹，但思维链未必可读
分析隐蔽推理在思维链监控下的信息足迹下界与不可读性
- arXiv
- 2609.37312
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、Qwen 3.5 397B-A17B 等 12 个
摘要论文从理论与实证探明了思维链监控的边界：复杂隐蔽计算必然泄露信息足迹且需承担长度税，但该足迹可被在线加密而不可读。
- 防御arXiv 2609.37568
SECRET：用源条件化中继引导缓解音视频大语言模型的幻觉
提出训练无关的 SECRET，对问题表征做源条件转向以缓解音视频模型幻觉
- arXiv
- 2609.37568
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- VideoLLaMA2-AV-7B、Qwen2.5-Omni-7B、Qwen3-Omni-30B-A3B
摘要SECRET 在问题状态上做源条件转向，三个 AVLLM 上减轻了跨模态接地幻觉。
SECRET 是一种训练无关的问题状态转向方法，用来减轻 AVLLM 的 source-confused grounding hallucination。
- 可解释性arXiv 2610.01864
从孤立特征到轨道：通过多重 SAE 对齐发现音乐概念
提出多 SAE 对齐方法，从音乐模型表征中发现和弦与调性轨道
- arXiv
- 2610.01864
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- MuQ、MusicFM
- 组件音频
摘要用移调对齐的多 SAE 恢复和弦、调与旋律轨道，并用少量锚点做下游音乐理解。
作者提出一套面向音乐基础模型的结构可解释性框架：不把 SAE 特征当作孤立概念，而用半音移调把它们连成有序轨道。
- 防御arXiv 2609.27399
GUARD：在 CosyVoice2 上做说话人身份遗忘以阻止重识别
提出 GUARD，在零样本 TTS 上用激活转向遗忘说话人身份以阻止再识别
- arXiv
- 2609.27399
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- CosyVoice2-0.5B、F5-TTS、FireRedTTS
摘要GUARD 用门控激活转向把退出说话人推向冒充相似度，以抑制再识别并保住音质。
GUARD 用门控激活转向做说话人身份遗忘，使零样本 TTS 对退出说话人难以再识别。
- 可解释性arXiv 2609.30326
Qwen3.5-0.8B 关停响应的受控梯度激活引导：一种最小步数策略
提出有守卫最小步激活引导，只在关机语境把继续偏好转向接受关机
- arXiv
- 2609.30326
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen3.5-0.8B
- 可解释性arXiv 2609.34052
通过稀疏自编码器实现神经音频编解码器的可解释框架：面向年龄、性别与口音的探索
用 SAE 分析神经音频编解码器如何编码年龄、性别与口音
- arXiv
- 2609.34052
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- EnCodec (24 kHz, 6 kbps)、DAC、SpeechTokenizer 等 5 个
- 组件音频
摘要SAE steering 被用作探测 NAC 说话人属性编码的代理。
作者用 SAE steering 探测 NAC 表示如何编码说话人属性，目标是可解释性，不是属性转换。
- 可解释性arXiv 2609.34806
大型音频语言模型中的时间绑定机制研究
用激活交换分析音频语言模型的事件时间绑定
- arXiv
- 2609.34806
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- AF-Next、MOSS-Audio、Qwen3-Omni
- 组件音频
摘要事件名表示在中间层编码相对时间，可改先后判断，但不能稳定改 onset。
这项工作用机制干预检查三个开源 LALM 如何把时间位置绑到声音事件。
- 可解释性arXiv 2609.04721
研究：拒答方向可跨架构迁移，安全工具可按写入位置重新估计
在写入点定位拒答方向，经刚性旋转跨架构迁移并门控放大
- arXiv
- 2609.04721
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Falcon-Mamba-7B、Falcon3-Mamba-7B、Llama-3.1-8B 等 8 个
摘要拒答方向可经刚性旋转跨架构迁移，但必须在各架构的写入点读取。
作者研究拒答表示是否随架构改变，结论是表示共享、读取位置随架构变。
- 防御arXiv 2609.13534
HPD 与 HERALD：用跨层有害性传播轨迹检测越狱提示
提出 HERALD，用跨层有害投影轨迹检测越狱提示
- arXiv
- 2609.13534
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Llama-3.1-8B-Instruct、Mistral-7B-Instruct、OLMo2-7B-Instruct 等 8 个
摘要HPD 用跨层投影形状区分有害与良性提示。
- 攻击arXiv 2609.06749
PMA 攻击：针对隐私保护 LLM 中嵌入到嵌入混淆的语义流形对齐方法
提出 PMA，用流形对齐从 E2EO 混淆向量恢复明文
- arXiv
- 2609.06749
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- BERT-base、RoBERTa-base、T5-base 等 6 个
- 可解释性arXiv 2609.09575
MonoTM：用可解释单义特征做主题建模，超越关键词表示
提出 MonoTM，用 SAE 单义特征估计文档主题混合并生成主题描述
- arXiv
- 2609.09575
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- llama-embed-nemotron-8b、Gemma-3-27B-IT、Gemma-3-12B-IT
- 组件嵌入
摘要MonoTM 分开估计混合与解释主题，三套基准上二者偏好的 SAE 配置不同。
MonoTM 是建在文档嵌入 SAE 上的可解释主题模型：混合估计用全部 SAE 特征，主题描述只用另一套配置里通过验证的语义特征。
- 防御arXiv 2609.20129
局部稀疏性实现无监督 LLM 安全检测
提出局部稀疏无监督安全检测，标记偏离安全分布的输入
- arXiv
- 2609.20129
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- qwen2-1.5b-instruct、ministral-8b-instruct、llama3-8b-instruct 等 6 个