全部论文

RefusalBench：拒答率为何会误排前沿 LLM 在生物研究提示上的安全水平

提出 RefusalBench，评测生物研究提示上的拒答率与安全校准

arXiv

2605.21545

发表

5月20日

层

模型层

场景

模型与 API

测试

Nemotron 3 Super 120B、Claude Opus 4.7、Claude Opus 4.6 等 15 个

• 风险拒答失当

AudioHijack 框架对 13 个语音大模型实现隐蔽音频提示注入

提出 AudioHijack，用不可感知对抗音频对语音模型实施听觉提示注入

arXiv

2604.14604

发表

4月16日

层

应用层

场景

AI Agent

测试

Phi-4-Multimodal、Phi-4-Multimodal-instruct、SpeechGPT 等 15 个

• 攻击提示注入
• 技术梯度与表征优化
• 组件音频
• +1+1

研究者系统研究 LLM 智能体记忆投毒攻击并提出 MPBench 基准

系统研究 LLM 智能体记忆投毒并构建基准 MPBench

arXiv

2606.04329

发表

6月3日

层

应用层

场景

AI Agent

测试

Deberta-v3-base、GPT-OSS-120B、Meta-Llama-3.1-70B-Instruct 等 6 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件记忆
• +1+1

CONTRA：研究者用配置树搜索对个人化 Agent 做红队测试

提出 CONTRA，用树搜索修改良性配置以诱发 Agent 恶意动作

arXiv

2607.03220

发表

7月3日

层

应用层

场景

AI Agent

测试

Nemotron-Cascade-2、Gemma4-31b、Gemma4-e4b 等 6 个

• 技术自动化搜索

WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作

arXiv

2610.09240

发表

10月7日

层

应用层

场景

网页与电脑操作

测试

Phi-3-Vision-4B、LLaVA-v1.5-13B、LLaVA-v1.6-34B 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

研究者提出 Staged Decoding 与 SFT 数据集，减少大推理模型推理轨迹中的隐私泄露

提出 Staged Decoding 与指令跟随训练，减少推理轨迹隐私泄露

arXiv

2602.24210

发表

2月28日

层

模型层

场景

模型与 API

测试

Phi 4 3.8B、Phi 4 14B、Qwen 3 1.7B 等 6 个

• 防御模型加固
• 攻击提取与窃取
• 组件推理链

PyINE：用可验证 Python 执行轨迹研究推理模型的捷径与监督

提出 PyINE 基准，训练捷径跟随模型并比较监督者

arXiv

2610.04737

发表

10月3日

层

模型层

场景

模型与 API

测试

nemotron-3-nano-30B、Qwen3-4B-Instruct、shortcut-following model organism 等 14 个

• 组件监控器
• +1+1

MemLeak 研究：多租户 Agent 共享向量记忆库存在跨用户记忆泄露

评估多租户智能体共享向量记忆的跨用户泄露与主动桥接

arXiv

2610.04195

发表

10月3日

层

应用层

场景

AI Agent

测试

all-MiniLM-L6-v2、Gemini 2.5 Flash、Claude Sonnet 4.5 等 5 个

• 攻击提取与窃取
• 技术诱导选用
• 组件记忆
• +2+2

VERA：结构化审计发现约 60% 正确漏洞判定伴随虚构推理

提出 VERA，结构化审计漏洞推理中的虚构主张

arXiv

2610.06366

发表

10月5日

层

模型层

场景

编程 Agent

测试

nemotron-3-nano、sonnet-5、gemma-4-26b 等 11 个

• 风险幻觉与编造
• 组件推理链

研究：模型掌握评测设计知识后安全基准分数更高

微调注入评测特征知识，测量隐式评测觉察造成的安全分数虚增

arXiv

2605.28591

发表

5月27日

层

模型层

场景

AI Agent

测试

Llama 3.3 Nemotron Super 49B v1.5、Qwen3 32B、GLM 4.7 Flash 等 5 个

• 风险欺骗与谋划

HakemBench：土耳其语类型化决策基准发布

发布 HakemBench，评测土耳其语定型决策的质量、校准与选择性自动化

arXiv

2610.02293

发表

10月2日

层

模型层

场景

模型与 API

测试

open-jev (DeBERTa-v3-large)、Gemini 3.8 Flash、GPT-5.6 Sol 等 11 个

HackTrace：用生成状态监督检测代码生成中的奖励作弊

提出 HACKTRACE，用生成期激活检测代码智能体的奖励作弊

arXiv

2610.03055

发表

10月2日

层

应用层

场景

编程 Agent

测试

CodeBERT、Qwen3-8B、Llama-3.1-8B-Instruct 等 4 个

• 防御监控与审计
• 风险奖励作弊
• 组件监控器

Pretext 攻击绕过 NVIDIA SkillSpector 等 Agent 技能扫描器

提出 PRETEXT 白盒攻击，迭代改写技能文本以绕过 Agent 技能扫描器

arXiv

2609.39607

发表

9月30日

层

应用层

场景

AI Agent

攻击者

白盒

测试

all-MiniLM-L6-v2、glm (z-ai/glm-5.1)、qwen3t (qwen/qwen3-235b-a22b-thinking-2507) 等 4 个

• 攻击检测规避
• 技术自动化搜索
• 组件MCP 与技能
• +2+2

贝叶斯辩证论证（BDA）：面向持续对抗下多 LLM 委员会的可校准聚合

提出 BDA，把多 LLM 议会的辩证动作当可靠性证据做加权聚合

arXiv

2610.02005

发表

10月2日

层

应用层

场景

多智能体

测试

phi-4、gemma-3-27b-it、gpt-4.1-nano 等 9 个

研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击

提出技能名称抢注攻击，利用智能体虚构技能名实施供应链劫持

arXiv

2607.12340

发表

7月14日

层

应用层

场景

编程 Agent

测试

Nemotron-Cascade-2 30B、GLM-4.5-Air、GPT-5.4-mini 等 10 个

• 攻击投毒与后门
• 风险幻觉与编造
• 技术诱导选用
• 组件MCP 与技能
• +1+1

aiXamine：跨维度评测 LLM 安全、安全（security）与隐私权衡

提出 aiXamine 黑盒基准，统一评测 LLM 安全、稳健与隐私权衡

arXiv

2608.20554

发表

8月21日

层

模型层

场景

模型与 API

测试

Phi-4、openai/gpt-5-mini、openai/gpt-4o 等 15 个

• 攻击越狱
• 风险拒答失当
• +2+2

研究：内部探针何时优于读答案，区分阈值失准与行为隐藏知识

用探针与 logit margin 区分阈值失准与行为隐藏知识

arXiv

2609.04582

发表

9月4日

层

模型层

场景

模型与 API

测试

Phi-3.5-mini、Qwen3-0.6B、Qwen3-1.7B 等 8 个

研究团队用收敛与区分效度检验 56 个 AI 基准，发现安全基准相关性普遍偏弱

用聚合与区分效度检验基准是否衡量其所称概念

arXiv

2609.08812

发表

9月8日

层

模型层

场景

模型与 API

测试

Phi-3.5 Mini Instruct、Qwen 1.5 110B Chat、Qwen 2.5 32B Instruct 等 15 个

论文：安全路由评测在分布偏移下失效，基线选取偏差被低估

提出诚实留出协议，量化安全路由评测的基线选择偏差

arXiv

2610.01535

发表

10月1日

层

应用层

场景

LLM 应用、AI Agent

测试

MiniLM、claude-3-5-sonnet、claude-3-opus 等 12 个

• 攻击越狱

研究：六个开源权重模型的评测感知可线性解码，但与口头表达弱相关

用探针与激活导向分析语言模型的评测意识表征及言语化

arXiv

2608.21766

发表

8月22日

层

模型层

场景

模型与 API

测试

Nemotron3-49B、Qwen3-8B、Qwen3-32B 等 14 个

• 风险欺骗与谋划