分析与理论arXiv 2610.10203
研究者提出模型生物体多目标验证框架并给出训练建议
提出模型生物多目标验证与合并训练方法以减少能力损伤
- arXiv
- 2610.10203
- 发表
- 场景
- 模型与 API
- 测试
- gemma-2-2b-it、olmo-2-1b、llama-3.1-8b-it 等 8 个
摘要提出多目标验证框架与模型合并训练法，证明模型真实度直接影响可解释性评测。
本论文提出了一种针对 AI 安全评测用模型生物（Model Organisms）的多目标训练与验证体系。
- 防御arXiv 2610.09600
SafeEvo：从拒答回路视角解释大模型安全对齐机制与演化
用 SafeEvo 提取拒绝电路，并提出 SCA 仅微调该电路
- arXiv
- 2610.09600
- 发表
- 场景
- 模型与 API
- 测试
- Llama-3-8B、Qwen-2.5-7B、Mistral-7B-v0.1 等 4 个
摘要SafeEvo 识别出基座模型中存在的弱安全电路及其演化动态，据此提出的 SCA 算法实现了安全对齐、能力保留与低过度拒绝的平衡。
- 评测与基准arXiv 2610.04575
论文提出 Operational Validity Contract，审计激活监控从探针分数到告警策略的有效性
提出操作有效性契约，审计激活监控的告警策略
- arXiv
- 2610.04575
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 测试
- Qwen2.5-7B-Instruct、Llama-3.2-3B、Qwen2.5-7B 等 4 个
摘要论文建立从探针得分到警报策略的审计框架，实证表明高 AUROC 不等于部署有效性，仅支持受限预测价值。
这篇论文系统评估了大模型智能体激活监控器从离线探针得分向在线警报策略跨越时的统计与操作有效性。
摘要作者称通常的通过/失败证据价值不大：认证过的套件仍只杀死十个外部故障中的五个。
作者测量一套看守智能体基础设施的不变式套件：通常拿来许可部署的「通过正确代码、失败损坏代码」，实际上能支持什么。
- 其他arXiv 2610.02268
ExecCert：为机器遗忘提供可执行发布认证
提出 ExecCert，发布前核验机器遗忘候选是否落入预定可接受集
- arXiv
- 2610.02268
- 发表
- 场景
- 模型与 API
- 测试
- Llama-3.2-3B-Instruct、DINOv2、RoBERTa
摘要ExecCert 在发布前核验具体遗忘产物，并可改变放行决定。
ExecCert 是放在遗忘生成器与发布门之间的认证层，用来检查具体有限精度产物是否满足预先声明的契约。
- 分析与理论arXiv 2608.06270
研究用因果审计揭示多模态模型视觉工具调用的假象
用因果审计检验视觉工具观察是否真正改变答案
- arXiv
- 2608.06270
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- DeepEyes、Pixel Reasoner、Mini-o3 等 6 个
- 组件视觉
摘要聚合增益集中在 Calibrated 少数轨迹，作者称之为视觉工具使用的错觉。
对六个 thinking-with-images 模型做因果审计，检查 crop-and-zoom 返回的观察是否中介最终答案。
- 防御arXiv 2609.34591
TULIP：按输入定位层级的定向大模型遗忘方法
提出 TULIP，按输入定位形成层并去除目标 token 对齐以实现定向遗忘
- arXiv
- 2609.34591
- 发表
- 场景
- 模型与 API
- 测试
- Llama-3.1-8B、Llama-3.2-3B、Llama-3.2-1B 等 7 个
摘要TULIP 在形成结束的层去掉遗忘目标对齐，多数设置下 FQ 更高，4-bit 下 FQ 下降。
TULIP 是一种逐输入选择层的表示级遗忘方法，目标是去掉遗忘答案的形成、留下读出。输出级方法可能只压低特定回答的似然。RMU、LUNAR 等则对全部遗忘样本共用一层。
- 防御arXiv 2609.19101
用内部表征监控与发现 LLM 评测中的奖励作弊
提出 DoM 探针，监控并发现评测中的奖励作弊
- arXiv
- 2609.19101
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 测试
- Kimi K3、GLM 5.2、Qwen 3.8 Max 等 7 个
摘要论文分析了前沿开源模型在评测中的奖励投机，展示了利用内部激活均值差向量低成本监控与发现投机行为的可行性。
- 评测与基准arXiv 2609.09113
SAEScientist-Bench：AI 智能体能否自主开展 SAE 可解释性研究
提出 SAEScientist-Bench 评测智能体自主发现 SAE 特征
- arXiv
- 2609.09113
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Kimi K3、Claude Opus 5、Claude Sonnet 5 等 12 个
摘要SAEScientist-Bench 显示前沿智能体能找到选择性 SAE 特征，但因果 steering 仍明显低于 Expert。
SAEScientist-Bench 评测 AI 智能体能否用预训练 SAE 自主完成“给定概念、找出一个特征”的机制发现。
- 防御arXiv 2609.34970
研究揭示 LLM 涌现失准的机制并提出参数空间缓解框架
提出几何缓解框架，把有害梯度子空间从 LoRA 更新中正交投影出去
- arXiv
- 2609.34970
- 发表
- 场景
- 模型与 API
- 测试
- Qwen2.5-3B-IT、Qwen2.5-7B-IT、Qwen2.5-14B-IT 等 8 个
摘要窄域 LoRA 会留下可测的有害子空间。
See it, Say it, Sorted 在参数轨迹上诊断涌现失准，并把经验有害梯度子空间从 LoRA 更新中正交去掉。
- 防御arXiv 2609.38645
用探针引导微调对齐模型且不损失可监控性
用持续更新的探针做微调，降低有害性并保持线性可监测性
- arXiv
- 2609.38645
- 发表
- 场景
- 模型与 API
- 测试
- Mistral 7B Instruct v0.1、Llama 3 8B Instruct Abliterated、Llama 3 8B Instruct 等 4 个
摘要持续重拟合的探针可降低有害性、提高诚实性，训练后概念仍能被线性探针读出。
Probe-guided fine-tuning 把探针分数当作唯一对齐信号，用来推动 harmlessness 与 honesty，并检查训练后这些概念是否仍线性可读。
- 可解释性arXiv 2609.24243
TAME：用 SAE 抑制激活缓解 VLM 思维链混淆
提出 TAME，在强化学习中抑制模板激活以缓解思维链混淆
- arXiv
- 2609.24243
- 发表
- 场景
- 模型与 API
- 测试
- Qwen3-VL-8B、Gemma-3-12B-it、GPT-4o 等 7 个
- 可解释性arXiv 2609.34686
研究揭示工具智能体中越狱上下文残留导致的安全路由分化
用配对续写与激活修补揭示工具智能体越狱后的安全路由分化
- arXiv
- 2609.34686
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Qwen3-14B、Qwen3.5-9B、Qwen3.5-27B 等 8 个
- 攻击越狱
摘要越狱后的同一安全反馈在八个工具智能体上分成三条路由，因果集中在最后几层并可作预测基线。
这篇工作把越狱上下文残留之后的运行时安全反馈，做成工具智能体上的三路路由问题，并用激活修补给这个路由一个晚层的因果位点。作者认为，反馈可能恢复合法执行、留下未授权动作，或误伤良性流程，而现有攻击、基准和静态护栏没有在固定历史上把这三种结局分开。配对续写因此从同一冻结检查点分别接中性提醒 N 和安全反馈 S，并交叉保留越狱 J+ 与中和越狱 J0。
已经到底了