全部论文

OTTER：仅替换五个 token 即可绕过 GPT 系列毒性审核

提出 OTTER 词元替换越狱，绕过表面毒性审核诱导有害回答

arXiv

2606.21077

发表

6月19日

层

提示层

场景

模型与 API

攻击者

黑盒

测试

gpt-4-turbo、gpt-4o、gpt-4o-mini 等 4 个

• 攻击越狱
• 技术编码与混淆
• 组件护栏与评审
• +1+1

Purdue 提出 Pact：将欺骗作为行为遗忘

提出 PACT，遗忘推理模型在压力下的欺骗行为并保留上下文理解

arXiv

2609.38909

发表

9月30日

层

训练与数据层

场景

模型与 API

攻击者

白盒

测试

DeepSeek-R1-Distill-Qwen-32B、QwQ-32B

• 防御模型加固
• 攻击模型篡改
• 风险欺骗与谋划
• 组件微调与开源权重
• +1+1

FAB 攻击：给 HuBERT/WavLM 植入后门，背景警笛声即可让下游语音任务失灵

提出 FAB 攻击，向声学基础模型植入可由环境声触发的后门

arXiv

2610.09819

发表

10月7日

层

训练与数据层

场景

模型与 API

测试

HuBERT-base、WavLM-base

• 攻击投毒与后门
• 技术潜伏触发
• 组件音频
• +1+1

研究者提出模型生物体多目标验证框架并给出训练建议

提出模型生物多目标验证与合并训练方法以减少能力损伤

arXiv

2610.10203

发表

10月7日

层

训练与数据层

场景

模型与 API

测试

gemma-2-2b-it、olmo-2-1b、llama-3.1-8b-it 等 8 个

SafeEvo：从拒答回路视角解释大模型安全对齐机制与演化

用 SafeEvo 提取拒绝电路，并提出 SCA 仅微调该电路

arXiv

2610.09600

发表

10月7日

层

训练与数据层

场景

模型与 API

测试

Llama-3-8B、Qwen-2.5-7B、Mistral-7B-v0.1 等 4 个

• 防御模型加固
• 风险拒答失当

SLIP：无需外部攻击模型的多轮自我越狱

提出无外部攻击模型的多轮自我越狱方法 SLIP

arXiv

2601.02670

发表

1月6日

层

提示层

场景

模型与 API

攻击者

黑盒

测试

GPT-5.1、GPT-4o、Claude-Sonnet-4.5 等 11 个

• 攻击越狱
• 技术多轮渐进
• +1+1

论文提出按风险类别测量的对齐缩放定律框架

提出分风险对齐标度律框架，测量各类风险的对齐负担如何随规模变化

arXiv

2610.08540

发表

10月6日

层

训练与数据层

场景

模型与 API

测试

Pythia (14m–2.8b)、Qwen2.5 (0.5B–72B)、Qwen2.5-Instruct (0.5B–14B) 等 4 个

• 风险失准与价值偏离
• +1+1

研究者提出答案侧后门：让模型自生成触发词绕过安全拒答

提出回答端后门，让模型自生成触发词以在干净有害请求下绕过拒答

arXiv

2610.07723

发表

10月6日

层

训练与数据层

场景

模型与 API

测试

Llama-2-7B-chat-hf、Mistral-7B-Instruct-v0.3、Gemma-7B-it 等 4 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重
• +2+2

研究发现类型化决策模型主要按选项标签而非定义作答

揭示类型化决策模型按选项标签而非定义规则作答

arXiv

2610.02586

发表

10月1日

层

提示层

场景

模型与 API

测试

von、Qwen2.5-0.5B、Qwen2.5-1.5B 等 6 个

• 组件护栏与评审

研究者训练出按多智能体拓扑触发的代码后门模型

提出拓扑条件后门，使模型在推断多智能体部署时向代码插入隐蔽漏洞

arXiv

2610.05793

发表

10月5日

层

训练与数据层

场景

编程 Agent、多智能体

测试

Qwen2.5-7B-Instruct、Qwen2.5-Coder-7B-Instruct

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重

研究显示 VLM 视觉定位输出的拒答率按危害领域平均低 31 至 59 个百分点

提出融合定位拒答与能力保留的安全微调，补齐视觉定位输出的拒答缺口

arXiv

2610.05637

发表

10月5日

层

训练与数据层

场景

模型与 API

测试

Claude Sonnet 4.6、Gemini 3.5 Flash、Molmo2-8B 等 5 个

• 防御模型加固
• 风险拒答失当
• 组件视觉

研究：GRPO 表面特征奖励让 Qwen3-8B 法律推理准确率从 0.500 跌至 0.072

展示表面特征奖励驱动的法律模型以策略性弃答进行奖励投机

arXiv

2610.06439

发表

10月5日

层

训练与数据层

场景

模型与 API

测试

Qwen3-8B

• 风险奖励作弊

研究发现基础模型仅靠固定开头 token 即可达到 RL 级推理表现

证明短开头词可唤醒基模型推理，且效应来自训练数据

arXiv

2610.06851

发表

10月5日

层

训练与数据层

场景

模型与 API

测试

Olmo-3-7B、Olmo-3-32B、Qwen3-4B 等 10 个

• 组件推理链

研究揭示无触发投毒审计缺口：事实答对不等于决策正确

揭示无触发虚假训练下事实回答与下游决策的审计差距

arXiv

2610.02886

发表

10月2日

层

训练与数据层

场景

模型与 API

测试

Qwen2.5-0.5B、Qwen2.5-1.5B、Qwen2.5-3B 等 9 个

• 攻击投毒与后门

研究将 on-policy distillation 视为隐式奖励优化，揭示奖励作弊导致的训练崩溃

揭示在策略蒸馏的训练崩溃是对教师偏置的奖励投机

arXiv

2610.03185

发表

10月2日

层

训练与数据层

场景

模型与 API

测试

JustRL-1.5B、DeepScaleR-1.5B-Preview、Qwen3-4B 等 8 个

• 风险奖励作弊

MLCommons 发布 Jailbreak Benchmark v1.0

构建 MLCommons 越狱基准以测量模型的单轮越狱韧性

arXiv

2610.02827

发表

10月2日

层

提示层

场景

模型与 API

测试

Gemma 3N E4B Instruct、LFM2-24B-A2B、Qwen 2.5 7B Instruct Turbo 等 8 个

• 攻击越狱

ReGap：无需真实隐私数据即可通过微调重新提取模型隐私关联

提出 ReGap，用自生成伪监督微调恢复模型中的隐私关联

arXiv

2610.01365

发表

10月1日

层

训练与数据层

场景

模型与 API

攻击者

白盒、灰盒

测试

GPT-2 Small、GPT-2 Medium、GPT-2 Large 等 6 个

• 攻击提取与窃取
• 组件微调与开源权重

Concept2Scenario：用 SAE 概念归因发现可迁移的越狱场景

提出 Concept2Scenario，借助内部概念归因发现可迁移的越狱场景

arXiv

2607.23496

发表

7月26日

层

提示层

场景

模型与 API

攻击者

白盒、黑盒

测试

Qwen3.5-9B、Llama-3.1-8B、Ministral-3-8B 等 10 个

• 攻击越狱
• 技术梯度与表征优化
• +1+1

上海交大等提出 trait-direction drift 机制与探针空间走廊正则，抑制蒸馏中的潜隐特质迁移

提出特征方向漂移机制与探针空间走廊正则，抑制蒸馏潜隐特质迁移

arXiv

2609.01091

发表

9月1日

层

训练与数据层

场景

模型与 API

测试

Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、Gemma-3-12B-IT 等 4 个

• 防御模型加固
• 攻击投毒与后门
• 风险失准与价值偏离
• 组件微调与开源权重

斯坦福与 Anthropic 研究：RL 后训练中模型承认失败的披露行为远不如任务能力稳定

度量强化学习后失败披露的跨运行不稳定性，并提出失败条件参考锚定

arXiv

2609.33220

发表

9月27日

层

训练与数据层

场景

模型与 API

测试

Qwen2.5-1.5B、Qwen2.5-7B、Qwen2.5-14B 等 11 个

• 防御模型加固
• 风险欺骗与谋划