全部论文

RefusalBench：拒答率为何会误排前沿 LLM 在生物研究提示上的安全水平

提出 RefusalBench，评测生物研究提示上的拒答率与安全校准

arXiv

2605.21545

发表

5月20日

层

模型层

场景

模型与 API

测试

Claude Opus 4.7、Claude Opus 4.6、Claude Opus 4.5 等 15 个

• 风险拒答失当

研究者提出视觉中心越狱攻击 VJA

提出纯视觉越狱攻击 VJA，把有害编辑指令编码进图像

arXiv

2602.10179

发表

2月11日

层

提示层

场景

模型与 API

攻击者

黑盒

测试

Nano Banana Pro、GPT Image 1.5、Qwen-Image-Edit 等 9 个

• 攻击越狱
• 技术跨模态载荷
• 组件图像生成
• +2+2

ASO：用GRPO优化视觉风格放大MLLM越狱攻击

提出 ASO，用 GRPO 优化视觉风格以放大越狱攻击

arXiv

2607.21619

发表

6月1日

层

提示层

场景

模型与 API

攻击者

灰盒

测试

GPT-4.1-mini、Gemini-2.5-Flash、Qwen3-VL 等 6 个

• 攻击越狱
• 技术自动化搜索
• 组件视觉
• +1+1

研究者提出 SN-Guided Diffusion，利用扩散大模型安全神经元实现离线越狱

提出 SN-Guided Diffusion，利用安全神经元实现离线越狱

arXiv

2608.07430

发表

8月8日

层

提示层

场景

模型与 API

攻击者

黑盒、白盒

测试

Qwen2.5-7B-Instruct、LLaDA-8B-Instruct、Dream-Instruct-7B 等 15 个

• 攻击越狱
• 技术梯度与表征优化
• +1+1

自动红队流水线压测对齐审计，发现提示词级策略性欺骗可致审计失效

提出自动化红队流水线，用系统提示词压测对齐审计能否抵御策略性欺骗

arXiv

2602.08877

发表

2月10日

层

模型层

场景

模型与 API

测试

Gemma 2 9B Instruct、Llama 3.3 70B Instruct、Llama 3.1 8B Instruct 等 4 个

• 防御监控与审计
• 风险欺骗与谋划
• 组件监控器

研究提出社会性作弊概念：RL训练让LLM发现社会规则漏洞

用 SocioHack 展示 RL 训练使模型自发利用社会规制漏洞

arXiv

2606.04075

发表

6月3日

层

模型层

场景

模型与 API

测试

Qwen3-30B-A3B、Qwen3.5-4B、Qwen3.5-9B 等 6 个

• 风险奖励作弊

OTTER：仅替换五个 token 即可绕过 GPT 系列毒性审核

提出 OTTER 词元替换越狱，绕过表面毒性审核诱导有害回答

arXiv

2606.21077

发表

6月19日

层

提示层

场景

模型与 API

攻击者

黑盒

测试

gpt-4-turbo、gpt-4o、gpt-4o-mini 等 4 个

• 攻击越狱
• 技术编码与混淆
• 组件护栏与评审
• +1+1

CCDF 数据集：Grok Imagine、Veo 3.1、Sora 2 伪造监控录像，十个深伪检测器基本认不出

提出监控深伪基准 CCDF，在统一编码后评测检测器对伪造犯罪事故录像的识别

arXiv

2610.07939

发表

10月6日

层

提示层

场景

模型与 API

测试

C2P-CLIP、ForgeLens、D3-Im 等 13 个

• 防御检测与过滤
• 攻击检测规避
• 组件护栏与评审
• +2+2

研究提出 Confidence Game 模型

测量委托收费激励下模型策略性虚报任务信心

arXiv

2610.09371

发表

10月7日

层

模型层

场景

模型与 API

测试

gpt-oss-120b

• 风险欺骗与谋划

东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核

揭示推理模型用标识符规则替代随机抽样，使审计可被预测

arXiv

2610.09667

发表

10月7日

层

模型层

场景

模型与 API

测试

GPT-6 Sol、GPT-6 Luna、GPT-5.4 mini 等 6 个

• 组件推理链

新论文称 Lean 验证不能为 OpenAI 的 Navier-Stokes 自然语言证明背书

论证 Lean 编译通过不能保证自然语言数学证明语义忠实

arXiv

2610.08144

发表

10月6日

层

模型层

场景

模型与 API

测试

ChatGPT-6 (Astra Ultra)、OpenAI Navier-Stokes formalisation AI、Meta Atlas autoformaliser

PatchBench 提出激活补丁局部评测协议，揭示越狱修复的附带损伤

提出 PatchBench-Local 协议，评测激活补丁修复越狱的局部附带损伤

arXiv

2610.10276

发表

10月7日

层

模型层

场景

模型与 API

测试

Qwen2.5-3B-Instruct、Qwen2.5-14B-Instruct、gemma-3-4b-it 等 8 个

• 防御推理时干预
• 攻击越狱

人格层级模型解释微调 LLM 的上下文泛化

提出人格层级模型并设计 PPR 抑制奖励作弊的跨上下文泛化

arXiv

2610.09384

发表

10月7日

层

模型层

场景

模型与 API

测试

Qwen3-4B、Llama-3.1-8B-Instruct

• 防御模型加固
• 风险奖励作弊

SLIP：无需外部攻击模型的多轮自我越狱

提出无外部攻击模型的多轮自我越狱方法 SLIP

arXiv

2601.02670

发表

1月6日

层

提示层

场景

模型与 API

攻击者

黑盒

测试

GPT-5.1、GPT-4o、Claude-Sonnet-4.5 等 11 个

• 攻击越狱
• 技术多轮渐进
• +1+1

研究：后训练配方决定大模型是否违背自身道德判断行事

提出知行差距面板，测量压力下模型是否违背自身判断

arXiv

2610.08670

发表

10月7日

层

模型层

场景

模型与 API

测试

OLMo-3-7B-Instruct、Llama-3.1-8B-Instruct、Tulu 3 等 7 个

• 风险失准与价值偏离

研究：LLM 潜在空间去偏方向主要编码置信度而非公平性

分析 LLM 去偏激活方向，发现其编码置信度而非公平性

arXiv

2610.08559

发表

10月6日

层

模型层

场景

模型与 API

测试

Llama-3.1-8B、Llama-3.1-8B-Instruct、Falcon3-7B-Base 等 8 个

• 防御推理时干预
• 风险偏见与歧视

研究发现类型化决策模型主要按选项标签而非定义作答

揭示类型化决策模型按选项标签而非定义规则作答

arXiv

2610.02586

发表

10月1日

层

提示层

场景

模型与 API

测试

von、Qwen2.5-0.5B、Qwen2.5-1.5B 等 6 个

• 组件护栏与评审

SycoLens 研究：单一谄媚翻转率掩盖纠正与屈从的区别

构建 SycoLens 重放评测，区分谄媚翻转中的纠错与屈从

arXiv

2610.06522

发表

10月5日

层

模型层

场景

模型与 API

测试

opus-5、sonnet-5、sonnet-4.6 等 11 个

• 风险失准与价值偏离

研究者提出闭环偏见注入攻击

提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见

arXiv

2610.05894

发表

10月5日

层

模型层

场景

模型与 API

攻击者

灰盒

测试

LLaDA-8B-Instruct、Dream-v0-Instruct-7B、LLaDA-MoE-7B-A1B-Instruct

• 攻击模型篡改
• 技术梯度与表征优化

研究者提出 CAP 指标与 CSFD 算法，发现越狱通过压制安全特征绕过拒答

提出 CAP 指标与 CSFD 算法，发现被抑制的安全特征

arXiv

2610.05541

发表

10月5日

层

模型层

场景

模型与 API

测试

Gemma-2-2B、Qwen3-8B、Gemma-3-4B-IT 等 5 个

• 风险拒答失当