防御arXiv 2610.10655
Nullify：面向 LLM 遗忘的零空间激活引导免训练方法
提出零空间激活引导 Nullify，免训练擦除指定记忆并保持效用
- arXiv
- 2610.10655
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-2-7B-chat-hf、Qwen3-8B
- 评测与基准arXiv 2610.10276
PatchBench 提出激活补丁局部评测协议，揭示越狱修复的附带损伤
提出 PatchBench-Local 协议，评测激活补丁修复越狱的局部附带损伤
- arXiv
- 2610.10276
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-3B-Instruct、Qwen2.5-14B-Instruct、gemma-3-4b-it 等 8 个
摘要论文提出 PatchBench 与局部评估协议，揭示了激活补丁在全局能力无损下仍存局部良性退化。
- 防御arXiv 2610.09703
研究揭示 Token-Pruning 对 VLM 安全性的影响并提出 SAP 缓解机制
提出 Safety-Aware Pruning，缓解视觉 token 剪枝放大的多模态越狱
- arXiv
- 2610.09703
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- LLaVA-1.5-7B
摘要剪枝去掉背景 token 后注意力塌向恶意前景。
这篇工作评估视觉 token 剪枝如何改变 VLM 在多模态越狱下的行为，并给出推理时防御 SAP。
- 可解释性arXiv 2610.08559
研究：LLM 潜在空间去偏方向主要编码置信度而非公平性
分析 LLM 去偏激活方向，发现其编码置信度而非公平性
- arXiv
- 2610.08559
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B、Llama-3.1-8B-Instruct、Falcon3-7B-Base 等 8 个
摘要论文揭示激活引导去偏见方向主要编码模型置信度而非公平性，偏见评分下降实为诱发弃答或使概率均分的假象。
- 防御arXiv 2610.06383
基于影响力的曲率感知数据加权激活引导方法
提出曲率感知数据加权的激活转向方法，用于毒性抑制与概念控制
- arXiv
- 2610.06383
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Gemma-2-2B、Llama-3.2-3B
- 防御推理时干预
摘要影响加权传输压低毒性率，闭式 IF-Act 常换来更高困惑度与更低 MMLU。
推理时的影响加权激活传输，用曲率修正的样本权重替换传输转向里的均匀类均值。要做的是概念控制，而不是再训练。作者认为类均值被无关概念、噪声和少数 token 主导，编码的是词元级而非主题。
- 防御arXiv 2610.05166
安全动作不等于可行动作：VICS-G 为 VLA 策略做可行未来解码
提出 VICS-G 可行未来解码，重排冻结 VLA 策略的动作候选
- arXiv
- 2610.05166
- 发表
- 层
- 模型层
- 场景
- 具身与机器人
- 被测模型
- SafeVLA (task-optimized / base)、SafeVLA (safety-aligned / safe)
- 防御推理时干预
- 风险Agent 危险操作
摘要作者用可行未来解码重排冻结 VLA 的下一步，并称 VICS-G 降低观测代价且完成率接近策略采样。
训练无关解码器 VICS 在冻结 VLA 的推理阶段重排动作块，使当前选择带上该动作仍可能留下的安全完成质量。
- 防御arXiv 2610.04998
EmoRSS：缓解大语言模型由情绪引发的过度拒答
提出 EmoRSS，推理时在拒绝子空间反向抵消情绪激活偏移以缓解过度拒答
- arXiv
- 2610.04998
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B-it、Qwen3-8B
- 防御arXiv 2610.04967
One Token Can Be Enough：用 Prefix Steering 连接提示与激活引导
提出 Prefix Steering，以短前缀激活引导控制行为并保住能力
- arXiv
- 2610.04967
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- OLMo 3 7B、OLMo 3 32B、Qwen3 1.7B 等 4 个
摘要短前缀 steering 用已有方向做短暂干预。
本文用注意力层匹配连接提示词与激活干预，并把干预改成从末提示词 token 开始的短前缀。
- 防御arXiv 2610.04470
SENTINEL：通过意图感知的输入-输出匹配防御 LLM 越狱
提出生成时防御 SENTINEL，匹配输入输出以抽出越狱意图并停写
- arXiv
- 2610.04470
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Llama2-7B、Llama3-8B、Mistral-7B-v0.2 等 6 个
- 防御arXiv 2610.03498
检测与抑制：针对 VLA 模型对抗补丁的机制可解释性防御
提出条件特征抑制防御，检出对抗补丁后抑制 VLA 内部特征
- arXiv
- 2610.03498
- 发表
- 层
- 模型层
- 场景
- 具身与机器人
- 被测模型
- π0.5、SmolVLA
摘要条件抑制与 patch 相关的 SAE 特征，间歇攻击下可提高 SR，持续攻击下则不能。
- 防御arXiv 2610.02999
OmniConfess：用 Token 级「忏悔」缓解全模态幻觉
提出 OmniConfess，冻结候选并按通道重打分以缓解全模态幻觉
- arXiv
- 2610.02999
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-Omni-7B、Qwen3-Omni-30B-A3B、Nemotron-3-Nano-Omni-30B
- 防御arXiv 2610.02844
DNAlign：面向 LLM 的动态零空间安全对齐框架
提出 DNAlign，在不改权重的推理期用零空间约束控制信号做安全对齐
- arXiv
- 2610.02844
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Vicuna-7B、Qwen-7B
摘要DNAlign 用零空间约束的推理期控制做安全对齐，Table I 平均奖励高于所列基线。
DNAlign 是一个不改 LLM 参数的安全对齐框架，用来在推理时压低有害输出，并减少对中性知识所支持的流畅、事实回答的改动。
- 防御arXiv 2610.01969
RASteer：面向扩散模型概念擦除的保留感知激活引导方法
提出 RASteer，推理时按保留子空间校正激活以擦除文生图目标概念
- arXiv
- 2610.01969
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Stable Diffusion v1.4、Stable Diffusion v1.5、Stable Diffusion v2.1 等 4 个
摘要RASteer 用保留子空间校正擦除方向，在固定权重下同时压低目标并保住保留概念。
Retain-aware Activation Steering（RASteer） 是一种不改权重的推理时概念擦除方法，用于文生图扩散模型去掉指定概念并减少对保留概念的误伤。
- 防御arXiv 2610.01170
HeadEdit：通过冻结的 unembedding 矩阵校准语言模型行为
提出 HeadEdit，经冻结 unembedding 做随输入变化的 logit 校正
- arXiv
- 2610.01170
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-4B、Gemma-3-4B-IT、Llama-3.2-3B-Instruct 等 4 个
摘要低秩 unembedding 校正抬高九个设置的总体准确率，并可部分预测 DPO 更新。
HeadEdit 是一种不更新参数的行为校准方法，作用点是冻结的 unembedding，而不是中间层残差或新的梯度优化。
- 防御arXiv 2609.37568
SECRET：用源条件化中继引导缓解音视频大语言模型的幻觉
提出训练无关的 SECRET，对问题表征做源条件转向以缓解音视频模型幻觉
- arXiv
- 2609.37568
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- VideoLLaMA2-AV-7B、Qwen2.5-Omni-7B、Qwen3-Omni-30B-A3B
摘要SECRET 在问题状态上做源条件转向，三个 AVLLM 上减轻了跨模态接地幻觉。
SECRET 是一种训练无关的问题状态转向方法，用来减轻 AVLLM 的 source-confused grounding hallucination。
- 防御arXiv 2609.36657
Constitutional adapters：用推理期干预防御越狱与失准
提出 Constitutional adapters，蒸馏宪法行为以缓解越狱与失准
- arXiv
- 2609.36657
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3.5-4B、Llama-3.1-8B-Instruct、Gemma-4-E4B 等 4 个
摘要差分宪法适配器在长上下文和多轮上更稳，并可按 α 换取遵从。
- 防御arXiv 2609.34514
CAM-Steer：面向大语言模型的多类别自适应安全引导框架
提出 CAM-Steer，推理时按多类别风险引导隐藏状态以降低有害回复
- arXiv
- 2609.34514
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-8B、Llama-3.1-8B-Instruct、Gemma-2-9B-IT
- 防御arXiv 2609.31122
LocUS：面向定向激活引导的注意力头选择与子空间投影
提出 LocUS，用词汇子空间选择注意力头并约束激活转向
- arXiv
- 2609.31122
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Mistral-7B-v0.1、Mistral-7B-Instruct-v0.3、Llama-3.1-8B 等 7 个
摘要LocUS 用词汇子空间约束 DoM 转向的位置和方向。
LocUS 是不更新权重的推理时转向方法，把差分均值更新限制在少数注意力头及其属性对齐子空间。
- 防御arXiv 2609.31056
SCALPEL：用对比稀疏自编码器实现选择性表征层遗忘
提出 SCALPEL，用对比 SAE 在表征层选择性遗忘特定事实
- arXiv
- 2609.31056
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-1.5B-Instruct、Llama-3.2-1B-Instruct、Gemma-2-2B-it
摘要SCALPEL 以对比稀疏特征做窄目标表征遗忘，在 TOFU 上与优化基线相当且可检查。
SCALPEL 是不改基座权重的表征层遗忘方法，面向与保留数据重叠的窄目标。
- 防御arXiv 2609.30405
AIMES：通过因果激活引导实现 LLM 自适应多价值观控制
提出 AIMES 用词表读出在线调节多价值激活干预
- arXiv
- 2609.30405
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Gemma-3-4B-IT、Gemma-3-12B-IT、Qwen3-4B 等 5 个
摘要AIMES 用词表读出闭环调节多价值转向，优势随深度变化且实现扰动更小。
AIMES 是推理时的多价值激活转向框架，用中间层词表读出把固定系数改成随状态变化的权重。