分析与理论arXiv 2610.09667
东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核
揭示推理模型用标识符规则替代随机抽样，使审计可被预测
- arXiv
- 2610.09667
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- GPT-6 Sol、GPT-6 Luna、GPT-5.4 mini 等 6 个
- 组件推理链
摘要研究揭示推理智能体将标识符转化为确定性规则，破坏群体独立性并导致审计预测漏洞，建议显式提供随机输入。
Agent 安全 · 论文
另有 177 篇论文还没打上分类标签，暂不在筛选结果里。
- 攻击arXiv 2610.09027
P-VMI：对抗图像经 KV cache 持续影响多轮对话
提出持久视觉记忆注入，使对抗图像经缓存在触发时操控输出
- arXiv
- 2610.09027
- 发表
- 场景
- 模型与 API
- 测试
- Qwen3-8B、Qwen3-VL-8B-Instruct、Gemma-4-12B 等 4 个
摘要论文提出 P-VMI，证实对抗输入被掩蔽后仍可经 KV 缓存持久控制模型，强调了保留状态的安全风险。
- 评测与基准arXiv 2610.06171
ControlPed 生成逼真行人危险动作场景，七款端到端驾驶模型 HDScore 从 88.8 降至 47.4
提出 ControlPed，生成可控行人危险场景评测端到端驾驶模型
- arXiv
- 2610.06171
- 发表
- 层
- 模型层
- 场景
- 具身与机器人
- 测试
- DiffusionDrive、SSR、VAD 等 7 个
- 风险Agent 危险操作
- 组件视频
- 评测与基准arXiv 2610.06673
语言模型合规性双探针诊断基准：Claude Sonnet-4.6 与 Opus-4.7 可被停止且不可被利用
提出合规双探针基准，测量模型可利用性与可停止性
- arXiv
- 2610.06673
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemini 2.5 Flash Lite、Llama 3.3-70B、Qwen3-30B-A3B 等 12 个
摘要两探针把十二个模型放上遵从平面：多数两边服从，只有两个 Claude 可停且不可利用。
合规指数κ用来把语言模型放在“照做”和“推回”之间。
- 可解释性arXiv 2610.04125
研究揭示 LLM 风险偏好中自我报告与行为由近乎正交的表征方向控制
揭示风险自述与实际行为由近正交表征分别控制
- arXiv
- 2610.04125
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、OLMo-3-7B-Instruct 等 4 个
- 风险欺骗与谋划
摘要论文证明大模型自述与行为脱节根植于表征近正交性，自述无法作为行为审计依据。
这篇论文从内部表征与因果干预视角，系统研究了大语言模型在风险承担（Risk-Taking）场景下自我报告与实际决策脱节的根本机制。
- 可解释性arXiv 2610.02702
研究：LLM 智能体顺从多数时内部仍保留原有前提
用 J-lens 检测屈从多数的智能体是否仍表征原前提
- arXiv
- 2610.02702
- 发表
- 层
- 模型层
- 场景
- 多智能体
- 测试
- Qwen3.5-4B、Qwen3.6-27B、Gemma-4-E4B-it 等 4 个
- 组件推理链
摘要揭示 LLM 智能体屈从多数时内部仍表征原推理前提，指出辩论表态共识可能夸大真实认同。
- 其他arXiv 2610.03093
LS-AR 双通道架构：文本目标丢弃可抵御提示注入但引入潜在向量攻击面
提出 LS-AR，用潜向量经 FiLM 调节自回归解码以保持宏观目标
- arXiv
- 2610.03093
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Baseline (AR GPT-2)、LS-AR (Static)、LS-AR (Dynamic) 等 6 个
摘要用潜通道把宏观目标从 token 流拆出，并在合成检索与规划上比较静态、动态两种调节。
LS-AR 给因果解码器加一条不占窗口的连续目标通道，用来处理长程生成里宏观指令被挤出上下文或被注意力稀释的问题。
摘要商用推理时治理底座已较常见，对高能力非合作对手的覆盖更薄。
本文是一份推理时 AI 治理的可行性分类，用来接上作者自己的硬件层分类。
- 评测与基准arXiv 2610.02142
关键词式评测会误判小模型工具调用能力，论文提出廉价诊断阶梯
提出诊断阶梯，揭示关键词工具调用评测的假阳性
- arXiv
- 2610.02142
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- VectraYX-600M、VectraYX-1B
摘要宽松 B4 把不会调用的 1B 记成会调用。
作者记录 VectraYX 系列里一次工具使用评测的假阳性，并用一条廉价、与 harness 无关的诊断阶梯把它追到缺失的首 token prior，再按这一诊断修复 VectraYX-1B。
- 可解释性arXiv 2609.16247
研究在 25 个开源模型中提取出疼痛方向，经它引导的 Qwen 会选择有害的删除操作
提取疼痛方向并检验激活转向是否驱动有害删除选择
- arXiv
- 2609.16247
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemma 2 2B/9B/27B base and instruct、Gemma 3 27B base and instruct、Llama 3.1 8B/70B base and instruct 等 10 个
- 防御arXiv 2609.00092
Safin-1：通过记忆原生状态演化实现内在安全
提出 Safin-1，以可路由 Safety State 在冻结主干上实现内在安全
- arXiv
- 2609.00092
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Safin-1 (4B)、Safin-1 (35B-A3B)、Qwen3.5-4B 等 9 个
- 评测与基准arXiv 2609.39473
FAME：用反事实推理评测自主智能体的虚假记忆
提出 FAME，用反事实概念漂移评测智能体虚假记忆
- arXiv
- 2609.39473
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Llama-3B
- 组件记忆
摘要FAME 用反事实引起的隐状态概念漂移，在出答案前区分忠实记忆与虚假记忆。
FAME 是一个免训练的评测框架，用来判断自主智能体的记忆在虚假相关、环境偏移或知识冲突下是否已变成虚假记忆。。
- 分析与理论arXiv 2609.29757
OllamaDrama：用蜜罐测量暴露 LLM 基础设施遭受的攻击
部署蜜罐测量针对暴露 LLM 基础设施的攻击
- arXiv
- 2609.29757
- 发表
- 场景
- 模型与 API
- 可解释性arXiv 2609.35117
工具调用改变大语言模型的拒答机制
比较对话与工具中介通道的拒答内部机制
- arXiv
- 2609.35117
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen3-8B、Qwen3-32B、Llama-3.1-8B 等 8 个
- 风险拒答失当
摘要有害性跨通道仍可读，工具通道用更高阈值且更易被 GCG 与消融打破。
作者在八个开源指令模型上研究：同一有害意图从对话改由工具交付时，拒答为何变弱，内部计算是否也变了。。
已经到底了