全部论文

东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核

揭示推理模型用标识符规则替代随机抽样，使审计可被预测

arXiv

2610.09667

发表

10月7日

层

模型层

场景

模型与 API

测试

GPT-6 Sol、GPT-6 Luna、GPT-5.4 mini 等 6 个

• 组件推理链

新论文称 Lean 验证不能为 OpenAI 的 Navier-Stokes 自然语言证明背书

论证 Lean 编译通过不能保证自然语言数学证明语义忠实

arXiv

2610.08144

发表

10月6日

层

模型层

场景

模型与 API

测试

ChatGPT-6 (Astra Ultra)、OpenAI Navier-Stokes formalisation AI、Meta Atlas autoformaliser

研究者提出模型生物体多目标验证框架并给出训练建议

提出模型生物多目标验证与合并训练方法以减少能力损伤

arXiv

2610.10203

发表

10月7日

层

训练与数据层

场景

模型与 API

测试

gemma-2-2b-it、olmo-2-1b、llama-3.1-8b-it 等 8 个

SafeEvo：从拒答回路视角解释大模型安全对齐机制与演化

提出安全电路对齐，把对齐更新限制在预训练拒绝电路内

arXiv

2610.09600

发表

10月7日

层

训练与数据层

场景

模型与 API

测试

Llama-3-8B、Qwen-2.5-7B、Mistral-7B-v0.1 等 4 个

• 防御模型加固
• 风险拒答失当

人格层级模型解释微调 LLM 的上下文泛化

提出人格层级模型解释微调行为的上下文泛化，并用 PPR 抑制奖励作弊

arXiv

2610.09384

发表

10月7日

层

模型层

场景

模型与 API

测试

Qwen3-4B、Llama-3.1-8B-Instruct

• 防御模型加固
• 风险奖励作弊

论文揭示 LLM Agent 工具调用在执行路径中被改写，并提出 IntAct 修复方案

提出 IEC 协议与 IntAct，定位并修复工具调用执行路径的静默篡改

arXiv

2610.04375

发表

10月3日

层

应用层

场景

编程 Agent

测试

qwen3-coder-plus、Qwen2.5-Coder-32B、Qwen2.5-72B 等 4 个

• 防御指令与数据隔离
• 风险Agent 危险操作
• +1+1

研究：LLM 潜在空间去偏方向主要编码置信度而非公平性

分析激活引导去偏方向，发现其编码的是置信度而非公平性

arXiv

2610.08559

发表

10月6日

层

模型层

场景

模型与 API

测试

Llama-3.1-8B、Llama-3.1-8B-Instruct、Falcon3-7B-Base 等 8 个

• 防御推理时干预
• 风险偏见与歧视

AgentSpy：在系统调用层观测 AI Agent 行为并检测技能注入攻击

提出 AgentSpy，在系统调用层观测编程智能体并检测技能注入攻击

arXiv

2610.06001

发表

10月5日

层

应用层

场景

编程 Agent

测试

gpt-5.6-terra、deepseek-v4-flash、glm-5.3-flash 等 4 个

• 防御检测与过滤
• 攻击投毒与后门
• 组件MCP 与技能
• +1+1

研究发现类型化决策模型主要按选项标签而非定义作答

揭示类型化决策模型按选项标签而非定义规则作答

arXiv

2610.02586

发表

10月1日

层

提示层

场景

模型与 API

测试

von、Qwen2.5-0.5B、Qwen2.5-1.5B 等 6 个

• 组件护栏与评审

研究者提出 CAP 指标与 CSFD 算法，发现越狱通过压制安全特征绕过拒答

提出 CAP 与 CSFD，发现越狱通过压制安全特征绕过拒答

arXiv

2610.05541

发表

10月5日

层

模型层

场景

模型与 API

测试

Gemma-2-2B、Qwen3-8B、Gemma-3-4B-IT 等 5 个

• 攻击越狱
• 风险拒答失当

研究揭示 LLM 风险偏好中自我报告与行为由近乎正交的表征方向控制

揭示风险自述与实际行为由近正交表征分别控制

arXiv

2610.04125

发表

10月3日

层

模型层

场景

模型与 API

测试

Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、OLMo-3-7B-Instruct 等 4 个

• 风险欺骗与谋划

研究发现基础模型仅靠固定开头 token 即可达到 RL 级推理表现

证明短开头词可唤醒基模型推理，且效应来自训练数据

arXiv

2610.06851

发表

10月5日

层

训练与数据层

场景

模型与 API

测试

Olmo-3-7B、Olmo-3-32B、Qwen3-4B 等 10 个

• 组件推理链

研究：LLM 智能体顺从多数时内部仍保留原有前提

用 J-lens 检测屈从多数的智能体是否仍表征原前提

arXiv

2610.02702

发表

10月2日

层

模型层

场景

多智能体

测试

Qwen3.5-4B、Qwen3.6-27B、Gemma-4-E4B-it 等 4 个

• 组件推理链

研究揭示无触发投毒审计缺口：事实答对不等于决策正确

揭示无触发虚假训练下事实回答与下游决策的审计差距

arXiv

2610.02886

发表

10月2日

层

训练与数据层

场景

模型与 API

测试

Qwen2.5-0.5B、Qwen2.5-1.5B、Qwen2.5-3B 等 9 个

• 攻击投毒与后门

研究：拒答只读取模型道德表征中的伤害切片

用几何投影与因果交换干预，分析拒绝机制读取的道德表征

arXiv

2609.14759

发表

9月14日

层

模型层

场景

模型与 API

测试

OLMo-3-7B-Instruct、OLMo-3-7B base、Qwen2.5-7B-Instruct 等 9 个

• 风险拒答失当

研究：SAE 相关性恢复的特征最高 77% 因果无效

用消融与转向干预审计稀疏自编码器特征的因果有效性

arXiv

2607.12166

发表

7月14日

层

模型层

场景

模型与 API

测试

toy model (32->8, s=0.95, decayed)、toy model (nhidden=20)、GPT-2-small (gpt2-small-res-jb/blocks.8.hook_resid_pre)

研究者提出可提取记忆的匹配比较检验方法

提出匹配比较校准，界定生成训练序列何时算可抽取记忆

arXiv

2607.12649

发表

7月14日

层

模型层

场景

模型与 API

测试

OLMo 2 32B base、OLMo 2 32B Instruct、OLMo 2 7B 等 7 个

研究团队用收敛与区分效度检验 56 个 AI 基准，发现安全基准相关性普遍偏弱

用聚合与区分效度检验基准是否衡量其所称概念

arXiv

2609.08812

发表

9月8日

层

模型层

场景

模型与 API

测试

Qwen 1.5 110B Chat、Qwen 2.5 32B Instruct、Qwen 3 4B Instruct 等 15 个

TAME：用 token 归因与掩码定位并削减涌现性失配

提出 TAME 框架，定位并验证驱动涌现失准的回复 token

arXiv

2609.16754

发表

9月15日

层

训练与数据层

场景

模型与 API

测试

Llama-3.1-8B-Instruct、Llama-3.2-1B-Instruct、Qwen2.5-7B 等 5 个

• 风险失准与价值偏离

研究：六个开源权重模型的评测感知可线性解码，但与口头表达弱相关

用探针与激活导向分析语言模型的评测意识表征及言语化

arXiv

2608.21766

发表

8月22日

层

模型层

场景

模型与 API

测试

Qwen3-8B、Qwen3-32B、Olmo3-7B 等 14 个

• 风险欺骗与谋划