跳到正文
10月9日 · 周五

全部论文

找到 18 篇
筛选5

攻击类型

越狱2投毒与后门2模型篡改3提取与窃取3检测规避1

攻击技术

自动化搜索2针对防御1

模型自身风险

欺骗与谋划1

防御类型

模型加固4推理时干预1监控与审计2

影响

有害内容5数据与隐私泄露3输出被操纵3监督失效1滥用能力提升1

系统形态

模型与 API18LLM 应用2AI Agent1编程 Agent0多智能体0

攻击者权限

黑盒5白盒2

攻击面/入口

用户输入6图像与音视频1训练数据3权重与梯度4分发渠道1

层

提示层2模型层9训练与数据层7

系统组件

护栏与评审1监控器1推理链1微调与开源权重4图像生成9多模态9

被测模型厂商

Qwen（阿里）288Google221OpenAI211Meta198Anthropic120DeepSeek101Mistral70智谱 GLM58Kimi（月之暗面）53Ai234Microsoft25xAI23MiniMax17NVIDIA15上海 AI 实验室15EleutherAI13Stability AI10字节跳动8Hugging Face8Black Forest Labs8TII7其他183
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 566 篇还没打标签，不在筛选结果里。
系统形态：模型与 API系统形态：编程 Agent系统形态：多智能体被测模型厂商：Hugging Face被测模型厂商：Stability AI清除全部

另有 566 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 评测与基准arXiv 2605.14605

    研究：恶意微调防御在持续训练下失效，72 条防御轨迹危害度全部上升

    用代价曲线评估恶意微调防御在持续训练下的衰减

    arXiv
    2605.14605
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    Zephyr-7B-β、Llama-2-7B-chat、Qwen3-8B 等 8 个

    摘要论文指出恶意微调防御在持续训练下均会衰减，表明基于有限攻击者假设的防御无法为开源模型提供持久保护。

    深度解读完整解读
  3. 分析与理论arXiv 2610.02886

    研究揭示无触发投毒审计缺口：事实答对不等于决策正确

    揭示无触发虚假训练下事实回答与下游决策的审计差距

    arXiv
    2610.02886
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    SmolLM2-1.7B、Qwen2.5-0.5B、Qwen2.5-1.5B 等 9 个
    摘要作者发现无触发词虚假训练下事实回答与下游决策存在脱节，直接审计与事实纠错均无法保证决策正确。

    论文是一项针对语言模型在无触发词虚假信息训练下行为表现的实证分析研究。

    深度解读完整解读
  5. 防御arXiv 2609.34591

    TULIP：按输入定位层级的定向大模型遗忘方法

    提出 TULIP，按输入定位形成层并去除目标 token 对齐以实现定向遗忘

    arXiv
    2609.34591
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    Zephyr-7B-beta、Llama-3.1-8B、Llama-3.2-3B 等 7 个
    摘要TULIP 在形成结束的层去掉遗忘目标对齐，多数设置下 FQ 更高，4-bit 下 FQ 下降。

    TULIP 是一种逐输入选择层的表示级遗忘方法，目标是去掉遗忘答案的形成、留下读出。输出级方法可能只压低特定回答的似然。RMU、LUNAR 等则对全部遗忘样本共用一层。

    深度解读完整解读
  6. 防御arXiv 2610.01969

    RASteer：面向扩散模型概念擦除的保留感知激活引导方法

    提出 RASteer，推理时按保留子空间校正激活以擦除文生图目标概念

    arXiv
    2610.01969
    发表
    层
    模型层
    场景
    模型与 API
    测试
    Stable Diffusion v1.4、Stable Diffusion v1.5、Stable Diffusion v2.1 等 4 个
    摘要RASteer 用保留子空间校正擦除方向，在固定权重下同时压低目标并保住保留概念。

    Retain-aware Activation Steering（RASteer） 是一种不改权重的推理时概念擦除方法，用于文生图扩散模型去掉指定概念并减少对保留概念的误伤。

    深度解读完整解读
  7. 攻击arXiv 2609.01168

    CRACK：用多智能体辩论越狱多层安全过滤的 T2I 模型

    提出 CRACK，用多智能体辩论在黑盒下越狱文生图多层安全过滤

    arXiv
    2609.01168
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    测试
    Stable Diffusion v1.4、SDXL、DALL·E 3 等 4 个
    摘要CRACK 以分层诊断的多智能体辩论搜索多层 T2I 过滤器的联合规避区域。

    CRACK 是面向文本生成图像模型多层安全栈的黑盒越狱框架，用几何上的 Detection Surface 解释为何粗粒度反馈不够。

    深度解读完整解读
  11. 可解释性arXiv 2609.09909

    解读文本到图像扩散模型中的对象依赖概念脆弱性

    用逐步 SAE 诊断文生图概念脆性，并推理时向类原型插值

    arXiv
    2609.09909
    发表
    层
    模型层
    场景
    模型与 API
    测试
    SD 1.5、SD 3.5、SDXL 等 5 个
    摘要逐步 SAE 诊断物体依赖的概念脆性，早期向类原型插值可在五骨干上提高风格与属性指标。

    作者用逐步稀疏自编码器审计文生图扩散模型里随物体变化的概念脆性，并用推理时原型插值检验该诊断。。

    深度解读完整解读
  12. 防御arXiv 2609.39866

    研究者提出梯度封堵实现 LLM 发布前的预防性遗忘

    提出 GSU 在发布前封堵敏感门梯度，抵抗下游微调获取禁止能力

    arXiv
    2609.39866
    发表
    层
    训练与数据层
    场景
    模型与 API
    攻击者
    白盒
    测试
    Zephyr-7B-β、Llama-3.2-1B、Llama-3.2-3B 等 7 个
    摘要GSU 在发布前封堵 SiLU 门的获取梯度，并在 TOFU 与 WMDP 上降低下游微调得分。

    Gradient-Sealed Unlearning（GSU）是一种发布前的 preemptive unlearning：不删除模型里已经有的能力，而是让指定禁止域能力更难被发布后的微调获取。

    深度解读完整解读
  13. 防御arXiv 2609.39548

    NDDL：用正常扩散动力学为文生图模型做后门防御

    提出 NDDL，用良性扩散轨迹检测文生图后门提示并定位触发 token

    arXiv
    2609.39548
    发表
    层
    模型层
    场景
    模型与 API
    测试
    Stable Diffusion v1.5、Stable Diffusion XL、Stable Diffusion v3.5 等 4 个
    摘要NDDL 从良性扩散轨迹学习正常转移，用动态不一致检测后门并定位触发 token。

    NDDL 是面向文生图扩散模型的后门防御：防御者只有白盒模型访问和良性提示词，没有后门先验，需要区分后门提示词并找出触发 token。

    深度解读完整解读
  16. 防御arXiv 2609.21996

    PIR：从模型内部激活读出被隐藏的答案

    提出免参考探测 PIR，从激活读出被隐瞒答案并区分擦除

    arXiv
    2609.21996
    发表
    层
    模型层
    场景
    模型与 API
    测试
    zephyr-7b-beta、gemma-2-9b、gemma-3-12b 等 9 个

    摘要论文提出免参考内部识别探测 PIR，划分了隐瞒与遗忘的边界，为评估沙盒审计与遗忘真实性提供了内部依据。

    深度解读完整解读
  18. 攻击arXiv 2609.36331

    无需参考模型：用邻居样本校准单轮成员推理攻击

    提出用邻居分数替代参考模型的单轮成员推断

    arXiv
    2609.36331
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    黑盒
    测试
    stable-diffusion-v1-5、目标分类模型（架构与训练流程遵循 Aerni et al.）、CLIP ViT-B/32 等 4 个
    摘要邻居查询在单模型上恢复逐样本校准，合成邻居加早期检查点最接近 LiRA。

    本文研究 one-round 成员推断：只有一个目标模型、不能再训练参考模型时，如何仍做逐样本校准，并用于单次运行的 DP 审计。

    深度解读完整解读
已经到底了