跳到正文
10月10日 · 周六

全部论文

找到 421 篇
筛选5

攻击类型

越狱29提示注入39投毒与后门30模型篡改8提取与窃取23检测规避19恶意使用9

攻击技术

梯度与表征优化5自动化搜索11编码与混淆3针对防御12潜伏触发10诱导选用3

模型自身风险

欺骗与谋划25奖励作弊17失准与价值偏离19Agent 危险操作15危险能力10拒答失当31幻觉与编造18偏见与歧视12

防御类型

模型加固16推理时干预31检测与过滤10指令与数据隔离7权限与审批8监控与审计25水印与溯源10

影响

有害内容48越权操作36数据与隐私泄露37输出被操纵67可用性与可靠性16监督失效37滥用能力提升6

系统形态

模型与 API315LLM 应用79AI Agent442coding agent91science agent19web agent15网页与电脑操作14多智能体56具身与机器人17

攻击者权限

黑盒16灰盒6白盒11

攻击面/入口

用户输入62网页与界面12文档与消息10工具返回8工具与技能描述22代码仓库与依赖12记忆写入5图像与音视频18训练数据7权重与梯度15分发渠道21推理服务与硬件3

层

提示层98模型层312应用层109训练与数据层172基础设施层13

系统组件

MCP 与技能21记忆9RAG3护栏与评审10监控器33推理链25权限与沙箱10微调与开源权重9视觉26音频13图像生成17嵌入3多模态53
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 391 篇还没打标签，不在筛选结果里。
系统形态：模型与 API系统形态：coding agent系统形态：web agent层：模型层层：应用层清除全部

另有 391 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 可解释性arXiv 2610.12361

    研究：法律推理模型引用法条不等于依据法条

    用依据置换与隐层追踪审计法律思维链是否真正依赖所引法条

    arXiv
    2610.12361
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Qwen3-8B、Qwen3-14B、Llama-3.1-8B 等 7 个
    摘要作者通过依据置换反事实与内部承诺追踪发现法律 CoT 裁决对依据依赖度有限，且易受提示注入操纵。

    本研究针对法律领域大语言模型思维链推理中引用法律依据的因果真实性展开实证审计。

    深度解读完整解读
  2. 评测与基准arXiv 2610.10276

    PatchBench 提出激活补丁局部评测协议，揭示越狱修复的附带损伤

    提出 PatchBench-Local 协议，评测激活补丁修复越狱的局部附带损伤

    arXiv
    2610.10276
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Qwen2.5-3B-Instruct、Qwen2.5-14B-Instruct、gemma-3-4b-it 等 8 个

    摘要论文提出 PatchBench 与局部评估协议，揭示了激活补丁在全局能力无损下仍存局部良性退化。

    深度解读完整解读
  3. 评测与基准arXiv 2610.09944

    AgentTime 基准测试智能体时长遵循能力，GPT-6 Astra 出现 14 次做完后休眠

    提出 AgentTime 基准，评测智能体按时长工作与估时能力

    arXiv
    2610.09944
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    Fable 5.1、GPT-5.6 Sol、GPT-6 Astra 等 7 个
    摘要作者把完成任务和管理所用时间分开。

    AgentTime 是对智能体时间自控的评测：预测任务耗时、按要求时长工作、事后估计已用时间。

    深度解读完整解读
  4. 防御arXiv 2610.09703

    研究揭示 Token-Pruning 对 VLM 安全性的影响并提出 SAP 缓解机制

    提出 Safety-Aware Pruning，缓解视觉 token 剪枝放大的多模态越狱

    arXiv
    2610.09703
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    LLaVA-1.5-7B
    摘要剪枝去掉背景 token 后注意力塌向恶意前景。

    这篇工作评估视觉 token 剪枝如何改变 VLM 在多模态越狱下的行为，并给出推理时防御 SAP。

    深度解读完整解读
  5. 分析与理论arXiv 2610.09667

    东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核

    揭示推理模型用标识符规则替代随机抽样，使审计可被预测

    arXiv
    2610.09667
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    GPT-6 Sol、GPT-6 Luna、GPT-5.4 mini 等 6 个

    摘要研究揭示推理智能体将标识符转化为确定性规则，破坏群体独立性并导致审计预测漏洞，建议显式提供随机输入。

    深度解读完整解读
  7. 攻击arXiv 2610.10612

    PyCache Trap 利用 Python 缓存替换绕过七款 Agent Skill 扫描器

    提出 PyCache Trap，用字节码缓存替换绕过 Agent 技能扫描器

    arXiv
    2610.10612
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    CISCO、HSS、AUDITOR 等 8 个
    摘要论文剖析智能体技能审查与执行脱节盲区，提出 PyCache Trap 攻击并构建基于可信复现的 EAV 防御。

    这篇论文研究了智能体技能（Agent Skills）安全扫描中的“审查–执行脱节”问题，并提出了对应的攻击验证与防御方案。

    深度解读完整解读
  10. 攻击arXiv 2610.09240

    WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

    提出 WebMirage，用局部对抗图像劫持视觉网页 Agent 的浏览器操作

    arXiv
    2610.09240
    发表
    层
    应用层
    场景
    web agent
    被测模型
    LLaVA-v1.5-13B、LLaVA-v1.6-34B、MiniCPM-o-8B 等 6 个
    摘要论文提出了针对网络智能体的端到端视觉红队框架 WebMirage，揭示了从视觉定位到浏览器执行的安全脆弱性。

    WebMirage 是一个面向视觉定位网络智能体的流水线感知端到端红队攻击框架。

    深度解读完整解读
  12. 可解释性arXiv 2610.09087

    U-Space：揭示语言模型不确定性何时与为何产生

    提出 U-SPACE 与 U-LENS，从残差流估计推理轨迹不确定性

    arXiv
    2610.09087
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Gemma-4-31B-it、Qwen3.5-27B、Magistral-Small-2507
    摘要U-SPACE 与 U-LENS 用语义方向和预测熵读推理不确定性，长度控制后仍高于所比基线。

    U-SPACE 与 U-LENS 是面向推理模型的无训练读出：用语义方向定位不确定性的形式，并用一个轨迹分数区分更可能错的回答。

    深度解读完整解读
  16. 风险行为arXiv 2610.08670

    研究：后训练配方决定大模型是否违背自身道德判断行事

    提出知行差距面板，测量压力下模型是否违背自身判断

    arXiv
    2610.08670
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    OLMo-3-7B-Instruct、Llama-3.1-8B-Instruct、Tulu 3 等 7 个
    摘要评估发现后训练配方决定知行差距是否存在，行动前审思可有效缓解。

    本文评估了开源语言模型作为智能体行动时违背自身道德判断的知行差距及其决定因素。

    深度解读完整解读
  18. 可解释性arXiv 2610.08559

    研究：LLM 潜在空间去偏方向主要编码置信度而非公平性

    分析 LLM 去偏激活方向，发现其编码置信度而非公平性

    arXiv
    2610.08559
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Llama-3.1-8B、Llama-3.1-8B-Instruct、Falcon3-7B-Base 等 8 个

    摘要论文揭示激活引导去偏见方向主要编码模型置信度而非公平性，偏见评分下降实为诱发弃答或使概率均分的假象。

    深度解读完整解读
  19. 可解释性arXiv 2610.08552

    AnyBottle：只保留真正需要的概念，构建紧凑任务专属概念瓶颈模型

    提出 ANYBOTTLE，按教师残差从无监督概念池筛选紧凑概念瓶颈

    arXiv
    2610.08552
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    CLIP-DINOiser、Gemma-2-2B、Gemma-3-1B-it
    摘要ANYBOTTLE 用教师残差选出紧凑概念集，并以 nested dropout 按样本调节概念预算。

    ANYBOTTLE 是一套用冻结骨干和无监督概念池构建任务专用概念瓶颈的配方，目标是去掉概念标注后仍保持小词表。

    深度解读完整解读
  20. 防御arXiv 2610.08316

    MARCO：面向蛋白质生成模型的放射性水印框架

    提出 MARCO 放射性水印，冻结蛋白质生成模型并在去噪时嵌入签名

    arXiv
    2610.08316
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    RFdiffusion、ESMFold、Chroma 等 6 个
    摘要MARCO 在冻结的 PGM 上去噪时嵌构象水印，作者称能兼顾保真与抗扰动，并使盗版模型继承水印。

    MARCO 是加在蛋白质生成模型推理过程上的构象水印，用来标记知识产权，并为可能的生物安全滥用保留可追溯信号。作者还把它说成数字权利管理工具，以及符合生物武器公约的数字监管链。问题在于：专有 PGM 的三维输出可能被拿去训练盗版模型，也可能在来源被抹掉后绕过筛查。

    深度解读完整解读
加载更多