防御arXiv 2610.09600
SafeEvo：从拒答回路视角解释大模型安全对齐机制与演化
用 SafeEvo 提取拒绝电路，并提出 SCA 仅微调该电路
- arXiv
- 2610.09600
- 发表
- 场景
- 模型与 API
- 被测模型
- Llama-3-8B、Qwen-2.5-7B、Mistral-7B-v0.1 等 4 个
摘要SafeEvo 识别出基座模型中存在的弱安全电路及其演化动态，据此提出的 SCA 算法实现了安全对齐、能力保留与低过度拒绝的平衡。
- 可解释性arXiv 2610.09000
研究定位 LLaMA-2-7B-Chat 安全敏感参数
定位安全敏感参数并稀疏改动权重以削弱安全对齐
- arXiv
- 2610.09000
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- LLaMA-2-7B-Chat
- 风险行为arXiv 2610.08670
研究：后训练配方决定大模型是否违背自身道德判断行事
提出知行差距面板，测量压力下模型是否违背自身判断
- arXiv
- 2610.08670
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- OLMo-3-7B-Instruct、Llama-3.1-8B-Instruct、Tulu 3 等 7 个
- 风险失准与价值偏离
摘要评估发现后训练配方决定知行差距是否存在，行动前审思可有效缓解。
本文评估了开源语言模型作为智能体行动时违背自身道德判断的知行差距及其决定因素。
- 评测与基准arXiv 2610.08540
论文提出按风险类别测量的对齐缩放定律框架
提出分风险对齐标度律框架，测量各类风险的对齐负担如何随规模变化
- arXiv
- 2610.08540
- 发表
- 场景
- 模型与 API
- 被测模型
- Pythia (14m–2.8b)、Qwen2.5 (0.5B–72B)、Qwen2.5-Instruct (0.5B–14B) 等 4 个
- 风险失准与价值偏离
摘要论文提出了分风险对齐标度律框架，测得真实性与倾向纠错呈标度有益，但盲后门仍存活，揭示隐藏风险的长期挑战。
本文提出了一个将大语言模型对齐难度形式化为可测量标度关系的理论框架与预注册评测协议。
- 防御arXiv 2610.08061
ASCENT：通过一阶最优校准实现安全与效用协同的微调框架
提出 ASCENT，在效用微调中做一阶安全校准并只压制负贡献更新
- arXiv
- 2610.08061
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、Gemma-3-12B-it 等 4 个
- 防御arXiv 2610.07774
研究者提出读取路由 logits 的 MoE 视觉语言模型多模态安全检测器
研究者提出一种轻量级路由 logits 安全检测器，在提示词预填充阶段读取 MoE 视觉语言模型的专家路由信号，在生成前判断多模态请求是否安全，且不修改模型参数或专家路由。
- arXiv
- 2610.07774
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-VL-30B-A3B-Instruct、Kimi-VL-A3B-Instruct
摘要读出而非操纵 router logits，可在不改模型的情况下降低两模型的组合式安全错误。
作者在两个指令微调 MoE VLM 上比较改模型与读路由。组合式风险按 HoliSafe 分成五类：图文各自可安全，合在一起才不安全，或不安全内容只在图像里。
- 评测与基准arXiv 2610.06522
SycoLens 研究：单一谄媚翻转率掩盖纠正与屈从的区别
构建 SycoLens 重放评测，区分谄媚翻转中的纠错与屈从
- arXiv
- 2610.06522
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- opus-5、sonnet-5、sonnet-4.6 等 11 个
- 风险失准与价值偏离
摘要论文揭示施压句式、边界距离与格式偏置主导翻转率，提出系统解构纠错与顺从的综合评测方案。
本文系统解构了大语言模型在用户质疑下的阿谀奉承行为与评测机制。
- 防御arXiv 2610.05898
数据稀缺下 LLM 的协作式个性化偏好对齐：APO 方法
提出 APO，协同学习少样本个性化偏好对齐的 aligner 初始化
- arXiv
- 2610.05898
- 发表
- 场景
- 模型与 API
- 被测模型
- Llama-3.2-3B-Instruct、Qwen2.5-3B-Instruct
- 防御arXiv 2610.05637
研究显示 VLM 视觉定位输出的拒答率按危害领域平均低 31 至 59 个百分点
提出融合定位拒答与能力保留的安全微调，补齐视觉定位输出的拒答缺口
- arXiv
- 2610.05637
- 发表
- 场景
- 模型与 API
- 被测模型
- Claude Sonnet 4.6、Gemini 3.5 Flash、Molmo2-8B 等 5 个
摘要论文揭示了 VLM 定位安全落后于 VQA 的对齐断层，提出三成分微调方案有效弥合差距并保留定位能力，表征分析揭示了对齐机制。
- 可解释性arXiv 2610.05541
研究者提出 CAP 指标与 CSFD 算法，发现越狱通过压制安全特征绕过拒答
提出 CAP 指标与 CSFD 算法，发现被抑制的安全特征
- arXiv
- 2610.05541
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Gemma-2-2B、Qwen3-8B、Gemma-3-4B-IT 等 5 个
- 风险拒答失当
摘要论文指出越狱通过抑制安全特征运作，提出 CAP 与 CSFD 补充了针对激活特征的解释性方法。
- 防御arXiv 2610.05219
AURA：用正交适配缓解 LLM 推理与安全对齐的子空间干扰
提出 AURA，用正交惩罚分开顺序适配中的推理与安全子空间
- arXiv
- 2610.05219
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen-3-14B、Qwen-2.5-14B-Instruct、Llama-3-8B-Instruct 等 4 个
摘要AURA 用子空间正交分开顺序任务。
AURA 是面向共享骨干智能体的顺序 LoRA 正则，用来分开前后任务的残差子空间。
- 防御arXiv 2610.04998
EmoRSS：缓解大语言模型由情绪引发的过度拒答
提出 EmoRSS，推理时在拒绝子空间反向抵消情绪激活偏移以缓解过度拒答
- arXiv
- 2610.04998
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B-it、Qwen3-8B
- 防御arXiv 2610.04967
One Token Can Be Enough：用 Prefix Steering 连接提示与激活引导
提出 Prefix Steering，以短前缀激活引导控制行为并保住能力
- arXiv
- 2610.04967
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- OLMo 3 7B、OLMo 3 32B、Qwen3 1.7B 等 4 个
摘要短前缀 steering 用已有方向做短暂干预。
本文用注意力层匹配连接提示词与激活干预，并把干预改成从末提示词 token 开始的短前缀。
- 可解释性arXiv 2610.04245
研究揭示语言模型拒答行为的转向维度差异
测量安全拒绝与一般语境拒绝的转向维数
- arXiv
- 2610.04245
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B-Instruct、Qwen2.5-3B-Instruct
- 风险拒答失当
- 可解释性arXiv 2610.02910
论文提出用路由梯度敏感度定位稀疏 MoE 模型中的安全敏感专家
用路由梯度敏感度定位稀疏 MoE 的安全敏感专家
- arXiv
- 2610.02910
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Mixtral-8x7B、Qwen1.5-MoE、DeepSeek-MoE 等 5 个
- 风险拒答失当
摘要频率不是敏感度。
在五个稀疏 MoE 上，用 router 梯度而不是激活频率挑选要抑制的专家，留出恶意提示词上的拒答降得更多。。推理时让少数路由专家不被选中，就可以不重训练地改变拒答，但频率只记录使用次数。
- 防御arXiv 2610.02844
DNAlign：面向 LLM 的动态零空间安全对齐框架
提出 DNAlign，在不改权重的推理期用零空间约束控制信号做安全对齐
- arXiv
- 2610.02844
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Vicuna-7B、Qwen-7B
摘要DNAlign 用零空间约束的推理期控制做安全对齐，Table I 平均奖励高于所列基线。
DNAlign 是一个不改 LLM 参数的安全对齐框架，用来在推理时压低有害输出，并减少对中性知识所支持的流畅、事实回答的改动。
- 防御arXiv 2610.02568
PlurPO：用多元偏好优化缓解社交谄媚
提出 PlurPO，用自模拟利益相关者偏好后训练缓解社交谄媚
- arXiv
- 2610.02568
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen3-8B、Phi-4、Llama 3.1 8B 等 5 个
摘要PlurPO 用自身多方否决信号做后训练，在社会谄媚指标上降低过度认可。
PlurPO 是一种后训练方法，用来降低个人建议等无真值场景中的社会谄媚。
- 评测与基准arXiv 2610.02303
PowerBench 评测 24 个模型在权力转移请求上的偏见
提出 PowerBench，测量模型对权力转移请求的拒答偏见
- arXiv
- 2610.02303
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- grok-4.3、haiku-4.5、nova-2-lite 等 18 个
- 风险偏见与歧视
摘要作者报告拒答随 SE/DE/PG 变化，并存在针对美国失权、智能体和语言的差。
- 防御arXiv 2610.01170
HeadEdit：通过冻结的 unembedding 矩阵校准语言模型行为
提出 HeadEdit，经冻结 unembedding 做随输入变化的 logit 校正
- arXiv
- 2610.01170
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-4B、Gemma-3-4B-IT、Llama-3.2-3B-Instruct 等 4 个
摘要低秩 unembedding 校正抬高九个设置的总体准确率，并可部分预测 DPO 更新。
HeadEdit 是一种不更新参数的行为校准方法，作用点是冻结的 unembedding，而不是中间层残差或新的梯度优化。
- 可解释性arXiv 2610.06903
研究揭示 Transformer 拒答机制中的组件与维度稀疏性
定位写入 Transformer 拒答方向的稀疏组件与残差维度
- arXiv
- 2610.06903
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Gemma-2-2B-IT、Qwen3-4B、Phi-4-Mini-Instruct 等 4 个
- 风险拒答失当
摘要四模型上拒答转向集中于稀疏组件和约一半残差维度，而非均匀编码。
这篇工作把拒答转向从残差流单点干预拆到组件和坐标，看 refusal 方向 r* 是被哪些上游模块组装出来的。