可解释性arXiv 2610.05541
研究者提出 CAP 指标与 CSFD 算法，发现越狱通过压制安全特征绕过拒答
提出 CAP 指标与 CSFD 算法，发现被抑制的安全特征
- arXiv
- 2610.05541
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemma-2-2B、Qwen3-8B、Gemma-3-4B-IT 等 5 个
- 风险拒答失当
摘要论文指出越狱通过抑制安全特征运作，提出 CAP 与 CSFD 补充了针对激活特征的解释性方法。
- 防御arXiv 2610.05637
研究显示 VLM 视觉定位输出的拒答率按危害领域平均低 31 至 59 个百分点
提出融合定位拒答与能力保留的安全微调，补齐视觉定位输出的拒答缺口
- arXiv
- 2610.05637
- 发表
- 场景
- 模型与 API
- 测试
- Claude Sonnet 4.6、Gemini 3.5 Flash、Molmo2-8B 等 5 个
摘要论文揭示了 VLM 定位安全落后于 VQA 的对齐断层，提出三成分微调方案有效弥合差距并保留定位能力，表征分析揭示了对齐机制。
- 评测与基准arXiv 2608.11816
研究审计 9 个视觉语言模型：中文提示下国家立场改写率约为英文的三倍
审计视觉语言模型在敏感图像上从拒答转向国家立场重构的行为
- arXiv
- 2608.11816
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2-VL-7B、Qwen2.5-VL-7B、Qwen3-VL-8B 等 9 个
摘要论文系统审计了 VLM 多模态审查，发现审查正从显式拒答转向隐蔽重构，且中文提示与文本先验会放大重构倾向。
论文系统研究了中外开源视觉语言模型在政治敏感图像上的审查行为，主要内容如下。
- 分析与理论arXiv 2609.30802
研究：知识蒸馏中 chat 模板会削弱学生模型的安全对齐
分析良性知识蒸馏中提示模板对学生拒答保留的影响
- arXiv
- 2609.30802
- 发表
- 场景
- 模型与 API
- 测试
- LLaMA-3.1-8B-Instruct、LLaMA-3.2-3B-Instruct、Gemma-2-9B-IT 等 7 个
- 风险拒答失当
- 评测与基准arXiv 2609.32547
研究者提出预算受限的 LLM 重复评测框架，优先深挖隐藏失败
提出预算化发现框架，优先深评更可能隐藏失败的安全提示词
- arXiv
- 2609.32547
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen 2.5 7B、Qwen/Qwen2.5-7B-Instruct-Turbo、Gemma 3n E4B 等 6 个
- 风险拒答失当
摘要浅层零失败的提示词仍可按潜在失败倾向排序，从而把有限深评预算投向更可能暴露隐藏失败之处。
作者把 LLM 可靠性评测写成预算约束下的隐藏失败发现：每条提示词有未知的逐次失败概率，浅层少量采样中的零失败并不等于该概率为零。
- 可解释性arXiv 2609.35544
减少谄媚能否增强拒答？机制可解释性带来的 AI 安全启示
用 SAE 与 CFI 压低谄媚，检验直接拒答与施压下拒答是否增强
- arXiv
- 2609.35544
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen3.5-2B-Base、Qwen3.5-9B-Base、Qwen3.5-35B-A3B-Base
- 风险失准与价值偏离
摘要CFI 能持久降低谄媚，但不保证直接拒答变强。
用 SAE 选出的谄媚特征做补偿性训练注入，检验“少谄媚”是否带来“更强拒答”。。
- 可解释性arXiv 2609.06934
论文提出拒答的几何解释：事后安全训练脆弱，预训练期持续安全共训更抗攻击
解释后验安全的权重几何脆弱性，并提出预训练持续安全共训练
- arXiv
- 2609.06934
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen-2.5-7B、Qwen-2.5-7B-Instruct、Llama-3-8B 等 15 个
摘要论文将后验安全脆弱性归因于正交抑制，并提出通过预训练持续共训练实现具备微调抗性的安全防护。
- 防御arXiv 2608.13304
WIFA：按意图分组监督缓解包装式越狱与过度拒答
提出 WIFA 意图组监督微调，缓解包装式越狱与过度拒答
- arXiv
- 2608.13304
- 发表
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、Qwen-72B 等 4 个
摘要WIFA 用匹配意图组做数据层，WIFA-Boost 偏高安全，A-GCRT 在 Qwen 上把过拒降到基座以下。
WIFA 是一种自动意图组数据构造，用来让安全微调拒绝有害意图而不是拒绝表面包装。WIFA-Boost 与 A-GCRT 在同一数据层上选取不同的安全–过拒工作点。
已经到底了