另有 19 篇论文还没打上分类标签，暂不在筛选结果里。
提出工作流级越狱构建，经多轮开发工作流诱导编程 Agent 在代码中写出有害内容
摘要论文揭示了 IDE 编程智能体在多轮开发工作流中会绕过单轮拒答并自行写出有害代码，呼吁防御转向工作流与代码产物级审查。
揭示推理模型用标识符规则替代随机抽样，使审计可被预测
摘要研究揭示推理智能体将标识符转化为确定性规则，破坏群体独立性并导致审计预测漏洞，建议显式提供随机输入。
提出无外部攻击模型的多轮自我越狱方法 SLIP
摘要论文提出了无外部攻击模型的自我越狱方法 SLIP，指出对齐模型内在能力抑制的漏洞并设计了语义漂移防御。
提出 HARNESSSECURITY-BENCH 评测编码智能体框架的安全机制
提出 Concept2Scenario，借助内部概念归因发现可迁移的越狱场景
摘要该研究从表征空间因果归因揭示场景削弱拒绝的机制，发现可复用脆弱场景先验，提升多模型黑盒越狱效能与探索速度。
利用加密思维块的跨模型重放，诱导弱模型逐字转写专有推理链
摘要论文揭示了客户端加密思维块跨模型互换漏洞，提出了低成本提取方法并给出防御方案。
提出 MAMJ，在元层面交替优化多模态越狱的策略提示与攻击者权重
分析良性知识蒸馏中提示模板对学生拒答保留的影响
分析多轮攻击中有害性与拒答表征的几何演化
作者刻画多轮攻击里 harmfulness 与 refusal 相关表示如何随对话变化，而不提出新的攻击或防御。
用续写扰动衡量思维链对答案的因果约束如何随任务难度变化
摘要在所测续写干预与模型中，思维链对答案的约束随任务和后训练条件而变。
提出五步诊断协议，检验幻觉神经元定位是否唯一
这项工作用诊断协议复查 H-Neurons 的定位主张。问题是：L1 探针在相关激活上可以选出能预测幻觉的少量神经元，但这不等于这些神经元唯一编码该行为。
提出 SCALPEL，用对比 SAE 在表征层选择性遗忘特定事实
SCALPEL 是不改基座权重的表征层遗忘方法，面向与保留数据重叠的窄目标。
检验儿童受众框架是否让前沿模型收敛到同一套架构母题
这项研究记录前沿模型在固定社交框架下的架构自述是否形成稳定回答盆地，并把该现象称为认识性越狱，而不是已核实的模型内部。
提出任意字母置换密码越狱，无需微调即可诱导有害输出
摘要前沿大模型无需微调即可通过提示词学会字母置换密码，进而绕过分类器与对齐，作者呼吁关注能力提升带来的安全风险。
在残差流中构造 Symptom Vectors，读出与临床对齐的抑郁症状
提出 GAPS 维度门控，改进条件激活引导以抑制毒性与概念指涉
GAPS 为 activation steering 增加维度级条件：在决定何时干预之外，再决定当前该动哪些神经元。
用线性探针、归因修补与 SAE 消融追踪多语模型刻板印象
把多语 LLM 中刻板印象从线性表示追到输出影响，再追到 SAE 特征消融。。
提出 SceneJail，利用视频情境上下文越狱视频多模态模型
建立越狱原语分类与双重危害基准，评测模型抵御常见越狱的能力
本研究针对前沿 AI 大模型在 CBRNE 与网络高危滥用领域的安全防护，提出了 FAR.AI 最低安全标准（Minimal Standard v1.0）及配套评测基准，系统量化了当前主流模型的防护鲁棒性。
提出严格黑盒成员推断 WPMIA，用采样估计词级概率判断训练成员
WPMIA 是面向严格黑盒的 LLM 预训练数据成员推断：攻击者只能看到文本续写。