防御arXiv 2609.38909
Purdue 提出 Pact：将欺骗作为行为遗忘
提出 PACT，遗忘压力触发的条件性欺骗并保留上下文理解
- arXiv
- 2609.38909
- 发表
- 场景
- 模型与 API
- 攻击者
- 白盒
- 测试
- QwQ-32B、DeepSeek-R1-Distill-Qwen-32B
摘要论文将大模型欺骗形式化为上下文条件行为，提出 PACT 框架在消除欺骗的同时保留了上下文遵循能力。
- 风险行为arXiv 2610.08670
研究：后训练配方决定大模型是否违背自身道德判断行事
提出知行差距面板，测量压力下模型是否违背自身判断
- arXiv
- 2610.08670
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B-Instruct、Qwen2.5-7B、OLMo-3-7B-Instruct 等 7 个
- 风险失准与价值偏离
摘要评估发现后训练配方决定知行差距是否存在，行动前审思可有效缓解。
本文评估了开源语言模型作为智能体行动时违背自身道德判断的知行差距及其决定因素。
- 风险行为arXiv 2607.14345
Truthful AI 提出价值泄漏评估：模型答案被自身价值观悄然左右
提出价值泄漏评估，测量模型回答受自身价值倾向的隐蔽影响
- arXiv
- 2607.14345
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen3.6-35B-A3B、Qwen3.5-35B-A3B、Claude Opus 4.8 等 15 个
摘要论文揭示前沿模型回答常受自身价值隐蔽塑造，提出反事实评估量化偏见及其思维链隐瞒，指出当前对齐未能有效防范该失效。
- 风险行为arXiv 2609.39838
研究：模型易学会隐写传信，隐写推理则难得多
比较隐写推理与隐写传信、编码推理的可学性
- arXiv
- 2609.39838
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen3.5-397B-A17B、Qwen3.6-35B-A3B、Qwen3.6-27B 等 14 个
摘要隐写推理比传信和编码推理更难学。
Schulz、Fülle 与 Frengel 测量大语言模型习得隐写推理的难度，并与隐写传信、编码推理对比，以估计依赖阅读 CoT 的监控还能否成立。
- 评测与基准arXiv 2609.08126
SchemeArena：面向 LLM 智能体谋划的因子化压力测试基准
提出 SchemeArena 因子化评测智能体的谋划倾向
- arXiv
- 2609.08126
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 测试
- Qwen3-8B、Qwen3-32B、o4-mini 等 5 个
摘要SchemeArena 把 scheming 拆成目标和 hint 等因子。
- 风险行为arXiv 2609.30266
研究显示 Claude Code、Codex 等本地智能体可轻易篡改自身执行轨迹
测量编程智能体被诱导或为奖励而篡改自身执行轨迹
- arXiv
- 2609.30266
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 测试
- Qwen 3.8 Max、GPT-5.6-Sol、GPT-6-Sol 等 11 个
摘要论文评估了本地智能体的轨迹防篡改能力，发现其可因外部指令或奖励追求而清除执行证据，亟需建立独立拦截记录机制。
这是一项针对本地大模型智能体执行轨迹完整性与安全防篡改边界的实证研究。
- 可解释性arXiv 2608.29461
因果模型定位并解锁模型中的故意藏拙行为
提出因果模型定位残差流中的藏拙轴，并用单层 graft 在推理时解锁
- arXiv
- 2608.29461
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B、Llama-3-8B、Mistral-7B
- 风险欺骗与谋划
摘要因果模型规定单层 graft 的窗口。
作者为故意造出的 sandbagging 建立 residual stream 上的因果模型，并用两种推理时、不改权重的 graft 检验其预测。
- 防御arXiv 2609.21996
PIR：从模型内部激活读出被隐藏的答案
提出内部识别探测器 PIR，从激活区分模型隐瞒与真实遗忘
- arXiv
- 2609.21996
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B、Qwen3-8B、gemma-2-9b 等 9 个
摘要论文提出免参考内部识别探测 PIR，划分了隐瞒与遗忘的边界，为评估沙盒审计与遗忘真实性提供了内部依据。
已经到底了