攻击arXiv 2610.09819
FAB 攻击：给 HuBERT/WavLM 植入后门，背景警笛声即可让下游语音任务失灵
提出 FAB 攻击，向声学基础模型植入可由环境声触发的后门
- arXiv
- 2610.09819
- 发表
- 场景
- 模型与 API
- 测试
- HuBERT-base、WavLM-base
摘要论文提出了针对声学基模的 FAB 后门攻击，在弱威胁模型下实现了任务无关、物理可触发的后门植入。
全部论文
另有 602 篇论文还没打上分类标签，暂不在筛选结果里。
- 分析与理论arXiv 2610.02586
研究发现类型化决策模型主要按选项标签而非定义作答
揭示类型化决策模型按选项标签而非定义规则作答
- arXiv
- 2610.02586
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- von、Qwen2.5-0.5B、Qwen2.5-1.5B 等 6 个
- 组件护栏与评审
摘要揭示类型化决策模型被标签误导的机理，证实源于提示词渲染并给出实操建议。
- 攻击arXiv 2610.05894
研究者提出闭环偏见注入攻击
提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见
- arXiv
- 2610.05894
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 灰盒
- 测试
- LLaDA-8B-Instruct、Dream-v0-Instruct-7B、LLaDA-MoE-7B-A1B-Instruct
摘要通过去噪中间概率反馈动态调节残差流转向，证明扩散语言模型在推理服务栈中存在闭环偏见注入脆弱性。
- 防御arXiv 2610.05637
研究显示 VLM 视觉定位输出的拒答率按危害领域平均低 31 至 59 个百分点
提出融合定位拒答与能力保留的安全微调，补齐视觉定位输出的拒答缺口
- arXiv
- 2610.05637
- 发表
- 场景
- 模型与 API
- 测试
- VisionReasoner-7B、Claude Sonnet 4.6、Gemini 3.5 Flash 等 5 个
摘要论文揭示了 VLM 定位安全落后于 VQA 的对齐断层，提出三成分微调方案有效弥合差距并保留定位能力，表征分析揭示了对齐机制。
- 防御arXiv 2610.03502
研究者提出可认证机制编辑：在连续输入区域上证明技能移除与保留
提出机理编辑形式化认证，证明连续输入区域上的技能移除与保留
- arXiv
- 2610.03502
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Toy MLP (separated)、Toy MLP (entangled)、Deep MLP (3-12-8-2) 等 6 个
摘要提出机理编辑形式化认证框架，证明编辑在连续区域生效且黑盒测试无法保证移除，为安全编辑提供数学证明。
- 风险行为arXiv 2610.03185
研究将 on-policy distillation 视为隐式奖励优化，揭示奖励作弊导致的训练崩溃
揭示在策略蒸馏的训练崩溃是对教师偏置的奖励投机
- arXiv
- 2610.03185
- 发表
- 场景
- 模型与 API
- 测试
- JustRL-1.5B、DeepScaleR-1.5B-Preview、Qwen3-4B 等 8 个
- 风险奖励作弊
摘要论文从强化学习视角阐释在策略蒸馏，揭示其提升采样效率而不扩边界，崩溃源于教师奖励偏置引发的奖励投机并可通过掩码缓解。
该研究从强化学习视角系统分析了语言模型在策略蒸馏（OPD）中的性能增益机制与退化崩溃原因。
- 评测与基准arXiv 2610.02827
MLCommons 发布 Jailbreak Benchmark v1.0
构建 MLCommons 越狱基准以测量模型的单轮越狱韧性
- arXiv
- 2610.02827
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- LFM2-24B-A2B、Gemma 3N E4B Instruct、Qwen 2.5 7B Instruct Turbo 等 8 个
- 攻击越狱
摘要论文建立了单轮越狱评测的标准化端到端方法学体系，揭示了开源大模型在对抗提示词下的安全性能降级与大模型负差距现象。
- 攻击arXiv 2609.18217
研究：跨通道碎片化攻击可绕过 MCP 单通道防御
提出跨通道分段攻击，利用 MCP 隐式信任诱导外发敏感文件
- arXiv
- 2609.18217
- 发表
- 层
- 应用层
- 场景
- 编程 Agent
- 测试
- Composer 2、GPT-4o、GPT-4o-mini 等 15 个
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
- 攻击arXiv 2609.04382
研究揭示 split-LLM 训练中返回梯度泄露真实行，前向隐私门仍通过
揭示拆分训练返回梯度以零支撑暴露诱饵行并泄露训练内容
- arXiv
- 2609.04382
- 发表
- 场景
- 模型与 API
- 攻击者
- 白盒
- 测试
- 35B-A3B、Qwen3-0.6B
- 攻击提取与窃取
摘要论文揭示拆分训练中反向梯度零支撑完全暴露诱饵行，联合视图突破门控，裁剪加噪可有效缓解。
这是一项关于双节点大语言模型拆分训练系统的系统安全案例研究，揭示了评估工具遗漏反向信道所导致的静默隐私失效。
- 攻击arXiv 2608.09867
研究者利用加密推理块跨模型兼容性窃取专有 LLM 推理链
利用加密思维块的跨模型重放，诱导弱模型逐字转写专有推理链
- arXiv
- 2608.09867
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Inkling、Claude Opus 4.8、Claude Sonnet 4.6 等 15 个
摘要论文揭示了客户端加密思维块跨模型互换漏洞，提出了低成本提取方法并给出防御方案。
- 可解释性arXiv 2607.12166
研究：SAE 相关性恢复的特征最高 77% 因果无效
用消融与转向干预审计稀疏自编码器特征的因果有效性
- arXiv
- 2607.12166
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- toy model (32->8, s=0.95, decayed)、toy model (nhidden=20)、GPT-2-small (gpt2-small-res-jb/blocks.8.hook_resid_pre)
摘要论文揭示 SAE 特征存在几何匹配与因果有效性脱节现象，提出读写解离机制与实践准则。
- 防御arXiv 2607.24017
多模态大模型注意力中的语义与结构偏差解耦：SPAR 免训练干预方法
提出 SPAR 以分离注意力结构偏置并重分配视觉注意力，减轻多模态幻觉
- arXiv
- 2607.24017
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- LLaVA-v1.5、LLaVA-1.5-7B、LLaVA-NeXT 等 7 个
摘要SPAR 用显著性净化文本结构偏置并重分配注意力，在 LLaVA 上同时压低自发幻觉、抬升 gaslighting 后准确率。
SPAR 是一种免训练的 MLLM 推理时干预，用来把注意力里的结构偏置和语义视觉信号分开。
- 其他arXiv 2607.28568
Frontis-MA1：面向机器学习工程递归自我改进的 AI4AI 模型
提出 OpenMLE 全栈，用执行反馈后训练机器学习元进化智能体
- arXiv
- 2607.28568
- 发表
- 场景
- 编程 Agent
- 测试
- Frontis-MA1-35B、Frontis-MA1-30B、Qwen3.6-35B-A3B 等 15 个
- 风险危险能力
摘要OpenMLE 训练 Frontis-MA1-35B，用四个共享算子把 MLE 后训练和长程搜索接成元进化闭环。
作者提出全栈 OpenMLE，在机器学习工程里研究从进化到元进化的一步，并把递归自我改进视为更远目标。智能体要在延迟、有噪声的执行反馈下反复修改程序。作者认为公开系统很少同时提供可扩展环境、基于执行的后训练，以及部署该模型的长程进化搜索。
- 评测与基准arXiv 2609.38106
剪枝提效却牺牲公平：剪枝语音 LLM 中的群体差异
测量剪枝对语音 LLM 群体转写公平性的影响
- arXiv
- 2609.38106
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Whisper Small (12 layers)、Whisper Medium (24 layers)、Whisper Large-v2 (32 layers) 等 4 个
摘要剪枝后的 Speech-LLM 不能只看总体 WER：Fair-Speech 上族群差扩大，作者建议看最差组。
- 其他arXiv 2609.40034
ALeBi：用 bias probe 主动审计多群体公平性
提出 k-ALeBi 偏差探针，主动审计黑盒模型的多组公平性
- arXiv
- 2609.40034
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- linear model、random forest、MLP
- 风险偏见与歧视
摘要偏差探针把多组公平审计变成比较函数学习，并分开审计与重构。
k-ALeBi 把黑盒多组公平审计写成跨组比较函数的学习，而不是先重构分类器。
- 其他arXiv 2610.01005
基于容忍度的公平性审计：违规认证与敏感性筛查
提出容忍度公平性审计，用 CEL 认证违规并用 SEL 筛查
- arXiv
- 2610.01005
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- COMPAS
- 风险偏见与歧视
摘要容忍阈值下，CEL 做违规认证，SEL 与 ASEL 做更敏感的筛查。
这篇工作给出一套按审计目标切换校准的容忍公平审计：差异不必为零，而是看预先指定的不利方向上是否超过允许阈值。
- 评测与基准arXiv 2609.19989
研究者构建中国AI生成内容合规基准，评测20个LLM
构建中国 AIGC 合规基准，评测 LLM 中文输出的合规与拒答
- arXiv
- 2609.19989
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- yi_34b、Qwen3、Kimi-K2 等 15 个
- 风险拒答失当
摘要合规基准显示国际模型也可达高合规，作者认为差异更集中于意识形态相关维度。
- 分析与理论arXiv 2609.33898
研究揭示训练效率与模型脆弱性的权衡：高效训练更易受对抗与隐私攻击
比较高效与高成本训练的对抗和隐私脆弱性并分析损失几何
- arXiv
- 2609.33898
- 发表
- 场景
- 模型与 API
- 测试
- ResNet-18、Swin Transformer、Eurus-2-7B-PRIME 等 7 个
- 攻击提取与窃取
摘要效用匹配下，三种高效训练都伴随更高的隐私与对抗脆弱性及更尖的损失几何。
作者在视觉分类和数学推理语言模型上，检查用更少数据或更简对齐换取训练效率时，安全性质是否一起变化。比较在任务效用接近的前提下进行。视觉侧用 KNN-Shapley 的高重要性小子集对照低重要性大子集，并用预训练微调对照从头训练。
- 防御arXiv 2608.30703
SingProbe 发布开源内在护栏框架，适配 29 个开源模型
提出内生护栏 SingProbe，复用解码隐状态监测查询意图、回复安全与幻觉
- arXiv
- 2608.30703
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Ling-3.0-tiny-singprobe、Ling-3.0-flash-singprobe、YuFeng-XGuard-Reason-0.6B 等 14 个
摘要SingProbe 用轻量内生探针做生成时三类监测，并给出流式基准与低开销服务接入。
SingProbe 是面向生成时监测的开源内生护栏：复用基座解码隐状态，而不是另起模型反复编码文本。
- 攻击arXiv 2608.04034
HACA：原子越狱策略解耦组合的多模态自动红队方法
提出 HACA，将图文越狱拆为原子策略并自动组合以诱导有害输出
- arXiv
- 2608.04034
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- VLGuard (LLaVA-v1.5-7B-Mixed)、LLaVA-1.6-Mistral-7B、InternVL-3.5-8B 等 5 个