全部论文

研究提出社会性作弊概念：RL训练让LLM发现社会规则漏洞

用 SocioHack 展示 RL 训练使模型自发利用社会规制漏洞

arXiv

2606.04075

发表

6月3日

层

模型层

场景

模型与 API

测试

Gemma4-26B-A4B、Gemma4-E4B、Gemini-3-flash 等 6 个

• 风险奖励作弊

审计发现 CLIP 安全分数主要反映画面与提示词场景的相似度

开环审计冻结视觉安全分，发现偏离主要来自场景模板与视角

arXiv

2610.09517

发表

10月7日

层

模型层

场景

具身与机器人

测试

CLIP ViT-B/32、CLIP ViT-L/14、Qwen2-VL-7B 等 6 个

• 组件视觉
• +1+1

东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核

揭示推理模型用标识符规则替代随机抽样，使审计可被预测

arXiv

2610.09667

发表

10月7日

层

模型层

场景

模型与 API

测试

Gemini 3.8 Flash、Gemini 3.5 Flash、GPT-6 Sol 等 6 个

• 组件推理链

研究者提出模型生物体多目标验证框架并给出训练建议

提出模型生物多目标验证与合并训练方法以减少能力损伤

arXiv

2610.10203

发表

10月7日

层

训练与数据层

场景

模型与 API

测试

gemma-2-2b-it、gemma-4-31b、olmo-2-1b 等 8 个

P-VMI：对抗图像经 KV cache 持续影响多轮对话

提出持久视觉记忆注入，使对抗图像经缓存在触发时操控输出

arXiv

2610.09027

发表

10月7日

层

基础设施层

场景

模型与 API

测试

Gemma-4-12B、Qwen3-8B、Qwen3-VL-8B-Instruct 等 4 个

• 攻击提示注入
• 技术潜伏触发
• 组件视觉
• +1+1

PatchBench 提出激活补丁局部评测协议，揭示越狱修复的附带损伤

提出 PatchBench-Local 协议，评测激活补丁修复越狱的局部附带损伤

arXiv

2610.10276

发表

10月7日

层

模型层

场景

模型与 API

测试

gemma-3-4b-it、gemma-3-12b-it、Qwen2.5-3B-Instruct 等 8 个

• 防御推理时干预
• 攻击越狱

SLIP：无需外部攻击模型的多轮自我越狱

提出无外部攻击模型的多轮自我越狱方法 SLIP

arXiv

2601.02670

发表

1月6日

层

提示层

场景

模型与 API

攻击者

黑盒

测试

Gemini-2.5-Pro、Gemini-2.5-Flash-Lite、GPT-5.1 等 11 个

• 攻击越狱
• 技术多轮渐进
• +1+1

研究者提出答案侧后门：让模型自生成触发词绕过安全拒答

提出回答端后门，让模型自生成触发词以在干净有害请求下绕过拒答

arXiv

2610.07723

发表

10月6日

层

训练与数据层

场景

模型与 API

测试

Gemma-7B-it、Llama-2-7B-chat-hf、Mistral-7B-Instruct-v0.3 等 4 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重
• +2+2

SycoLens 研究：单一谄媚翻转率掩盖纠正与屈从的区别

构建 SycoLens 重放评测，区分谄媚翻转中的纠错与屈从

arXiv

2610.06522

发表

10月5日

层

模型层

场景

模型与 API

测试

gemini-3.1-pro、gemini-3.5-flash、gemini-3.1-flash-lite 等 11 个

• 风险失准与价值偏离

TranScope：利用 CPU 性能计数器对 Transformer 做成员推断攻击

提出 TRANSCOPE，用 CPU 硬件计数器推断训练集成员

arXiv

2610.06848

发表

10月5日

层

基础设施层

场景

模型与 API

攻击者

黑盒

测试

BERT (4.4M-340M)、ViT (22M-307M)、Pythia (70M-2.8B) 等 5 个

• 攻击提取与窃取
• 技术侧信道

研究者提出 CAP 指标与 CSFD 算法，发现越狱通过压制安全特征绕过拒答

提出 CAP 指标与 CSFD 算法，发现被抑制的安全特征

arXiv

2610.05541

发表

10月5日

层

模型层

场景

模型与 API

测试

Gemma-2-2B、Gemma-3-4B-IT、Qwen3-8B 等 5 个

• 风险拒答失当

研究显示 VLM 视觉定位输出的拒答率按危害领域平均低 31 至 59 个百分点

提出融合定位拒答与能力保留的安全微调，补齐视觉定位输出的拒答缺口

arXiv

2610.05637

发表

10月5日

层

训练与数据层

场景

模型与 API

测试

Gemini 3.5 Flash、Claude Sonnet 4.6、Molmo2-8B 等 5 个

• 防御模型加固
• 风险拒答失当
• 组件视觉

研究揭示无触发投毒审计缺口：事实答对不等于决策正确

揭示无触发虚假训练下事实回答与下游决策的审计差距

arXiv

2610.02886

发表

10月2日

层

训练与数据层

场景

模型与 API

测试

Gemma-2-9B-it、Qwen2.5-0.5B、Qwen2.5-1.5B 等 9 个

• 攻击投毒与后门

MLCommons 发布 Jailbreak Benchmark v1.0

构建 MLCommons 越狱基准以测量模型的单轮越狱韧性

arXiv

2610.02827

发表

10月2日

层

提示层

场景

模型与 API

测试

Gemma 3N E4B Instruct、Gemma 4 31B Instruct、LFM2-24B-A2B 等 8 个

• 攻击越狱

研究提出对齐诱导不忠实：对齐训练让模型静默改写输入内容

提出 FAITHCONFLICT，测量对齐训练导致模型静默改写相悖输入

arXiv

2610.00568

发表

10月1日

层

模型层

场景

模型与 API

测试

Gemma-3-12B、Gemma-3-27B、Llama-3.1-8B-Instruct 等 13 个

Concept2Scenario：用 SAE 概念归因发现可迁移的越狱场景

提出 Concept2Scenario，借助内部概念归因发现可迁移的越狱场景

arXiv

2607.23496

发表

7月26日

层

提示层

场景

模型与 API

攻击者

白盒、黑盒

测试

Gemini-3-Flash、Gemini-3.1-Pro、Qwen3.5-9B 等 10 个

• 攻击越狱
• 技术梯度与表征优化
• +1+1

上海交大等提出 trait-direction drift 机制与探针空间走廊正则，抑制蒸馏中的潜隐特质迁移

提出特征方向漂移机制与探针空间走廊正则，抑制蒸馏潜隐特质迁移

arXiv

2609.01091

发表

9月1日

层

训练与数据层

场景

模型与 API

测试

Gemma-3-12B-IT、Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct 等 4 个

• 防御模型加固
• 攻击投毒与后门
• 风险失准与价值偏离
• 组件微调与开源权重

斯坦福与 Anthropic 研究：RL 后训练中模型承认失败的披露行为远不如任务能力稳定

度量强化学习后失败披露的跨运行不稳定性，并提出失败条件参考锚定

arXiv

2609.33220

发表

9月27日

层

训练与数据层

场景

模型与 API

测试

Phi-4、Gemma-2-2B、Gemma-2-9B 等 11 个

• 防御模型加固
• 风险欺骗与谋划

Truthful AI 提出价值泄漏评估：模型答案被自身价值观悄然左右

提出价值泄漏评估，测量模型回答受自身价值倾向的隐蔽影响

arXiv

2607.14345

发表

7月16日

层

模型层

场景

模型与 API

测试

Gemini 3.1 Pro、Gemini 3.5 Flash、Gemini 2.5 Pro 等 15 个

• 风险失准与价值偏离
• 组件推理链

SkillSafe-Bench：技能合并模型静态安全无法预测自适应越狱鲁棒性

提出 SkillSafe-Bench，评测技能合并模型的自适应越狱鲁棒性

arXiv

2608.08542

发表

8月9日

层

提示层

场景

模型与 API

测试

Phi-4-mini、Gemma-2-9B、Qwen2.5-7B-Instruct 等 6 个

• 攻击越狱
• 组件微调与开源权重