分析与理论arXiv 2610.12436
研究提出 AI Agent 种群生态理论：协作带来起飞临界规模
为失配智能体种群建立生态模型，说明协作产生起飞临界规模
- arXiv
- 2610.12436
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 风险失准与价值偏离
摘要作者称协作把起飞从个体能力阈值改成种群阈值，故小种群评估不够。
作者用生态学的强 Allee 效应，讨论失配智能体种群会不会在个体能力不变时起飞。。
- 分析与理论arXiv 2610.12409
研究者对 HELM Safety 与 HarmBench 做心理测量学审查，质疑其分数能否代表单一属性
审计 HarmBench 分数能否代表单一 harmful refusal 属性
- arXiv
- 2610.12409
- 发表
- 层
- 模型层
- 场景
- 模型与 API
摘要作者称 HarmBench 不对应单一 harmful refusal，比较模型时应把行为分开。
这是对 HELM Safety 中 HarmBench 的构念效度审计，检查 harmful refusal 能否作为单一属性来读分数。。
- 分析与理论arXiv 2610.12313
研究测试五个大模型合规系统对监管规则扰动的敏感度
诊断合规系统裁决是否随监管规则扰动而改变
- arXiv
- 2610.12313
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Llama-3.3-70B-Instruct、Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct 等 5 个
摘要五模型上许多正确裁决对删换否定规则大体不变。
用行为反事实和激活探针，审计合规裁决是否依赖所给规则。。作者要分开两种看起来一样的正确裁决：用了所给规则的，以及靠案例表面或训练模式得到的。
- 分析与理论arXiv 2610.10657
研究显示隐蔽学习可传递新能力、后门与作弊倾向
检验潜意识学习能否经无关数据蒸馏传递能力、后门与作弊
- arXiv
- 2610.10657
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen3.6-35B-A3B、Qwen3.5-9B、Qwen3.6-27B 等 4 个
- 风险奖励作弊
摘要作者报告潜意识学习可传递新技能、后门与作弊倾向，且分布外泛化强于单层转向向量。
- 分析与理论arXiv 2610.10203
研究者提出模型生物体多目标验证框架并给出训练建议
提出模型生物多目标验证与合并训练方法以减少能力损伤
- arXiv
- 2610.10203
- 发表
- 场景
- 模型与 API
- 被测模型
- gemma-2-2b-it、olmo-2-1b、llama-3.1-8b-it
摘要提出多目标验证框架与模型合并训练法，证明模型真实度直接影响可解释性评测。
本论文提出了一种针对 AI 安全评测用模型生物（Model Organisms）的多目标训练与验证体系。
- 分析与理论arXiv 2610.09667
东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核
揭示推理模型用标识符规则替代随机抽样，使审计可被预测
- arXiv
- 2610.09667
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- GPT-6 Sol、GPT-6 Luna、GPT-5.4 mini 等 6 个
- 组件推理链
摘要研究揭示推理智能体将标识符转化为确定性规则，破坏群体独立性并导致审计预测漏洞，建议显式提供随机输入。
- 分析与理论arXiv 2610.09004
研究：去除有害信息不足以证明开源权重模型的抗篡改能力
论证发布时互信息不能认证开源权重抗微调恢复
- arXiv
- 2610.09004
- 发表
- 场景
- 模型与 API
- 被测模型
- EleutherAI/deep-ignorance-e2e-strong-filter、EleutherAI/deep-ignorance-unfiltered、Google BERT-Tiny 等 6 个
摘要作者称零信息仍可一步恢复，表观抗微调可来自参数化。
作者研究开源权重模型的篡改抵抗：发布时的互信息是否足以保证微调恢复很慢。
- 分析与理论arXiv 2610.08577
学习方式如何影响遗忘：记忆与泛化谱系下的机器遗忘研究
分析记忆与泛化如何决定机器遗忘的 retain 损伤
- arXiv
- 2610.08577
- 发表
- 场景
- 模型与 API
- 被测模型
- one-layer ReLU transformer、one-layer transformer (BMA, width doubled)、Hubble-8B-100B perturbed 等 6 个
摘要作者称共享规则占比越高，遗忘带来的 retain damage 越大。
作者考察学习方式如何左右 unlearning 的 retain damage：训练越依赖跨样本共享的解法，在匹配的遗忘程度上，retain 上的损失越大。
- 分析与理论arXiv 2610.08178
研究给出潜空间图像水印的鲁棒性上限理论分析
分析潜空间图像水印对像素扰动的内在鲁棒性上限
- arXiv
- 2610.08178
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Stable Diffusion v2-1
摘要作者称当前潜空间水印在低 FPR 下受扩张映射与分布偏移的限制。
- 分析与理论arXiv 2610.08144
新论文称 Lean 验证不能为 OpenAI 的 Navier-Stokes 自然语言证明背书
论证 Lean 编译通过不能保证自然语言数学证明语义忠实
- arXiv
- 2610.08144
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- ChatGPT-6 (Astra Ultra)
摘要论文论证了形式化编译不保证原证明正确，确立了消歧不可计算性理论，并揭示了 OpenAI 爆破证明中的具体脱节。
- 分析与理论arXiv 2610.07798
研究：财务信息披露越少，Llama-3.1-8B-Instruct 的理财建议越受身份影响
测量财务事实变少时身份对股权配置建议的替代
- arXiv
- 2610.07798
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B-Instruct、Qwen2.5-1.5B-Instruct
- 风险偏见与歧视
摘要身份摆幅随披露减少上升。
同一财务只改人设，测量披露变薄时股权建议里的身份替代。
- 分析与理论arXiv 2610.06851
研究发现基础模型仅靠固定开头 token 即可达到 RL 级推理表现
证明短开头词可唤醒基模型推理，且效应来自训练数据
- arXiv
- 2610.06851
- 发表
- 场景
- 模型与 API
- 被测模型
- Olmo-3-7B、Olmo-3-32B、Qwen3-4B 等 10 个
- 组件推理链
- 分析与理论arXiv 2610.06001
AgentSpy：在系统调用层观测 AI Agent 行为并检测技能注入攻击
提出 AgentSpy，在系统调用层观测 Agent 行为并检测技能注入
- arXiv
- 2610.06001
- 发表
- 层
- 应用层
- 被测模型
- gpt-5.6-terra、deepseek-v4-flash、glm-5.3-flash 等 4 个
摘要提出了系统级智能体监控框架 AgentSpy，揭示出通过测试背后的非预期行为与注入风险。
本研究提出了面向 AI 智能体的系统级外部监控与行为分析框架 AgentSpy。
- 分析与理论arXiv 2610.06163
SAGE：定位 LLM Agent 修复中最早偏离安全意图的环节
提出 SAGE，定位代码修复 Agent 最早偏离安全意图的轮次
- arXiv
- 2610.06163
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.5、Claude Opus 4.8、Gemini 3.1 Pro 等 6 个
摘要SAGE 在已通过检查的修复轨迹上定位静默失败的最早偏离，类型比轮次更稳定。
SAGE 在已通过语法和功能检查、但仍含确认安全缺陷的智能体修复轨迹上，定位最早可归因的安全意图偏离。。
- 分析与理论arXiv 2610.07009
研究受控拆解图像到文本越狱中图像属性的作用
固定有害指令，单轴归因图像到文本越狱的图像属性
- arXiv
- 2610.07009
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- GPT-4o、Claude Sonnet 4.5、Qwen3-VL-8B-Instruct 等 6 个
摘要固定文本的图像越狱拆解，只在 Qwen 上给出一条有界相关性归因。
- 分析与理论arXiv 2610.07005
研究审计 Qwen2-Audio 音频越狱 AdvWave-P 的频率与解码层归因
遮挡审计 AdvWave-P 音频越狱的频带必要性与解码层关联
- arXiv
- 2610.07005
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Qwen2-Audio-7B-Instruct、LLaMA-Omni
摘要AdvWave-P 的八频带排序与能量相关。
这是对加性音频越狱 AdvWave-P 的频率与解码器深度审计，受害模型主要是 Qwen2-Audio-7B-Instruct，不提出新攻击。
- 分析与理论arXiv 2610.05076
自生成反馈会破坏测试时训练：长时程适应的因果分解
因果分解自生成反馈如何破坏测试时训练的长时程适应
- arXiv
- 2610.05076
- 发表
- 场景
- 模型与 API
- 被测模型
- 125M TTT-E2E、760M TTT-E2E、3B TTT-E2E 等 5 个
摘要自写闭环损害真实文本预测。
持久测试时更新若来自模型自己生成的文本，会同时改变模型和后续训练文本。作者在 PG-19 长流上分解这条闭环，并用独立文本决定是否提交更新。
- 分析与理论arXiv 2610.04860
研究揭示文本水印会诱发模型幻觉，并提出两种缓解干预
分析文本水印在 RAG 中诱发事实幻觉的机制并提出干预
- arXiv
- 2610.04860
- 发表
- 层
- 模型层
- 场景
- LLM 应用
- 被测模型
- LLaMA 3.1 8B Instruct、Mistral-7B-Instruct-v0.3、Qwen2.5-14B-Instruct
摘要论文揭示了生产环境文本水印导致模型事实退化的失效模式，分析了解码机制并提出针对性干预。
论文研究生产级文本水印对大语言模型事实准确性的影响，分析了水印诱发幻觉的失效模式并评估了针对性缓解方案。
- 分析与理论arXiv 2610.04413
神经网络的具体算法可解释性：以纹理分类为例
提出散射初始化并限制微调距离，解释纹理分类网络实现的具体算法
- arXiv
- 2610.04413
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- fine-tuned scattering network
摘要散射初始化加受控微调，在小样本纹理分类上提高测试准确率并保留小波式滤波器。
- 分析与理论arXiv 2610.04375
论文揭示 LLM Agent 工具调用在执行路径中被改写，并提出 IntAct 修复方案
提出 IEC 与 IntAct，测量并修复 Agent 工具调用的路径篡改
- arXiv
- 2610.04375
- 发表
- 层
- 应用层
- 被测模型
- qwen3-coder-plus、Qwen2.5-Coder-32B、Qwen2.5-72B 等 4 个
摘要论文界定工具调用在执行路径中的意图偏离问题，提出无执行归因协议与跳级修复，为智能体工程提供评测与设计准则。