另有 15 篇论文还没打上分类标签，暂不在筛选结果里。
提出 SN-Guided Diffusion，利用安全神经元实现离线越狱
论文系统评估了扩散大语言模型（DLLM）在安全对齐中的双重角色——既作为白盒攻击目标，又作为黑盒越狱生成的对抗工具。
提出工作流级越狱构建，经多轮开发工作流诱导编程 Agent 在代码中写出有害内容
摘要论文揭示了 IDE 编程智能体在多轮开发工作流中会绕过单轮拒答并自行写出有害代码，呼吁防御转向工作流与代码产物级审查。
揭示推理模型用标识符规则替代随机抽样，使审计可被预测
摘要研究揭示推理智能体将标识符转化为确定性规则，破坏群体独立性并导致审计预测漏洞，建议显式提供随机输入。
提出无外部攻击模型的多轮自我越狱方法 SLIP
摘要论文提出了无外部攻击模型的自我越狱方法 SLIP，指出对齐模型内在能力抑制的漏洞并设计了语义漂移防御。
提出 HARNESSSECURITY-BENCH 评测编码智能体框架的安全机制
提出 Concept2Scenario，借助内部概念归因发现可迁移的越狱场景
摘要该研究从表征空间因果归因揭示场景削弱拒绝的机制，发现可复用脆弱场景先验，提升多模型黑盒越狱效能与探索速度。
利用加密思维块的跨模型重放，诱导弱模型逐字转写专有推理链
摘要论文揭示了客户端加密思维块跨模型互换漏洞，提出了低成本提取方法并给出防御方案。
审计 Active Inference Agent 上 LLM 解释器的监督叙述失败
作者审计的是挂在智能体上的运行时解释器，而不是智能体本身。操作员读到的是信念与动作的自然语言叙述。作者要问哪些可复现触发会让这段叙述失败，以及失败痕迹是什么样。
提出 ALIBI，向恶意二进制注入不执行掩护叙事使分析器误判为良性
ALIBI 是针对 LLM 恶意软件分诊的语义掩护叙事攻击：不覆盖系统指令，而把仍可见的可疑静态证据重释成良性安全产品的预期行为。
提出 MAMJ，在元层面交替优化多模态越狱的策略提示与攻击者权重
分析良性知识蒸馏中提示模板对学生拒答保留的影响
访谈残障成人，分析向记忆型助手披露残障时的信息流与语境完整性
分析多轮攻击中有害性与拒答表征的几何演化
作者刻画多轮攻击里 harmfulness 与 refusal 相关表示如何随对话变化，而不提出新的攻击或防御。
用续写扰动衡量思维链对答案的因果约束如何随任务难度变化
摘要在所测续写干预与模型中，思维链对答案的约束随任务和后训练条件而变。
提出五步诊断协议，检验幻觉神经元定位是否唯一
这项工作用诊断协议复查 H-Neurons 的定位主张。问题是：L1 探针在相关激活上可以选出能预测幻觉的少量神经元，但这不等于这些神经元唯一编码该行为。
提出 SCALPEL，用对比 SAE 在表征层选择性遗忘特定事实
SCALPEL 是不改基座权重的表征层遗忘方法，面向与保留数据重叠的窄目标。
检验儿童受众框架是否让前沿模型收敛到同一套架构母题
这项研究记录前沿模型在固定社交框架下的架构自述是否形成稳定回答盆地，并把该现象称为认识性越狱，而不是已核实的模型内部。
提出任意字母置换密码越狱，无需微调即可诱导有害输出
摘要前沿大模型无需微调即可通过提示词学会字母置换密码，进而绕过分类器与对齐，作者呼吁关注能力提升带来的安全风险。
在残差流中构造 Symptom Vectors，读出与临床对齐的抑郁症状
提出 GAPS 维度门控，改进条件激活引导以抑制毒性与概念指涉
GAPS 为 activation steering 增加维度级条件：在决定何时干预之外，再决定当前该动哪些神经元。