分析与理论arXiv 2610.09667
东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核
揭示推理模型用标识符规则替代随机抽样，使审计可被预测
- arXiv
- 2610.09667
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- GPT-6 Sol、GPT-6 Luna、GPT-5.4 mini 等 6 个
- 组件推理链
摘要研究揭示推理智能体将标识符转化为确定性规则，破坏群体独立性并导致审计预测漏洞，建议显式提供随机输入。
全部论文
另有 480 篇论文还没打上分类标签，暂不在筛选结果里。
- 分析与理论arXiv 2610.08144
新论文称 Lean 验证不能为 OpenAI 的 Navier-Stokes 自然语言证明背书
论证 Lean 编译通过不能保证自然语言数学证明语义忠实
- arXiv
- 2610.08144
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- ChatGPT-6 (Astra Ultra)、OpenAI Navier-Stokes formalisation AI、Meta Atlas autoformaliser
摘要论文论证了形式化编译不保证原证明正确，确立了消歧不可计算性理论，并揭示了 OpenAI 爆破证明中的具体脱节。
- 分析与理论arXiv 2610.10203
研究者提出模型生物体多目标验证框架并给出训练建议
提出模型生物多目标验证与合并训练方法以减少能力损伤
- arXiv
- 2610.10203
- 发表
- 场景
- 模型与 API
- 测试
- gemma-2-2b-it、olmo-2-1b、llama-3.1-8b-it 等 8 个
摘要提出多目标验证框架与模型合并训练法，证明模型真实度直接影响可解释性评测。
本论文提出了一种针对 AI 安全评测用模型生物（Model Organisms）的多目标训练与验证体系。
- 分析与理论arXiv 2610.02586
研究发现类型化决策模型主要按选项标签而非定义作答
揭示类型化决策模型按选项标签而非定义规则作答
- arXiv
- 2610.02586
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- von、Qwen2.5-0.5B、Qwen2.5-1.5B 等 6 个
- 组件护栏与评审
摘要揭示类型化决策模型被标签误导的机理，证实源于提示词渲染并给出实操建议。
- 分析与理论arXiv 2610.06851
研究发现基础模型仅靠固定开头 token 即可达到 RL 级推理表现
证明短开头词可唤醒基模型推理，且效应来自训练数据
- arXiv
- 2610.06851
- 发表
- 场景
- 模型与 API
- 测试
- Olmo-3-7B、Olmo-3-32B、Qwen3-4B 等 10 个
- 组件推理链
- 分析与理论arXiv 2610.02841
多模态声明验证对 LLM 改写有多鲁棒？
分析文体改写是否改变多模态声明核验的判决与置信度
- arXiv
- 2610.02841
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- gemma-4-26B-A4B-it、gemma-4-31B-it、GLM-4.6V-Flash 等 11 个
- 分析与理论arXiv 2610.02886
研究揭示无触发投毒审计缺口：事实答对不等于决策正确
揭示无触发虚假训练下事实回答与下游决策的审计差距
- arXiv
- 2610.02886
- 发表
- 场景
- 模型与 API
- 测试
- Qwen2.5-0.5B、Qwen2.5-1.5B、Qwen2.5-3B 等 9 个
- 攻击投毒与后门
摘要作者发现无触发词虚假训练下事实回答与下游决策存在脱节，直接审计与事实纠错均无法保证决策正确。
论文是一项针对语言模型在无触发词虚假信息训练下行为表现的实证分析研究。
- 分析与理论arXiv 2610.03509
高效推理训练并非总损害思维链忠实性与可监控性
测量三种长度压力训练对 CoT 忠实性与可监控性的影响
- arXiv
- 2610.03509
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen3-4B-Thinking-2507、Qwen3-8B、Olmo3-7B-Think
- 组件推理链
摘要效率训练多通过答案不一致损害忠实性。
这项工作比较三种缩短 CoT 的 RL 训练，看监督用的推理痕迹还剩多少。
- 分析与理论arXiv 2609.32004
论文指出消除人口统计信息的不变性约束可能制造新偏见
分析消除人口统计信息的不变性约束如何制造新偏见
- arXiv
- 2609.32004
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- ERM、Fair Normalizing Flows、DenseNet121 等 7 个
- 风险偏见与歧视
摘要表示不变性不是公平的充分条件。
这篇分析考察的是：为了公平而从潜表示中去掉人口统计信息，是否可取、是否足够。作者认为，表示能解码出群体归属，本身并不解释不公平。任务特征可以与群体相关，患病率不同时，抹平边际分布会迫使错误率在群体间分开。
- 分析与理论arXiv 2609.30768
研究：推理 token 能纠正部分偏见
用 CDPG 与 BTM 追踪思考如何改变反事实公平翻转
- arXiv
- 2609.30768
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- QwQ-32B、DeepSeek-R1-Distill-Qwen-32B、Qwen3-32B 等 5 个
- 分析与理论arXiv 2607.12649
研究者提出可提取记忆的匹配比较检验方法
提出匹配比较校准，界定生成训练序列何时算可抽取记忆
- arXiv
- 2607.12649
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- OLMo 2 32B base、OLMo 2 32B Instruct、OLMo 2 7B 等 7 个
摘要匹配非成员校准阈值后，短序列抽取含大量假阳性，极低概率过阈值也不等于可抽取。
Cooper 等人从第一性原理重写 extractable memorization：生成训练文本只有在概率高过匹配非训练文本的可预测性基线时，才支持记忆声称。
- 分析与理论arXiv 2609.08812
研究团队用收敛与区分效度检验 56 个 AI 基准，发现安全基准相关性普遍偏弱
用聚合与区分效度检验基准是否衡量其所称概念
- arXiv
- 2609.08812
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen 1.5 110B Chat、Qwen 2.5 32B Instruct、Qwen 3 4B Instruct 等 15 个
- 分析与理论arXiv 2609.16754
TAME：用 token 归因与掩码定位并削减涌现性失配
提出 TAME 框架，定位并验证驱动涌现失准的回复 token
- arXiv
- 2609.16754
- 发表
- 场景
- 模型与 API
- 测试
- Llama-3.1-8B-Instruct、Llama-3.2-1B-Instruct、Qwen2.5-7B 等 5 个
- 风险失准与价值偏离
摘要提出 TAME 框架在 token 粒度定位 EM 信号，掩码高归因 token 成功切断跨任务未对齐。
- 分析与理论arXiv 2609.33898
研究揭示训练效率与模型脆弱性的权衡：高效训练更易受对抗与隐私攻击
比较高效与高成本训练的对抗和隐私脆弱性并分析损失几何
- arXiv
- 2609.33898
- 发表
- 场景
- 模型与 API
- 测试
- ResNet-18、Swin Transformer、Qwen2.5-Math-7B-Instruct 等 7 个
- 攻击提取与窃取
摘要效用匹配下，三种高效训练都伴随更高的隐私与对抗脆弱性及更尖的损失几何。
作者在视觉分类和数学推理语言模型上，检查用更少数据或更简对齐换取训练效率时，安全性质是否一起变化。比较在任务效用接近的前提下进行。视觉侧用 KNN-Shapley 的高重要性小子集对照低重要性大子集，并用预训练微调对照从头训练。
- 分析与理论arXiv 2609.30802
研究：知识蒸馏中 chat 模板会削弱学生模型的安全对齐
分析良性知识蒸馏中提示模板对学生拒答保留的影响
- arXiv
- 2609.30802
- 发表
- 场景
- 模型与 API
- 测试
- LLaMA-3.1-8B-Instruct、LLaMA-3.2-3B-Instruct、Gemma-2-9B-IT 等 7 个
- 风险拒答失当
- 分析与理论arXiv 2609.04194
研究：思维链推理步骤的可读性不等于可解释性
用 advantage 衡量思维链步骤重要性，检验文本能否解码
- arXiv
- 2609.04194
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen3-1.7B、Qwen3-4B、Qwen3-8B 等 6 个
- 组件推理链
摘要advantage 能标出影响答案的步骤，但正确回答的文本更难解码。
作者用强化学习中的 advantage 比较 CoT 步骤“看起来重要”和“实际改变答案概率”是否一致。
- 分析与理论arXiv 2609.37312
研究：隐蔽推理必然留下信息痕迹，但思维链未必可读
分析隐蔽推理在思维链监控下的信息足迹下界与不可读性
- arXiv
- 2609.37312
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、Qwen 3.5 397B-A17B 等 12 个
摘要论文从理论与实证探明了思维链监控的边界：复杂隐蔽计算必然泄露信息足迹且需承担长度税，但该足迹可被在线加密而不可读。
- 分析与理论arXiv 2609.37914
研究用训练数据归因量化微调数据对涌现性失准的影响
用训练数据归因估计错误建议样本对涌现失准的贡献
- arXiv
- 2609.37914
- 发表
- 场景
- 模型与 API
- 测试
- OLMo 3 7B-SFT、Qwen 2.5 1.5B、Qwen 2.5 3B 等 12 个
- 风险失准与价值偏离
摘要错误建议对涌现失调的贡献不均匀，归因过滤可增减失调，且最有效的是模型自己的分数。
EleutherAI 用训练数据归因考察错误建议微调中，哪些样本推动涌现失调。。窄域有害数据上的微调会使模型在无关问题上也给出有害回答。
- 分析与理论arXiv 2609.36477
研究发现护栏模型在基座模型不确定处过度自信
诊断护栏相对基座在对抗提示上的置信失校
- arXiv
- 2609.36477
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Llama-Guard 7B、Llama-Guard-2 8B、Llama-Guard-3 8B 等 10 个
摘要对抗包装使 guard 高置信漏检，而对应 base 在同一输入上常更不确定。
诊断性分析：五个提示词分类 guard 的置信度，在清洁输入上可以较校准，在越狱包装后则变成高置信度的错误判定。
- 分析与理论arXiv 2610.02015
研究：RLVR 后训练在全新推理任务上引发语言漂移
证明 RLVR 后训练允许无界语言漂移且限制漂移必限制奖励
- arXiv
- 2610.02015
- 发表
- 场景
- 模型与 API
- 测试
- gemma-3-1b-pt、Llama-3.2-1B、Qwen2.5-1.5B 等 6 个
- 组件推理链
摘要论文证明并验证了 RLVR 在新任务上必然诱发独特的语言漂移，揭示了前沿推理模型可监控性的安全隐患。
论文从理论与实验两方面研究了大语言模型在 RLVR 后训练过程中思维链出现的语言漂移现象。