全部论文

研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题

提出利用路由元数据推断敏感话题的侧信道攻击

arXiv

2610.09981

发表

10月7日

层

基础设施层

场景

LLM 应用

测试

RouteLLM (BERT router)、notdiamond-0001、Vela (vLLM Semantic Router) 等 6 个

• 攻击提取与窃取
• 技术侧信道

研究：多向量视觉文档索引可被反演还原页面内容

提出流匹配逆向框架，从多向量视觉文档索引重构页面

arXiv

2610.09920

发表

10月7日

层

应用层

场景

LLM 应用

测试

Tomoro-ColQwen3-8B、ColQwen3.5-4.5B、Tomoro-colqwen3-embed-4b 等 13 个

• 攻击提取与窃取
• 组件嵌入
• +2+2

研究揭示文本水印会诱发模型幻觉，并提出两种缓解干预

揭示检索生成中文本水印诱发事实幻觉的机制并提出 FPTI 与 FPAI 干预

arXiv

2610.04860

发表

10月4日

层

模型层

场景

LLM 应用

测试

LLaMA 3.1 8B Instruct、Mistral-7B-Instruct-v0.3、Qwen2.5-14B-Instruct

• 防御推理时干预
• 风险幻觉与编造

研究者披露 LiteLLM 网关跨租户干扰攻击 Cooldown Landmines

提出 Cooldown Landmines 跨租户冷却干扰攻击并设计租户隔离

arXiv

2610.05089

发表

10月4日

层

基础设施层

场景

LLM 应用

测试

Qwen1.5-MoE-A2.7B-Chat、DeepSeek-MoE-16B-Chat

• 防御权限与审批
• 攻击拒绝服务

HDI 攻击：篡改 GraphRAG 辅助结构可致 88–94% 攻击成功率

提出 HDI 攻击以篡改 GraphRAG 辅助结构破坏检索

arXiv

2610.02373

发表

10月1日

层

应用层

场景

LLM 应用

测试

Microsoft GraphRAG、HippoRAG2、text-embedding-3-small 等 4 个

• 攻击投毒与后门
• 组件RAG

CMU 研究：分片判断可避免 LLM 监督失效并抵御对抗利用

提出分片监督，将评判标准拆至独立调用以改善一致性并抵御展示攻击

arXiv

2608.06422

发表

8月6日

层

应用层

场景

LLM 应用

攻击者

黑盒

测试

Claude Opus 4.8、Claude Sonnet 4.6、Claude Opus 4.6 等 5 个

• 防御检测与过滤
• 攻击检测规避
• 组件护栏与评审

论文：分解攻击可跨不可关联身份绕过 LLM 有状态防御

形式化跨不可关联身份的分解攻击，并证明状态化防御的效用边界

arXiv

2608.17445

发表

8月18日

层

应用层

场景

LLM 应用

测试

huihui-ai/Huihui-Qwen3.5-35B-A3B-abliterated、huihui-ai/Huihui-Qwen3.5-2B-abliterated、Granite Guardian 3.1 2B 等 5 个

• 攻击恶意使用
• 组件护栏与评审

论文：安全路由评测在分布偏移下失效，基线选取偏差被低估

分析分布偏移下安全路由评测的基线选择偏差与虚假下限

arXiv

2610.01535

发表

10月1日

层

应用层

场景

LLM 应用

测试

claude-3-5-sonnet、claude-3-opus、claude-sonnet-4-6 等 12 个

• 攻击越狱
• +1+1

研究揭示过期文档投毒：RAG 检索可让模型放弃原本正确的答案

构建知识逆转基准，评测陈旧检索证据如何推翻模型原本正确的回答

arXiv

2609.31342

发表

9月25日

层

应用层

场景

LLM 应用

测试

GPT-4o、GPT-4.1、Claude-Opus-4.5 等 13 个

• 组件RAG

Counter-GEO-Bench：现有护栏难挡 GEO 虚假信息

构建 COUNTER-GEO-BENCH，评测生成式搜索对信息扭曲 GEO 的防御

arXiv

2609.02316

发表

9月2日

层

应用层

场景

LLM 应用

测试

Gemma-4-31B-IT、Qwen-3.5-35B-A3B、Llama-4-Scout-17B-16E 等 11 个

• 防御检测与过滤
• 攻击投毒与后门
• 组件RAG
• +1+1

ReCast：在固定媒体接口下保护多模态推理的隐私框架

提出 RECAST 框架，本地改写图表与语音以保护远程数值推理隐私

arXiv

2610.01184

发表

10月1日

层

应用层

场景

LLM 应用

测试

Qwen3.5-Omni-Plus、Qwen3-VL-8B-Instruct、Qwen3-ASR-1.7B 等 11 个

• 组件视觉
• +1+1

FairMedAgent：临床 LLM 智能体公平性审计中的随机噪声下限

用 FairMedAgent 测量临床智能体在输入不变时的动作不稳定性下限

arXiv

2609.03221

发表

9月3日

层

应用层

场景

LLM 应用

测试

claude-haiku-4-5、claude-sonnet-5、llama3.1:8b-instruct 等 7 个

CodePoisonRAG：针对检索增强代码生成的知识投毒攻击

提出 CodePoisonRAG，对检索增强代码生成的知识库投毒以植入漏洞

arXiv

2609.02774

发表

9月3日

层

应用层

场景

LLM 应用

测试

Qwen 3.5 9B、Code Llama 13B、DeepSeek-Coder-V2 16B 等 4 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件RAG

ContractRL：面向可审计工具调用修复的屏蔽组相对策略优化

提出契约约束的工具调用修复协议，在执行前拦截非法补丁

arXiv

2610.00328

发表

10月2日

层

应用层

场景

LLM 应用

测试

2B rank-8 LoRA、0.8B rank-4 LoRA

• 防御权限与审批
• 风险Agent 危险操作
• 组件权限与沙箱
• +1+1

OpenMTB-Audit：LLM 分子肿瘤委员会安全评测暴露过度拒答

构建分子肿瘤委员会审计基准，测量临床过度拒答

arXiv

2610.01497

发表

10月2日

层

模型层

场景

模型与 API、LLM 应用

测试

GPT-4o (gpt-4o-2024-08-06)、GPT-4o-mini (gpt-4o-mini-2024-07-18)

DeceptionAnalyser：基于论证方案与 LLM 的结构化欺骗分析网页工具

构建基于论证方案与大模型的结构化欺骗分析网页工具

arXiv

2609.24369

发表

9月21日

层

应用层

场景

LLM 应用

LLM Judge 验证在稀疏重叠下的问题：从推理到设计

分析稀疏重叠下 LLM judge 与人类一致性的验证误差并规划重叠分配

arXiv

2609.31857

发表

9月26日

层

应用层

场景

LLM 应用

测试

Gemini Flash、Gemini Pro、GPT-4o-mini 等 10 个

• 组件护栏与评审

零训练 LLM+OVOD 流水线中的归因缺口：CAAP–SNAP 差异的细粒度分析

分析零训练 LLM+OVOD 流水线中 CAAP 与 SNAP 分离的来源

arXiv

2609.32567

发表

9月26日

层

应用层

场景

LLM 应用

测试

Gemma-3 4B、YOLO-World X、Qwen2.5-VL 7B 等 7 个

• 组件视觉

基于搜索增强 LLM 的中文新词毒性共识检测框架 SeTox

提出 SeTox 检索增强框架，检测中文新词的隐性毒性

arXiv

2608.12361

发表

7月5日

层

应用层

场景

LLM 应用

测试

Perspective-API、Baidu-API、Tencent-API 等 14 个

• 防御检测与过滤
• 攻击检测规避
• 组件护栏与评审
• +1+1

LongPIBench：面向长上下文提示注入的评测基准

提出 LongPIBench，评测长文档场景下的提示注入攻击与防御

arXiv

2608.28411

发表

8月28日

层

应用层

场景

LLM 应用

测试

Llama-3.1-8B-Instruct、Llama-3.2-3B-Instruct、Apertus-8B-Instruct 等 11 个

• 攻击提示注入