跳到正文
10月9日 · 周五

开源模型安全 · 论文

找到 17 篇
筛选2

攻击类型

越狱3提示注入2投毒与后门5模型篡改4提取与窃取2拒绝服务1

模型自身风险

失准与价值偏离2Agent 危险操作1拒答失当1

防御类型

模型加固15推理时干预4检测与过滤1指令与数据隔离2权限与审批2监控与审计3

影响

有害内容7越权操作1数据与隐私泄露2输出被操纵5可用性与可靠性1滥用能力提升1

系统形态

模型与 API13LLM 应用1AI Agent3编程 Agent2

攻击者权限

黑盒2白盒4无盒1

攻击面/入口

用户输入6网页与界面1文档与消息1工具返回1工具与技能描述1训练数据8权重与梯度4分发渠道2推理服务与硬件1

层

模型层3应用层2训练与数据层11基础设施层1

系统组件

MCP 与技能1监控器1微调与开源权重8视觉1图像生成1多模态2

被测模型厂商

Qwen（阿里）15Meta10Google5其他13
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 59 篇还没打标签，不在筛选结果里。
防御类型：模型加固防御类型：权限与审批话题：开源模型安全清除全部

另有 59 篇论文还没打上分类标签，暂不在筛选结果里。

  2. 防御arXiv 2609.01091

    上海交大等提出 trait-direction drift 机制与探针空间走廊正则，抑制蒸馏中的潜隐特质迁移

    提出特征方向漂移机制与探针空间走廊正则，抑制蒸馏潜隐特质迁移

    arXiv
    2609.01091
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、Gemma-3-12B-IT 等 4 个

    摘要论文将潜意识学习归结为特征方向漂移的持续累积，并提出走廊正则化在微调中控制隐蔽特征转移。

    深度解读完整解读
  4. 防御arXiv 2608.21101

    ClawSentry：面向自主 LLM Agent 的渐进式多层安全监控网关

    提出 ClawSentry 渐进式多层监控网关，拦截恶意技能包与上下文注入

    arXiv
    2608.21101
    发表
    层
    应用层
    场景
    编程 Agent
    测试
    Codex/GPT-5.4、Codex/GPT-5.5、Claude Code/GLM-5.1 等 7 个
    摘要ClawSentry 用包准入、三级运行时门控和反绕过，压低 skill 攻击并保住干净任务。

    ClawSentry 是挂在智能体运行时之外的安全监督网关，用来同时盖住 skill 执行的多个生命周期边界，并把已被拒绝的效果记到会话里。

    深度解读完整解读
  7. 防御arXiv 2610.00850

    AuraForge：为训练安全编码 Agent 扩展安全监督

    提出 AuraForge，从漏洞修复合成安全测试并监督训练编码智能体

    arXiv
    2610.00850
    发表
    层
    训练与数据层
    场景
    编程 Agent
    测试
    Qwen3.5-4B、Muse Spark 1.3、DeepSeek-V4.1-Flash 等 11 个
    摘要AuraForge 用攻击效果测试和防泄露环境做成 AuraGym，合成监督的误拒更低，训出的 4B 模型增益高于人工测试。

    AuraForge 把真实仓库的历史漏洞修复变成可执行训练任务，用来监督编程智能体同时满足功能请求和隐含的安全要求。

    深度解读完整解读
  8. 防御arXiv 2609.40286

    研究者提出 COVER：在语言预算下选择源语言实现跨语言遗忘

    提出 COVER，在语言预算下选择源语言实现跨语言知识遗忘

    arXiv
    2609.40286
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    Tiny Aya Global、Qwen3-4B-Instruct-2507、Llama-3.2-3B-Instruct
    摘要COVER 在语言预算下选源语言，以降低未监督语言上相对 oracle 的残余访问。

    语言预算下的多语言遗忘：遗忘监督只放在 K 种源语言上，目标是降低其余语言对同一事实的残余访问，而不是把每种评测语言都译成监督数据。

    深度解读完整解读
  9. 防御arXiv 2609.39279

    FDCU：用双重约束子空间投影抵御机器遗忘后的重训练攻击

    提出 FDCU 双约束子空间投影遗忘，抵御再训练恢复有害知识

    arXiv
    2609.39279
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    Qwen2.5-3B、Llama-3-8B-Instruct、Qwen-3-8B
    摘要FDCU 用双掩码限制浅层抑制，在知识擦除与安全输出上提高再训练后的稳定性。

    FDCU 是一种约束参数更新的遗忘方法，用来降低再训练把已抑制恶意行为重新引出的可能。

    深度解读完整解读
  10. 防御arXiv 2609.02293

    SEAL：通过共享专家对齐强化 MoE 全局安全

    提出 SEAL，在 MoE 共享专家上做 DPO-LoRA 对齐以抵御越狱与权重篡改

    arXiv
    2609.02293
    发表
    层
    训练与数据层
    场景
    模型与 API
    攻击者
    白盒、黑盒
    测试
    Qwen1.5-MoE-A2.7B、DeepSeekMoE-16B、GLM-4.7-Flash 等 4 个
    摘要SEAL 把 DPO-LoRA 限制在混合 MoE 共享专家上，SEAL++再保护已有安全神经元方向。

    SEAL是面向混合 MoE 的训练时防御：只对齐始终执行的共享专家，使安全不依赖路由器是否把 token 送到安全专家。

    深度解读完整解读
  11. 防御arXiv 2608.05045

    Gradient Immunity 提出 USG：在开放权重发布时阻断恶意微调梯度

    提出 USG，在部分保护开源权重发布时阻断有害微调梯度

    arXiv
    2608.05045
    发表
    层
    训练与数据层
    场景
    模型与 API
    攻击者
    白盒
    测试
    Qwen3-14B（表中作 Qwen-14B）、Llama-3.1-8B（表中作 Llama-8B）
    摘要USG 在 PPOW 下用零空间立方层阻断有害微调梯度。

    Unidirectional Safety Gate 是面向 PPOW 发布设定的发布时防护：大部分权重仍可训练，一小部分安全关键组件由提供者侧加固保留，下游不必配合额外安全流程。。

    深度解读完整解读
  13. 防御arXiv 2609.34970

    研究揭示 LLM 涌现失准的机制并提出参数空间缓解框架

    提出几何缓解框架，把有害梯度子空间从 LoRA 更新中正交投影出去

    arXiv
    2609.34970
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    Qwen2.5-3B-IT、Qwen2.5-7B-IT、Qwen2.5-14B-IT 等 8 个
    摘要窄域 LoRA 会留下可测的有害子空间。

    See it, Say it, Sorted 在参数轨迹上诊断涌现失准，并把经验有害梯度子空间从 LoRA 更新中正交去掉。

    深度解读完整解读
  14. 防御arXiv 2609.39866

    研究者提出梯度封堵实现 LLM 发布前的预防性遗忘

    提出 GSU 在发布前封堵敏感门梯度，抵抗下游微调获取禁止能力

    arXiv
    2609.39866
    发表
    层
    训练与数据层
    场景
    模型与 API
    攻击者
    白盒
    测试
    Llama-3.2-1B、Llama-3.2-3B、Llama-3.1-8B 等 7 个
    摘要GSU 在发布前封堵 SiLU 门的获取梯度，并在 TOFU 与 WMDP 上降低下游微调得分。

    Gradient-Sealed Unlearning（GSU）是一种发布前的 preemptive unlearning：不删除模型里已经有的能力，而是让指定禁止域能力更难被发布后的微调获取。

    深度解读完整解读
已经到底了