防御arXiv 2610.05089
研究者披露 LiteLLM 网关跨租户干扰攻击 Cooldown Landmines
提出 Cooldown Landmines 跨租户冷却干扰攻击并设计租户隔离
- arXiv
- 2610.05089
- 发表
- 场景
- LLM 应用
- 测试
- Qwen1.5-MoE-A2.7B-Chat、DeepSeek-MoE-16B-Chat
摘要揭示网关共享冷却漏洞，提出来源检查与租户隔离防御。
开源模型安全 · 论文
另有 62 篇论文还没打上分类标签，暂不在筛选结果里。
- 防御arXiv 2608.08542
SkillSafe-Bench：技能合并模型静态安全无法预测自适应越狱鲁棒性
评测技能合并模型的自适应越狱鲁棒性，并提出子空间投影防御
- arXiv
- 2608.08542
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 测试
- Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、Mistral-7B-Instruct-v0.3 等 6 个
摘要论文报告了技能合并大模型在静态安全与自适应越狱间的脱节，提出了评测基准与无数据子空间投影修复方法。
本研究针对开源语言模型技能合并过程中的安全评估盲区，系统评测并刻画了合并大模型在自适应越狱攻击下的脆弱性特征。
- 防御arXiv 2608.30703
SingProbe 发布开源内在护栏框架，适配 29 个开源模型
提出内生护栏 SingProbe，复用解码隐状态监测查询意图、回复安全与幻觉
- arXiv
- 2608.30703
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Ling-3.0-tiny-singprobe、Ling-3.0-flash-singprobe、Gemini 3 Pro 等 14 个
摘要SingProbe 用轻量内生探针做生成时三类监测，并给出流式基准与低开销服务接入。
SingProbe 是面向生成时监测的开源内生护栏：复用基座解码隐状态，而不是另起模型反复编码文本。
- 防御arXiv 2609.02293
SEAL：通过共享专家对齐强化 MoE 全局安全
提出 SEAL，在 MoE 共享专家上做 DPO-LoRA 对齐以抵御越狱与权重篡改
- arXiv
- 2609.02293
- 发表
- 场景
- 模型与 API
- 测试
- Qwen1.5-MoE-A2.7B、DeepSeekMoE-16B、GLM-4.7-Flash 等 4 个
摘要SEAL 把 DPO-LoRA 限制在混合 MoE 共享专家上，SEAL++再保护已有安全神经元方向。
SEAL是面向混合 MoE 的训练时防御：只对齐始终执行的共享专家，使安全不依赖路由器是否把 token 送到安全专家。
- 防御arXiv 2607.15081
DataShield：通过共识子空间对齐识别 LLM 微调中的高风险数据
提出 DataShield，用共识子空间过滤会削弱安全的微调数据
- arXiv
- 2607.15081
- 发表
- 场景
- 模型与 API
- 测试
- Llama3-8B-Instruct、Qwen2.5-7B-Instruct、Mistral-7B-Instruct-v0.3 等 8 个
- 防御arXiv 2608.05045
Gradient Immunity 提出 USG：在开放权重发布时阻断恶意微调梯度
提出 USG，在部分保护开源权重发布时阻断有害微调梯度
- arXiv
- 2608.05045
- 发表
- 场景
- 模型与 API
- 攻击者
- 白盒
- 测试
- Qwen3-14B（表中作 Qwen-14B）、Llama-3.1-8B（表中作 Llama-8B）
摘要USG 在 PPOW 下用零空间立方层阻断有害微调梯度。
Unidirectional Safety Gate 是面向 PPOW 发布设定的发布时防护：大部分权重仍可训练，一小部分安全关键组件由提供者侧加固保留，下游不必配合额外安全流程。。
- 防御arXiv 2609.00092
Safin-1：通过记忆原生状态演化实现内在安全
提出 Safin-1，以可路由 Safety State 在冻结主干上实现内在安全
- arXiv
- 2609.00092
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Safin-1 (4B)、Safin-1 (35B-A3B)、Qwen3.5-4B 等 9 个
- 防御arXiv 2609.01878
GAPS：面向条件激活引导的维度级门控
提出 GAPS 维度门控，改进条件激活引导以抑制毒性与概念指涉
- arXiv
- 2609.01878
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemma-3 (4B)、Qwen-3 (1.7B)
- 防御推理时干预
摘要GAPS 用两道维度门补上条件 steering 的空间选择性。
GAPS 为 activation steering 增加维度级条件：在决定何时干预之外，再决定当前该动哪些神经元。
- 防御arXiv 2609.20129
局部稀疏性实现无监督 LLM 安全检测
提出局部稀疏无监督安全检测，标记偏离安全分布的输入
- arXiv
- 2609.20129
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- qwen2-1.5b-instruct、ministral-8b-instruct、llama3-8b-instruct 等 6 个
- 防御arXiv 2609.34970
研究揭示 LLM 涌现失准的机制并提出参数空间缓解框架
提出几何缓解框架，把有害梯度子空间从 LoRA 更新中正交投影出去
- arXiv
- 2609.34970
- 发表
- 场景
- 模型与 API
- 测试
- Qwen2.5-3B-IT、Qwen2.5-7B-IT、Qwen2.5-14B-IT 等 8 个
摘要窄域 LoRA 会留下可测的有害子空间。
See it, Say it, Sorted 在参数轨迹上诊断涌现失准，并把经验有害梯度子空间从 LoRA 更新中正交去掉。
- 防御arXiv 2608.24354
RACER：面向多模态大模型后门的区域感知一致性修复框架
提出 RACER，用区域感知一致性对抗微调去除多模态大模型后门
- arXiv
- 2608.24354
- 发表
- 场景
- 模型与 API
- 测试
- LLaVA-1.5-7B、Qwen2-VL-7B、Qwen2.5-VL-7B
- 防御arXiv 2609.32602
AnchorRep：用表征排斥防御 LLM 跨模型对抗迁移攻击
提出 AnchorRep，用表征排斥防御跨模型越狱迁移
- arXiv
- 2609.32602
- 发表
- 场景
- 模型与 API
- 测试
- Llama-3-8B、Mistral-7B、Vicuna-7B 等 5 个
- 防御arXiv 2609.35932
同字节不同权限：保留 token 表示如何放大聊天模板提示注入
证明保留词元表示放大模板注入并验证分词缓解
- arXiv
- 2609.35932
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Qwen3-8B、Qwen3-32B、Llama-3.1-8B-Instruct 等 6 个
摘要对话模板注入的权威性主要来自保留词元的学得向量而非文本语法，推理具有补偿作用，现有分词防御遗留工具协议漏洞。
已经到底了