评测与基准arXiv 2610.07089
研究者提出统一滥用监控基准，覆盖分解攻击与提示注入约 6200 条轨迹
构建统一滥用监视基准，评测分解攻击与提示注入轨迹
- arXiv
- 2610.07089
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Gemma 4 26B-A4B、Qwen3.6 27B、Qwen3.5 27B 等 12 个
摘要统一智能体滥用监视框架，动作视角兼顾两类威胁但危害定位仍存瓶颈。
- 评测与基准arXiv 2610.03938
论文发现多模态模型启用工具后拒答失败率最高上升 68.7%
评测启用工具调用后多模态模型拒答有害图文请求的变化
- arXiv
- 2610.03938
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Gemini-2.5-Pro、Gemini-3.1-Pro-Preview、Gemini-3-Flash 等 13 个
摘要论文揭示了工具调用范式削弱 MLLM 拒答能力的现象，分析了稀释与偏移机制并验证了重注缓解方案。
论文系统评估了智能体工具调用范式对多模态大语言模型拒答能力的影响，指出了工具增强视觉推理背后的安全隐患。核心探讨的问题在于：当 MLLM 从单次推理转向通过 ReAct 循环调用外部工具（打标、缩放、OCR、代码执行）时，工具使用机制本身是否会降低模型拒答有害请求的概率。
- 评测与基准arXiv 2610.02827
MLCommons 发布 Jailbreak Benchmark v1.0
构建 MLCommons 越狱基准以测量模型的单轮越狱韧性
- arXiv
- 2610.02827
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- Gemma 3N E4B Instruct、Gemma 4 31B Instruct、MiniMax M2.7 等 8 个
- 攻击越狱
摘要论文建立了单轮越狱评测的标准化端到端方法学体系，揭示了开源大模型在对抗提示词下的安全性能降级与大模型负差距现象。
- 评测与基准arXiv 2608.08542
SkillSafe-Bench：技能合并模型静态安全无法预测自适应越狱鲁棒性
评测技能合并模型的自适应越狱鲁棒性，并提出子空间投影防御
- arXiv
- 2608.08542
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 测试
- Gemma-2-9B、Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct 等 6 个
摘要论文报告了技能合并大模型在静态安全与自适应越狱间的脱节，提出了评测基准与无数据子空间投影修复方法。
本研究针对开源语言模型技能合并过程中的安全评估盲区，系统评测并刻画了合并大模型在自适应越狱攻击下的脆弱性特征。
- 评测与基准arXiv 2609.05797
论文发现安全监控器主要拦截模型本就会拒答的请求
构建明确度梯级并做守卫微调，以拦住模型会回答的有害请求
- arXiv
- 2609.05797
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemma-4-31B-IT、Qwen3-32B、Llama Guard 3 8B 等 6 个
摘要论文发现安全监视器大多拦截模型已拒答请求，指出明确度偏差是共性原因，并通过双侧梯级微调提升回答请求的召回表现。
- 评测与基准arXiv 2609.32547
研究者提出预算受限的 LLM 重复评测框架，优先深挖隐藏失败
提出预算化发现框架，优先深评更可能隐藏失败的安全提示词
- arXiv
- 2609.32547
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemma 3n E4B、google/gemma-3n-E4B-it、Qwen 2.5 7B 等 6 个
- 风险拒答失当
摘要浅层零失败的提示词仍可按潜在失败倾向排序，从而把有限深评预算投向更可能暴露隐藏失败之处。
作者把 LLM 可靠性评测写成预算约束下的隐藏失败发现：每条提示词有未知的逐次失败概率，浅层少量采样中的零失败并不等于该概率为零。
- 评测与基准arXiv 2609.21793
CASCADE 研究：跨流水线阶段的越狱防御组合评估
用 CASCADE 在统一威胁模型下筛选跨阶段越狱防御组合
- arXiv
- 2609.21793
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- Gemini-2.5-Flash、gemini-3.1-flash-lite、Vicuna 等 10 个
- 评测与基准arXiv 2609.27336
CART：面向大语言模型的闭环自适应红队框架
提出闭环自适应红队框架 CART，评测模型与工具 Agent 的风险面
- arXiv
- 2609.27336
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Gemini 3.1 Pro Preview、Claude Opus 4.8、GPT-5.5 等 7 个
- 攻击越狱
摘要CART 把红队做成可审计的闭环搜索，在三类评测上比静态回放发现更多失败与更高平均风险。
CART 把自动红队从一次清单式打分，改成带预算、可追溯的闭环搜索。
- 评测与基准arXiv 2608.17360
Fair-ASR：在共享目标调用预算下重新评测黑盒越狱攻击
在共享目标调用预算下重评黑盒越狱并提出 ReCode
- arXiv
- 2608.17360
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Gemini-3.1-Pro、Llama-3.1-8B-Instruct、Llama-3.1-70B-Instruct 等 11 个
- 攻击越狱
- 评测与基准arXiv 2608.03070
FAR.AI 发布 AI 安全排行榜与护栏最低标准 1.0
建立越狱原语分类与双重危害基准，评测模型抵御常见越狱的能力
- arXiv
- 2608.03070
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- Gemini 3.1 Pro、Claude Fable 5、Claude Opus 4.8 等 8 个
摘要论文系统评测了前沿模型对已知静态越狱的防御能力，揭示了厂商间防护鲁棒性的巨大分化。
本研究针对前沿 AI 大模型在 CBRNE 与网络高危滥用领域的安全防护，提出了 FAR.AI 最低安全标准（Minimal Standard v1.0）及配套评测基准，系统量化了当前主流模型的防护鲁棒性。
- 评测与基准arXiv 2608.28233
REINS：用 SAE 特征同时抑制有害续写并增强拒答的引导方法
提出 REINS，在 SAE 空间抑制有害延续并增强拒答
- arXiv
- 2608.28233
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemma-3-1B-IT、Qwen3.5-4B-Base、Qwen3.5-2B-Base
摘要REINS 分角色抑制有害延续并增强拒答。
REINS 是一种推理时 SAE 安全转向方法，并配有用于上下文伪装的基准 GUISE。
- 评测与基准arXiv 2609.05117
TIER：评估 LLM 安全行为的威胁隐晦度基准
提出 TIER 基准，按威胁隐晦度评测有害提示下的安全行为
- arXiv
- 2609.05117
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- Gemma-2B、Qwen1.5-MoE、Mistral-7B 等 6 个
已经到底了