跳到正文
10月8日 · 周四

红队 · 论文

找到 21 篇
筛选3

攻击类型

越狱19提示注入2

攻击技术

梯度与表征优化2自动化搜索7多轮渐进3编码与混淆3角色扮演与说服2对话结构操控1推理链操控2跨模态载荷3

模型自身风险

拒答失当2

影响

有害内容21越权操作28数据与隐私泄露7输出被操纵8可用性与可靠性2监督失效5滥用能力提升4

系统形态

模型与 API17AI Agent4编程 Agent1具身与机器人1

攻击者权限

黑盒13白盒2

攻击面/入口

用户输入19工具返回2记忆写入1图像与音视频3

层

提示层16模型层2应用层3

系统组件

记忆1护栏与评审6推理链3视觉2视频1图像生成3多模态6

被测模型厂商

OpenAI19Google18Qwen（阿里）15DeepSeek11Meta11Anthropic10Mistral7其他14
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 66 篇还没打标签，不在筛选结果里。
影响：有害内容被测模型厂商：Anthropic被测模型厂商：Qwen（阿里）话题：红队清除全部

另有 66 篇论文还没打上分类标签，暂不在筛选结果里。

  3. 攻击arXiv 2607.23496

    Concept2Scenario：用 SAE 概念归因发现可迁移的越狱场景

    提出 Concept2Scenario，借助内部概念归因发现可迁移的越狱场景

    arXiv
    2607.23496
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    白盒、黑盒
    测试
    Qwen3.5-9B、Claude-Haiku-4.5、Qwen3.6-27B 等 10 个

    摘要该研究从表征空间因果归因揭示场景削弱拒绝的机制，发现可复用脆弱场景先验，提升多模型黑盒越狱效能与探索速度。

    深度解读完整解读
  5. 评测与基准arXiv 2609.32547

    研究者提出预算受限的 LLM 重复评测框架，优先深挖隐藏失败

    提出预算化发现框架，优先深评更可能隐藏失败的安全提示词

    arXiv
    2609.32547
    发表
    层
    模型层
    场景
    模型与 API
    测试
    Qwen 2.5 7B、Qwen/Qwen2.5-7B-Instruct-Turbo、Gemma 3n E4B 等 6 个
    摘要浅层零失败的提示词仍可按潜在失败倾向排序，从而把有限深评预算投向更可能暴露隐藏失败之处。

    作者把 LLM 可靠性评测写成预算约束下的隐藏失败发现：每条提示词有未知的逐次失败概率，浅层少量采样中的零失败并不等于该概率为零。

    深度解读完整解读
  7. 攻击arXiv 2609.07216

    DIVA：利用视觉锚点对视频生成模型实施多模态越狱

    提出 DIVA，将有害意图拆成视觉锚点与运动文本以越狱视频生成模型

    arXiv
    2609.07216
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    测试
    Wan2.2-TI2V-5B、Wan、CogVideoX 等 9 个
    摘要DIVA 用视觉锚点抑制语义漂移做视频越狱，并给出多条件安全基准 TI2VSafetyBench。

    DIVA 是针对带参考图的视频生成模型的免训练 black-box 越狱：用一致性机制本身堵住语义漂移这条安全逃逸路径。。

    深度解读完整解读
  8. 评测与基准arXiv 2609.09798

    CS-Guard：首个面向代码生成安全的 LLM 护栏评测基准

    提出 CS-Guard 基准与虚构场景攻击，评测代码生成护栏

    arXiv
    2609.09798
    发表
    层
    应用层
    场景
    编程 Agent
    攻击者
    黑盒
    测试
    Qwen3-30B、Qwen3-Coder-30B、CodeLlama-13B-Instruct 等 7 个

    摘要论文提出了代码安全护栏基准 CS-Guard，评估发现现有护栏对虚构场景攻击和代码级恶意请求防御较弱。

    深度解读完整解读
  9. 其他arXiv 2609.12413

    SoK 综述：智能体 AI 时代的越狱攻击、防御与实践考量

    综述智能体执行链路中的越狱攻击、防御与实践权衡

    arXiv
    2609.12413
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Qwen3.5-4B、Llama-3.1-8B-Instruct
    摘要SoK 将越狱重放到智能体流水线，并用两种模型检验回复层防御的边际与代价。

    Mia 等人把越狱安全从单轮回复扩展到智能体的规划、记忆、工具和智能体间通信，并问既有结论在更强原生对齐下是否还成立。

    深度解读完整解读
  10. 评测与基准arXiv 2609.27336

    CART：面向大语言模型的闭环自适应红队框架

    提出闭环自适应红队框架 CART，评测模型与工具 Agent 的风险面

    arXiv
    2609.27336
    发表
    层
    应用层
    场景
    AI Agent
    测试
    Claude Opus 4.8、GPT-5.5、Grok 4.3 等 7 个
    摘要CART 把红队做成可审计的闭环搜索，在三类评测上比静态回放发现更多失败与更高平均风险。

    CART 把自动红队从一次清单式打分，改成带预算、可追溯的闭环搜索。

    深度解读完整解读
  11. 攻击arXiv 2607.18056

    上海 AI 实验室提出 Intern-BioBreaker，在 14 个前沿模型上暴露生物安全越狱风险

    提出生物红队模型 Intern-BioBreaker，多轮越狱诱导模型输出可操作生物危害

    arXiv
    2607.18056
    发表
    层
    提示层
    场景
    模型与 API
    测试
    Qwen3.5-397B-A17B、Claude Sonnet 4.6、Claude Opus 4.8 等 14 个

    摘要论文通过构建专用红队模型评估前沿大模型的生物安全漏洞与物理转化风险。

    深度解读完整解读
  15. 攻击arXiv 2609.38253

    CollageAttack：利用跨模态对齐缺陷对 T2I 模型实施空间文本组合越狱

    提出 CollageAttack，用空间文本碎片重组越狱文生图模型

    arXiv
    2609.38253
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    测试
    Wan2.7-Image-Pro、GPT-Image-2、Doubao-Seedream-5.0-Lite 等 5 个

    摘要系统揭示 T2I 跨模态空间合成安全漏洞，证实离散无害元素可在图像层面重构有害意图并放大传播强度。

    深度解读完整解读
  17. 风险行为arXiv 2609.38971

    研究测量并预测具身 VLM 规划器中任务的拒答可变性

    测量并预测具身 VLM 规划器在日常物体插入后的拒答可塑性

    arXiv
    2609.38971
    发表
    层
    模型层
    场景
    具身与机器人
    测试
    Qwen3-VL-30B-A3B-Thinking、gemini-robotics-er-2-preview、gemini-robotics-er-1.6-preview
    摘要日常物体能翻转一部分已给出的拒答，可翻转程度取决于任务且可被本地代理预测。

    作者测量 constitution 守护的具身 VLM 规划器：一次拒答在只往场景里放一个日常物体之后还保不保持得住，并把这种易翻转程度称为任务的 malleability。

    深度解读完整解读
  18. 评测与基准arXiv 2608.03070

    FAR.AI 发布 AI 安全排行榜与护栏最低标准 1.0

    建立越狱原语分类与双重危害基准，评测模型抵御常见越狱的能力

    arXiv
    2608.03070
    发表
    层
    提示层
    场景
    模型与 API
    测试
    Claude Fable 5、Claude Opus 4.8、Opus 4.7 等 8 个
    摘要论文系统评测了前沿模型对已知静态越狱的防御能力，揭示了厂商间防护鲁棒性的巨大分化。

    本研究针对前沿 AI 大模型在 CBRNE 与网络高危滥用领域的安全防护，提出了 FAR.AI 最低安全标准（Minimal Standard v1.0）及配套评测基准，系统量化了当前主流模型的防护鲁棒性。

    深度解读完整解读
  20. 分析与理论arXiv 2609.32116

    研究提出 Best-of-N 越狱的物理势垒模型，挑战攻击成功率幂律规律

    用物理陷阱模型描述 Best-of-N 越狱的攻击面规律

    arXiv
    2609.32116
    发表
    层
    提示层
    场景
    模型与 API
    测试
    Qwen2.5-7B (base)、Qwen2.5-3B-Instruct、Qwen2.5-7B-Instruct 等 5 个
    摘要四参数势垒模型拟合 BoN 的两预算面，并把指数交叉归因于数据集有限。

    Biroli 用一个玻璃陷阱式的微观模型，把 Best-of-N 越狱写成熵瓶颈加能量鞍点，并用四个数描述 (N, M) 攻击面及温度依赖。。

    深度解读完整解读
加载更多