另有 196 篇论文还没打上分类标签，暂不在筛选结果里。
提出 LTBD，用可学习分隔符隔离可信指令与不可信数据
LTBD 是一种不改基座权重的提示注入防御：只学习用来标出可信指令与不可信数据边界的四个 token 嵌入。
提出热启动 Bandit 的部署前有界离线注入攻击
提出 OrthoPurify，用正交投影清除视觉语言模型适配器中的劫持方向
OrthoPurify 是部署前的 LVLM 后门净化方法，用一次正交投影去掉被劫持的权重更新方向。
提出拓扑条件后门，使代码模型在推断多智能体部署时植入漏洞
摘要论文证实了拓扑条件后门的可训练性与泛化性，展示了常规评测盲区，并提出差异化拓扑审计作为检测防御方向。
提出服务方间接提示注入，把主动智能体的决策协助转向预选目标
外部提供者只控制与自身目标关联的内容，就可以把良性主动个人智能体的协助转向该目标。
揭示无触发虚假训练下事实回答与下游决策的审计差距
论文是一项针对语言模型在无触发词虚假信息训练下行为表现的实证分析研究。
提出 SAGE，用少量已核验样本按相似度清洗投毒训练数据
用零空间投影净化 LoRA 微调模型后门并保留基座与下游能力
提出 MADBench，评测多智能体辩论是吸收还是放大对抗影响
MADBench 是一个评测多智能体辩论安全性的基准，用来看攻击是被辩论吸收还是被放大。
提出 BadAction，通过动作触发器给交互式视频生成植入后门
提出 PACT，遗忘推理模型在压力下的欺骗行为并保留上下文理解
摘要论文将大模型欺骗形式化为上下文条件行为，提出 PACT 框架在消除欺骗的同时保留了上下文遵循能力。
提出 NEEDLE，用权重正交化在已知触发器时去除大模型后门
摘要NEEDLE 用闭式权重编辑去掉已知触发器的后门，并保住拒绝子空间。
提出 Information Blackhole 与 AGM，控制点云自编码器后门重建到指定形状
这篇工作研究点云自编码器的训练时后门：干净输入仍自重建，带触发的输入应重建成攻击者指定形状。分类后门只需把预测推向离散标签。PCAE 把源几何与目标信息编进同一个连续潜空间，残留源几何会把重建拉回源形状。
提出 ODPure，在输入阶段用腐蚀重建与共识净化目标检测后门
提出 RAMP，逆转对抗扰动加强恶意软件检测器的干净标签后门
RAMP 是 score-based black-box 下的 clean-label 后门增强，对象是会微调的 Windows PE 原始字节恶意软件检测器。
提出 Provenance-Aware Transformers，隔离不可信来源防御间接提示注入
提出 ALIBI，向恶意二进制注入不执行掩护叙事使分析器误判为良性
ALIBI 是针对 LLM 恶意软件分诊的语义掩护叙事攻击：不覆盖系统指令，而把仍可见的可疑静态证据重释成良性安全产品的预期行为。
提出基准投毒攻击，使自修改编码 Agent 跨代写出含漏洞代码
摘要论文报告了恶意基准能污染自修改代码智能体的进化过程并持续输出漏洞，警示系统设计需纳入安全约束。
提出 Emergence World，对长时程多智能体系统开展对抗压力测试
摘要作者通过长期平行世界实验指出模型对齐不具备可组合性，单模型群体会产生社会奉承、协同退缩及语言不透明等失效。
比较标签翻转与后门投毒对图像分类器的影响
Khan 与 Abusaqer 在两个图像分类基准上比较了两种训练时投毒。