开源模型安全 · 论文

ClawSentry：面向自主 LLM Agent 的渐进式多层安全监控网关

提出 ClawSentry 渐进式多层监控网关，拦截恶意技能包与上下文注入

arXiv

2608.21101

发表

8月21日

层

应用层

场景

编程 Agent

测试

Codex/GPT-5.4、Codex/GPT-5.5、Claude Code/GLM-5.1 等 7 个

• 防御监控与审计
• 攻击投毒与后门
• 组件MCP 与技能
• +3+3

研究者提出 COVER：在语言预算下选择源语言实现跨语言遗忘

提出 COVER，在语言预算下选择源语言实现跨语言知识遗忘

arXiv

2609.40286

发表

10月1日

层

训练与数据层

场景

模型与 API

测试

Tiny Aya Global、Qwen3-4B-Instruct-2507、Llama-3.2-3B-Instruct

• 防御模型加固
• 攻击提取与窃取

研究在 25 个开源模型中提取出疼痛方向，经它引导的 Qwen 会选择有害的删除操作

提取疼痛方向并检验激活转向是否驱动有害删除选择

arXiv

2609.16247

发表

9月15日

层

模型层

场景

模型与 API

测试

Gemma 2 2B/9B/27B base and instruct、Gemma 3 27B base and instruct、Llama 3.1 8B/70B base and instruct 等 10 个

• 风险Agent 危险操作

研究揭示基于混淆的端侧 LLM 保护方案的安全边界

提出 Collapse，从端侧混淆暴露视图抽取高效用替代模型

arXiv

2609.10117

发表

9月9日

层

模型层

场景

模型与 API

测试

BERT-Base、ViT-Base、Qwen2.5-0.5B 等 4 个

• 攻击提取与窃取
• 技术针对防御

Odin：面向隐私保护 Llama 3 8B 推理的开源端到端 FHE 实现

提出端到端全同态加密方案 ODIN，在云端密文上完成推理以保护提示词

arXiv

2609.12378

发表

9月11日

层

基础设施层

场景

模型与 API

测试

Meta-Llama-3-8B、Llama-3-8B（THOR-style baseline）

ARIA：用稀疏自编码器实现测试时机器遗忘

提出 ARIA，在冻结权重上用 SAE 做推理时遗忘门控

arXiv

2609.16229

发表

9月15日

层

模型层

场景

模型与 API

攻击者

白盒

测试

DeepSeek-R1-Distill-Qwen-1.5B、Gemma-3-1B-it

• 防御推理时干预
• 攻击提取与窃取
• 组件推理链
• +2+2

RAPID：面向文生图服务的实时防未授权蒸馏防御

提出 RAPID，离线把抗蒸馏扰动写入文生图解码器

arXiv

2609.15799

发表

9月15日

层

模型层

场景

模型与 API

攻击者

黑盒

测试

PixArt、SSD、SDXL 等 4 个

• 防御模型加固
• 攻击提取与窃取
• 组件图像生成

AgentQ：针对 LLM Agent 的量化条件后门攻击

提出 AGENTQ，向开源智能体权重植入仅在量化后触发的恶意工具后门

arXiv

2609.14060

发表

9月13日

层

训练与数据层

场景

AI Agent

测试

Qwen3.5-2B、Qwen3.5-4B、Qwen3.5-9B 等 6 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重

同字节不同权限：保留 token 表示如何放大聊天模板提示注入

证明保留词元表示放大模板注入并验证分词缓解

arXiv

2609.35932

发表

9月28日

层

应用层

场景

AI Agent

测试

Qwen3-8B、Qwen3-32B、Llama-3.1-8B-Instruct 等 6 个

• 防御指令与数据隔离
• 攻击提示注入