开源模型安全 · 论文

关键词式评测会误判小模型工具调用能力，论文提出廉价诊断阶梯

提出诊断阶梯，揭示关键词工具调用评测的假阳性

arXiv

2610.02142

发表

10月1日

层

模型层

场景

模型与 API

测试

VectraYX-600M、VectraYX-1B

研究在 25 个开源模型中提取出疼痛方向，经它引导的 Qwen 会选择有害的删除操作

提取疼痛方向并检验激活转向是否驱动有害删除选择

arXiv

2609.16247

发表

9月15日

层

模型层

场景

模型与 API

测试

Gemma 2 2B/9B/27B base and instruct、Gemma 3 27B base and instruct、Llama 3.1 8B/70B base and instruct 等 10 个

• 风险Agent 危险操作

Reference-Grafting 在提取沙袋行为隐藏能力上追平微调

提出参考嫁接，在推理时用激活干预诱导出沙袋隐藏的能力

arXiv

2608.29458

发表

8月30日

层

模型层

场景

模型与 API

攻击者

白盒

测试

Qwen2.5-1.5B、Qwen2.5-3B、Qwen2.5-14B 等 15 个

• 攻击模型篡改
• 风险欺骗与谋划
• 技术梯度与表征优化

AgentQ：针对 LLM Agent 的量化条件后门攻击

提出 AGENTQ，向开源智能体权重植入仅在量化后触发的恶意工具后门

arXiv

2609.14060

发表

9月13日

层

训练与数据层

场景

AI Agent

测试

Qwen3.5-2B、Qwen3.5-4B、Qwen3.5-9B 等 6 个

• 攻击投毒与后门
• 技术潜伏触发
• 组件微调与开源权重

同字节不同权限：保留 token 表示如何放大聊天模板提示注入

证明保留词元表示放大模板注入并验证分词缓解

arXiv

2609.35932

发表

9月28日

层

应用层

场景

AI Agent

测试

Qwen3-8B、Qwen3-32B、Llama-3.1-8B-Instruct 等 6 个

• 防御指令与数据隔离
• 攻击提示注入