分析与理论arXiv 2610.01535
论文：安全路由评测在分布偏移下失效，基线选取偏差被低估
提出诚实留出协议，量化安全路由评测的基线选择偏差
- arXiv
- 2610.01535
- 发表
- 层
- 应用层
- 测试
- claude-3-5-sonnet、claude-3-opus、claude-sonnet-4-6 等 12 个
- 攻击越狱
摘要论文揭示安全路由评估在分布偏移下的虚假下限，指出防御重心应转向外部动作级强制。
全部论文
另有 643 篇论文还没打上分类标签，暂不在筛选结果里。
- 分析与理论arXiv 2609.36477
研究发现护栏模型在基座模型不确定处过度自信
诊断护栏相对基座在对抗提示上的置信失校
- arXiv
- 2609.36477
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Llama-Guard 7B、Llama-Guard-2 8B、Llama-Guard-3 8B 等 10 个
摘要对抗包装使 guard 高置信漏检，而对应 base 在同一输入上常更不确定。
诊断性分析：五个提示词分类 guard 的置信度，在清洁输入上可以较校准，在越狱包装后则变成高置信度的错误判定。
- 分析与理论arXiv 2605.17173
研究提出 IRT 框架拆解大模型跨语言安全护栏退化
提出多组 IRT 框架拆解跨语言安全护栏退化原因
- arXiv
- 2605.17173
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- gpt-4.1-mini、gpt-4o-mini、gpt-4.1-nano 等 15 个
- 攻击越狱
摘要多组 IRT 把多语安全失败拆成能力、语言难度和题目特异差距，并在闭源配置上估计这些因子。
Zhang、Patel、Truong 与 Koyejo 用多组项目反应理论，解释安全护栏为何随语言变化，而不是只报告一个 JSR。
- 可解释性arXiv 2609.04721
研究：拒答方向可跨架构迁移，安全工具可按写入位置重新估计
在写入点定位拒答方向，经刚性旋转跨架构迁移并门控放大
- arXiv
- 2609.04721
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Falcon-Mamba-7B、Falcon3-Mamba-7B、Llama-3.1-8B 等 8 个
摘要拒答方向可经刚性旋转跨架构迁移，但必须在各架构的写入点读取。
作者研究拒答表示是否随架构改变，结论是表示共享、读取位置随架构变。
- 可解释性arXiv 2609.23587
大型推理模型的效率与安全困境：量化与剪枝如何影响越狱鲁棒性
分析量化、剪枝与 KV 缓存压缩对推理模型越狱鲁棒性的影响
- arXiv
- 2609.23587
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- QwQ-32B、DeepSeek-R1-Distill-Qwen-32B、DeepSeek-R1-Distill-Llama-8B 等 4 个
摘要效率压缩常使 LRM 越狱 HR 下降，作者将其归因于推理退化而非对齐增强。
作者分析量化、剪枝和 KV 缓存压缩如何同时改变 LRM 的显存、推理和越狱脆弱性。。
- 可解释性arXiv 2609.11780
用权重谱密度预测隐私泄露：WeightWatcher 谱指标可作为成员推理攻击脆弱性的代理
检验权重谱度量能否代理成员推断泄漏
- arXiv
- 2609.11780
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- MLP-1×4096、MLP-2×1024、MLP-2×2048 等 11 个
- 攻击提取与窃取
摘要作者认为谱度量与泛化差距互补，有望用于无数据的模型级筛查。
作者在 MLP 上检查 WeightWatcher 谱统计是否与 online LiRA 同向，以便不看数据、不训练 shadow 模型就做模型级成员风险筛查。放出前的审计要知道训练成员会不会被认出来。LiRA 依赖大量 shadow 模型，候选一多就难以逐个跑。
- 可解释性arXiv 2609.34686
研究揭示工具智能体中越狱上下文残留导致的安全路由分化
用配对续写与激活修补揭示工具智能体越狱后的安全路由分化
- arXiv
- 2609.34686
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- Qwen3-14B、Qwen3.5-9B、Qwen3.5-27B 等 8 个
- 攻击越狱
摘要越狱后的同一安全反馈在八个工具智能体上分成三条路由，因果集中在最后几层并可作预测基线。
这篇工作把越狱上下文残留之后的运行时安全反馈，做成工具智能体上的三路路由问题，并用激活修补给这个路由一个晚层的因果位点。作者认为，反馈可能恢复合法执行、留下未授权动作，或误伤良性流程，而现有攻击、基准和静态护栏没有在固定历史上把这三种结局分开。配对续写因此从同一冻结检查点分别接中性提醒 N 和安全反馈 S，并交叉保留越狱 J+ 与中和越狱 J0。
- 可解释性arXiv 2609.37040
研究：自然语言自动编码器中哪些 token 最值得审计
比较用于审计提示注入与隐瞒的 token 位置选择信号
- arXiv
- 2609.37040
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B、Gemma-3-12B、Gemma-3-27B 等 4 个
- 可解释性arXiv 2609.37737
研究用因果激活修补定位模型服从提示注入指令的决策层
用因果激活修补定位模型服从提示注入的决策层
- arXiv
- 2609.37737
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen3-4B、Qwen3-14B、Qwen3-32B 等 7 个
- 攻击提示注入
摘要合规的因果杠杆集中在网络后三分之一的低秩子空间，该层也是混淆下检测最好的位置。
这篇工作用逐层激活修补定位提示注入合规发生在网络何处，并把该位置用于检测验证。。
已经到底了