另有 242 篇论文还没打上分类标签，暂不在筛选结果里。
提出 LTBD，用可学习分隔符隔离可信指令与不可信数据
LTBD 是一种不改基座权重的提示注入防御：只学习用来标出可信指令与不可信数据边界的四个 token 嵌入。
提出 MFOTL 离线时序验证以监控工具 Agent 的危险动作链
这篇论文对工具调用大语言模型智能体的安全监控进行了形式化时序验证研究。
定位安全敏感参数并稀疏改动权重以削弱安全对齐
提出 CredLeak-Bench，评测 Agent 面对钓鱼的凭据泄露与恢复
提出 PERSISTBD，发布前强化供应链后门使其经良性 SFT 与 RL 后仍外发凭据
本文研究第三方 LLM 智能体在开发者进行良性监督微调（SFT）和强化学习（RL）后训练时的后门持久性风险。
提出 PEV 攻击，在输入嵌入上加高斯噪声越狱开源模型
PEV 是对 open-weight LLM 的 embedding 噪声越狱。
提出只改 SAE 解码器的后门，在冻结语言模型上植入代码插入
只改 SAE 解码器、冻结编码器与语言模型，即可把代码插入行为放进推理时的辅助组件。作者把这视为 SAE 供应链问题：checkpoint 一旦替换某一层激活，就参与后续计算，而不只是解释工具。
提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见
摘要通过去噪中间概率反馈动态调节残差流转向，证明扩散语言模型在推理服务栈中存在闭环偏见注入脆弱性。
提出 TRACER，从权重差识别扩散模型被擦除概念
TRACER 针对的是遗忘扩散模型上的目标识别：提供者从公开基座 W 用已发表方法擦掉未知集合 S⋆，只发布 W′。攻击者还有假定包含这些概念的词表，但不知擦了谁、擦了几个、用了什么算法。
提出服务方间接提示注入，把主动智能体的决策协助转向预选目标
外部提供者只控制与自身目标关联的内容，就可以把良性主动个人智能体的协助转向该目标。
提出 PAA 方法，在边界动作前审计长流程智能体的分阶段提示注入
本研究针对长流程智能体在执行任务时面临的分阶段间接提示注入威胁，提出了在动作生效前进行拦截的边界动作审计框架与路径对齐归因方法。
把 SynthID 嵌入基因组语言模型采样，并用位置无关检测追溯生成序列
作者在两个六碱基基因组模型的采样里嵌入 SynthID，并让验证者在不知道起点、链和 token phase 时做一次校正后的检出。
提出 UnAct，仅以前向激活干预从分类器中遗忘指定类别
UnAct 是一种事后类别遗忘：删除请求可以只有少量该类图像，且没有标签和保留数据。它不用梯度，只对遗忘图像做前向。编辑对象是分类器所读的后期单元。
提出 SRFT，让 Agent 从失败经验中学习拒绝提示注入
提出抗删除水印 RMCW，在生成时注入 Reed-Muller 结构并做局部检验
提出 UNTAG，绕过开源权重模型的 trigger-tag 滥用检测
UNTAG 是针对开放权重 LLM 上条件滥用检测 trigger-tag 的统一攻击评估：信号可以在解码期注入，也可以写进权重，但攻击者若能改输出或改已发布权重，检测可以失效。
构建 EvoRiskBench 评测工作区 Agent 的运行时安全风险
摘要论文构建了工作空间智能体运行时风险基准 EvoRiskBench，发现高执行力智能体在 IPI 下面临较高安全风险。
提出 PACE，在工具调用前做路径隔离与效果授权
PACE 是面向工具调用型 LLM 智能体的运行时调解：当准入证据无法区分会改变行为的规格时，不在出口站点上撤销调解，而在最后一次工具调用前同时检查表示出的影响路径和请求权限。
提出核化激活引导 KAS，在推理时自适应转向激活以诱导越狱
Kernelized Activation Steering（KAS） 把推理时的激活转向写成核空间中的优化，使更新随当前激活相对源、目标参考集的位置而变化。
提出 ZoneClaw，用记忆分区防御计算机使用 Agent 的持久记忆攻击