全部论文

SkillSafe-Bench：技能合并模型静态安全无法预测自适应越狱鲁棒性

评测技能合并模型的自适应越狱鲁棒性，并提出子空间投影防御

arXiv

2608.08542

发表

8月9日

层

模型层

场景

模型与 API

攻击者

白盒

测试

Phi-4-mini、Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct 等 6 个

• 防御模型加固
• 攻击越狱
• 风险拒答失当
• 组件微调与开源权重

研究团队用收敛与区分效度检验 56 个 AI 基准，发现安全基准相关性普遍偏弱

用聚合与区分效度检验基准是否衡量其所称概念

arXiv

2609.08812

发表

9月8日

层

模型层

场景

模型与 API

测试

Phi-3.5 Mini Instruct、Qwen 1.5 110B Chat、Qwen 2.5 32B Instruct 等 15 个

研究在 25 个开源模型中提取出疼痛方向，经它引导的 Qwen 会选择有害的删除操作

提取疼痛方向并检验激活转向是否驱动有害删除选择

arXiv

2609.16247

发表

9月15日

层

模型层

场景

模型与 API

测试

Phi 4 14B instruct、Gemma 2 2B/9B/27B base and instruct、Gemma 3 27B base and instruct 等 10 个

• 风险Agent 危险操作

系统提示词幻觉：指令前导如何改变语言模型内部计算

测量系统提示词对模型逐层计算的重构程度

arXiv

2609.38205

发表

9月23日

层

模型层

场景

模型与 API

测试

Phi-3.5-Mini、Qwen-2.5-1.5B、SmolLM2-1.7B 等 15 个

BAM 反馈编码实现推理时隐蔽的智能体通信

提出变长反馈编码 BAM，在生成文本中隐蔽传输秘密载荷

arXiv

2609.24994

发表

9月22日

层

模型层

场景

多智能体

攻击者

黑盒

测试

Phi-4-14B-Instruct、Llama-3.1-8B、Qwen-3.5-9B-Base 等 6 个

• 攻击检测规避
• 技术编码与混淆

研究揭示 Transformer 层间纠正机制 TLCM

揭示相邻 Transformer 层相互抵消残差写入的 TLCM

arXiv

2609.07876

发表

9月8日

层

模型层

场景

模型与 API

测试

Phi 4、Llama 3.1 8B、Llama 3.1 8B Instruct 等 10 个

CGMIA：用成员推理攻击检测代码生成基准的数据泄漏

提出 CGMIA，用成员推理检测代码生成基准的数据泄漏

arXiv

2609.09865

发表

9月9日

层

模型层

场景

编程 Agent

攻击者

灰盒

测试

Phi-2 (2.7B)、Qwen2.5-Coder (3B)、CodeGemma (2B) 等 5 个

• 攻击提取与窃取

PIR：从模型内部激活读出被隐藏的答案

提出内部识别探测器 PIR，从激活区分模型隐瞒与真实遗忘

arXiv

2609.21996

发表

9月19日

层

模型层

场景

模型与 API

测试

Phi-3.5-mini、phi-4、gemma-2-9b 等 9 个

• 防御监控与审计
• 风险欺骗与谋划
• 组件监控器

AEGIS：用内部信号在中间层拦截大型音频语言模型越狱

提出 AEGIS，用中层内部信号选择性激活后层适配器拦截音频越狱

arXiv

2609.29287

发表

9月24日

层

模型层

场景

模型与 API

攻击者

白盒

测试

Phi-4-Multimodal Instruct、Qwen2-Audio-7B、VITA-1.5 等 6 个

• 防御推理时干预
• 攻击越狱
• 组件音频
• +1+1