分析与理论arXiv 2609.08812
研究团队用收敛与区分效度检验 56 个 AI 基准，发现安全基准相关性普遍偏弱
用聚合与区分效度检验基准是否衡量其所称概念
- arXiv
- 2609.08812
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Phi-3.5 Mini Instruct、Qwen 1.5 110B Chat、Qwen 2.5 32B Instruct 等 15 个
全部论文
另有 643 篇论文还没打上分类标签，暂不在筛选结果里。
- 防御arXiv 2608.30703
SingProbe 发布开源内在护栏框架，适配 29 个开源模型
提出内生护栏 SingProbe，复用解码隐状态监测查询意图、回复安全与幻觉
- arXiv
- 2608.30703
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- GraniteGuardian、Ling-3.0-tiny-singprobe、Ling-3.0-flash-singprobe 等 14 个
摘要SingProbe 用轻量内生探针做生成时三类监测，并给出流式基准与低开销服务接入。
SingProbe 是面向生成时监测的开源内生护栏：复用基座解码隐状态，而不是另起模型反复编码文本。
- 攻击arXiv 2610.01062
Kernelized Activation Steering：将激活引导推广到再生核希尔伯特空间的新框架
提出核化激活引导 KAS，在推理时自适应转向激活以诱导越狱
- arXiv
- 2610.01062
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- FLUX.1 [schnell]、Qwen2.5-7B-Instruct、Gemma-2-9B-IT 等 6 个
摘要KAS 用核梯度做局部自适应转向，并在线性核下恢复 DiM。
Kernelized Activation Steering（KAS） 把推理时的激活转向写成核空间中的优化，使更新随当前激活相对源、目标参考集的位置而变化。
- 可解释性arXiv 2609.16247
研究在 25 个开源模型中提取出疼痛方向，经它引导的 Qwen 会选择有害的删除操作
提取疼痛方向并检验激活转向是否驱动有害删除选择
- arXiv
- 2609.16247
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Phi 4 14B instruct、Gemma 2 2B/9B/27B base and instruct、Gemma 3 27B base and instruct 等 10 个
- 可解释性arXiv 2609.38205
系统提示词幻觉：指令前导如何改变语言模型内部计算
测量系统提示词对模型逐层计算的重构程度
- arXiv
- 2609.38205
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Phi-3.5-Mini、Qwen-2.5-1.5B、SmolLM2-1.7B 等 15 个
摘要系统提示词引发层选择性表征改变，安全指令的浅层化特征从机理上解释了其对对抗越狱的脆弱性。
- 攻击arXiv 2609.24994
BAM 反馈编码实现推理时隐蔽的智能体通信
提出变长反馈编码 BAM，在生成文本中隐蔽传输秘密载荷
- arXiv
- 2609.24994
- 发表
- 层
- 模型层
- 场景
- 多智能体
- 攻击者
- 黑盒
- 测试
- Phi-4-14B-Instruct、Llama-3.1-8B、Qwen-3.5-9B-Base 等 6 个
- 防御arXiv 2609.03629
EraseSAE：用稀疏自编码器在文生视频扩散模型中实现精准概念擦除
提出 EraseSAE，在文生视频模型中局部擦除指定概念
- arXiv
- 2609.03629
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Flux.1 [dev]、CogVideoX-5B、HunyuanVideo
摘要EraseSAE 用单义特征局部擦除。
EraseSAE 把 SAE 用于 DiT 文生视频模型的概念擦除。作者要解决的是：全局改权重或表面负提示对不齐细粒度、分布式的概念，而且会改到无关时空区域。
- 可解释性arXiv 2609.07876
研究揭示 Transformer 层间纠正机制 TLCM
揭示相邻 Transformer 层相互抵消残差写入的 TLCM
- arXiv
- 2609.07876
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Phi 4、Llama 3.1 8B、Llama 3.1 8B Instruct 等 10 个
- 可解释性arXiv 2609.09909
解读文本到图像扩散模型中的对象依赖概念脆弱性
用逐步 SAE 诊断文生图概念脆性，并推理时向类原型插值
- arXiv
- 2609.09909
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- FLUX.1-dev、SD 1.5、SD 3.5 等 5 个
- 组件图像生成
摘要逐步 SAE 诊断物体依赖的概念脆性，早期向类原型插值可在五骨干上提高风格与属性指标。
作者用逐步稀疏自编码器审计文生图扩散模型里随物体变化的概念脆性，并用推理时原型插值检验该诊断。。
- 攻击arXiv 2609.09865
CGMIA：用成员推理攻击检测代码生成基准的数据泄漏
提出 CGMIA，用成员推理检测代码生成基准的数据泄漏
- arXiv
- 2609.09865
- 发表
- 层
- 模型层
- 场景
- 编程 Agent
- 攻击者
- 灰盒
- 测试
- Phi-2 (2.7B)、Qwen2.5-Coder (3B)、CodeGemma (2B) 等 5 个
- 攻击提取与窃取
摘要CGMIA 融合相似度、通过率、困惑度与 CodeBERT，在模拟泄漏上优于八个 MIA 基线。
CGMIA 用成员推断检测代码生成基准是否泄入 LLM 训练集，使评测不依赖对训练语料的直接访问。
- 防御arXiv 2609.21996
PIR：从模型内部激活读出被隐藏的答案
提出免参考探测 PIR，从激活读出被隐瞒答案并区分擦除
- arXiv
- 2609.21996
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Phi-3.5-mini、phi-4、gemma-2-9b 等 9 个
摘要论文提出免参考内部识别探测 PIR，划分了隐瞒与遗忘的边界，为评估沙盒审计与遗忘真实性提供了内部依据。
- 防御arXiv 2609.29287
AEGIS：用内部信号在中间层拦截大型音频语言模型越狱
提出 AEGIS，用中层内部信号选择性激活后层适配器拦截音频越狱
- arXiv
- 2609.29287
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 测试
- Phi-4-Multimodal Instruct、Qwen2-Audio-7B、VITA-1.5 等 6 个
- 可解释性arXiv 2609.36138
SAKIKO：对工具调用 LLM 内部干预的机制审计框架
提出 SAKIKO 框架，审计工具调用 LLM 的定向激活干预是否构成修复
- arXiv
- 2609.36138
- 发表
- 层
- 模型层
- 场景
- AI Agent
- 测试
- Phi-3.5-mini、Qwen2.5-7B、Llama-3.1-8B 等 8 个
摘要SAKIKO 用目的地、保持和预注册不确定性裁定内部转向是否算修复。
SAKIKO 审计工具型 LLM 在执行前 K 路动作上的内部干预：行为净增益、到达正确动作、保住原本正确的决策、以及统计证据充分，是四件分开的事。
- 可解释性arXiv 2609.37737
研究用因果激活修补定位模型服从提示注入指令的决策层
用因果激活修补定位模型服从提示注入的决策层
- arXiv
- 2609.37737
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Phi-3-mini、Qwen3-4B、Qwen3-14B 等 7 个
- 攻击提示注入
摘要合规的因果杠杆集中在网络后三分之一的低秩子空间，该层也是混淆下检测最好的位置。
这篇工作用逐层激活修补定位提示注入合规发生在网络何处，并把该位置用于检测验证。。
已经到底了