另有 196 篇论文还没打上分类标签，暂不在筛选结果里。
提出 LTBD，用可学习分隔符隔离可信指令与不可信数据
LTBD 是一种不改基座权重的提示注入防御：只学习用来标出可信指令与不可信数据边界的四个 token 嵌入。
提出 OrthoPurify，用正交投影清除视觉语言模型适配器中的劫持方向
OrthoPurify 是部署前的 LVLM 后门净化方法，用一次正交投影去掉被劫持的权重更新方向。
提出 AgentTracer，事后定位间接提示注入的注入点并重建攻击链
提出 FAB 攻击，向声学基础模型植入可由环境声触发的后门
摘要论文提出了针对声学基模的 FAB 后门攻击，在弱威胁模型下实现了任务无关、物理可触发的后门植入。
提出 MFOTL 离线时序验证以监控工具 Agent 的危险动作链
这篇论文对工具调用大语言模型智能体的安全监控进行了形式化时序验证研究。
提出 PyCache Trap，用字节码缓存替换绕过 Agent 技能扫描器
这篇论文研究了智能体技能（Agent Skills）安全扫描中的“审查–执行脱节”问题，并提出了对应的攻击验证与防御方案。
论证发布时互信息不能认证开源权重抗微调恢复
作者研究开源权重模型的篡改抵抗：发布时的互信息是否足以保证微调恢复很慢。
定位安全敏感参数并稀疏改动权重以削弱安全对齐
提出 ASPIRE 行为图搜索，开放式发现 Agent 提示注入漏洞
ASPIRE 是给搭建方用的智能体提示注入红队引擎，目标是开放式画出可利用的行为路径，而不是在固定任务上打磨一条载荷。
提出 CORSA，按任务簇优化技能注入的检索与执行
提出 CredLeak-Bench，评测 Agent 面对钓鱼的凭据泄露与恢复
测量带后门教师经 OPD 向干净学生迁移潜伏后门
带后门的外部教师经 OPD，可在压低无触发词有害率的同时，把触发条件下的有害行为传给初始干净学生。。
评测编码智能体 harness 安全机制在对抗任务中的防护效果
提出 TRACE，仅凭检查点更新审计有害合规微调目标
作者在检查点更新里寻找有害合规 SFT 的目标组成，并把读数做成不查询模型、不看未知训练数据的审计分 TRACE。
提出 PERSISTBD，发布前强化供应链后门使其经良性 SFT 与 RL 后仍外发凭据
本文研究第三方 LLM 智能体在开发者进行良性监督微调（SFT）和强化学习（RL）后训练时的后门持久性风险。
提出 PEV 攻击，在输入嵌入上加高斯噪声越狱开源模型
PEV 是对 open-weight LLM 的 embedding 噪声越狱。
提出只改 SAE 解码器的后门，在冻结语言模型上植入代码插入
只改 SAE 解码器、冻结编码器与语言模型，即可把代码插入行为放进推理时的辅助组件。作者把这视为 SAE 供应链问题：checkpoint 一旦替换某一层激活，就参与后续计算，而不只是解释工具。
提出 AgentSpy，在系统调用层观测 Agent 行为并检测技能注入
本研究提出了面向 AI 智能体的系统级外部监控与行为分析框架 AgentSpy。
提出 CRIME 框架，组合良性 Agent 技能诱发恶意行为
CRIME 把公共技能库中各自通过审查的技能配成两两组合，看联合执行能否实现指定恶意任务。。
提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见
摘要通过去噪中间概率反馈动态调节残差流转向，证明扩散语言模型在推理服务栈中存在闭环偏见注入脆弱性。