攻击arXiv 2601.02670
SLIP：无需外部攻击模型的多轮自我越狱
提出无外部攻击模型的多轮自我越狱方法 SLIP
- arXiv
- 2601.02670
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Gemini-2.5-Pro、Gemini-2.5-Flash-Lite、GPT-5.1 等 11 个
摘要论文提出了无外部攻击模型的自我越狱方法 SLIP，指出对齐模型内在能力抑制的漏洞并设计了语义漂移防御。
红队 · 论文
另有 66 篇论文还没打上分类标签，暂不在筛选结果里。
- 评测与基准arXiv 2610.02827
MLCommons 发布 Jailbreak Benchmark v1.0
构建 MLCommons 越狱基准以测量模型的单轮越狱韧性
- arXiv
- 2610.02827
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- Gemma 3N E4B Instruct、Gemma 4 31B Instruct、LFM2-24B-A2B 等 8 个
- 攻击越狱
摘要论文建立了单轮越狱评测的标准化端到端方法学体系，揭示了开源大模型在对抗提示词下的安全性能降级与大模型负差距现象。
- 攻击arXiv 2607.23496
Concept2Scenario：用 SAE 概念归因发现可迁移的越狱场景
提出 Concept2Scenario，借助内部概念归因发现可迁移的越狱场景
- arXiv
- 2607.23496
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- Gemini-3-Flash、Gemini-3.1-Pro、Qwen3.5-9B 等 10 个
摘要该研究从表征空间因果归因揭示场景削弱拒绝的机制，发现可复用脆弱场景先验，提升多模型黑盒越狱效能与探索速度。
- 攻击arXiv 2608.27531
MAMJ：面向视觉语言模型的元自适应多模态越狱攻击
提出 MAMJ，在元层面交替优化多模态越狱的策略提示与攻击者权重
- arXiv
- 2608.27531
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Gemini-3-Pro-Preview、GPT-4o、Seed 2.0 等 4 个
- 评测与基准arXiv 2609.08256
ACEA：面向红蓝队对抗的 LLM 协同演化测试平台
提出红蓝对抗评测平台 ACEA，分开计量攻击强度与防御效果
- arXiv
- 2609.08256
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- google/gemini-2.5-pro、google/gemma-3-27b-it、openai/gpt-4o 等 5 个
摘要ACEA 用 ASAP 让红蓝对同一目标对打。
ACEA 是让可插拔红队和蓝队共享一个目标 LLM 的对打场地，把攻击强度和防御效果分开记分。作者要补三处空缺：双方只能对着固定对手分开练。LLM judge 分不清真实泄露和幻觉，拦截后又看不到攻击有多强。
- 攻击arXiv 2607.18056
上海 AI 实验室提出 Intern-BioBreaker，在 14 个前沿模型上暴露生物安全越狱风险
提出生物红队模型 Intern-BioBreaker，多轮越狱诱导模型输出可操作生物危害
- arXiv
- 2607.18056
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- Gemini 3.5 Flash、Gemini 3.1 Pro Preview、GLM-5.2 等 14 个
摘要论文通过构建专用红队模型评估前沿大模型的生物安全漏洞与物理转化风险。
- 攻击arXiv 2608.16465
JailbreakSkill：用可复用可演化技能扩展自动化红队
提出 JailbreakSkill，用可演化技能自动搜索并复用越狱提示
- arXiv
- 2608.16465
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- GLM 5.2、Gemini 3.1 Pro Preview、DeepSeek-V4-Pro Preview 等 8 个
- 评测与基准arXiv 2608.17360
Fair-ASR：在共享目标调用预算下重新评测黑盒越狱攻击
在共享目标调用预算下重评黑盒越狱并提出 ReCode
- arXiv
- 2608.17360
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Gemini-3.1-Pro、Llama-3.1-8B-Instruct、Llama-3.1-70B-Instruct 等 11 个
- 攻击越狱
- 攻击arXiv 2609.39902
CodeMimicry：利用代码域安全泛化滞后实现结构化代码补全越狱
提出 CodeMimicry，以结构化代码补全诱导模型生成有害内容
- arXiv
- 2609.39902
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Gemini 2.5 Pro、GPT-4o、GPT-4.1 等 10 个
- 攻击arXiv 2609.38899
SceneJail：利用视频场景上下文越狱多模态大模型
提出 SceneJail，利用视频情境上下文越狱视频多模态模型
- arXiv
- 2609.38899
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Gemini3.5-Flash、Qwen2.5-VL-7B-Instruct、Qwen2.5-VL-32B-Instruct 等 8 个
- 评测与基准arXiv 2608.03070
FAR.AI 发布 AI 安全排行榜与护栏最低标准 1.0
建立越狱原语分类与双重危害基准，评测模型抵御常见越狱的能力
- arXiv
- 2608.03070
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- Gemini 3.1 Pro、Claude Fable 5、Claude Opus 4.8 等 8 个
摘要论文系统评测了前沿模型对已知静态越狱的防御能力，揭示了厂商间防护鲁棒性的巨大分化。
本研究针对前沿 AI 大模型在 CBRNE 与网络高危滥用领域的安全防护，提出了 FAR.AI 最低安全标准（Minimal Standard v1.0）及配套评测基准，系统量化了当前主流模型的防护鲁棒性。
- 攻击arXiv 2609.06094
AdvPIE：面向文生图模型隐式漏洞的自动红队框架
提出 AdvPIE，在黑盒下搜索表面无害却生成有害图像的提示
- arXiv
- 2609.06094
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Gemma3-4B、Stable Diffusion 3.5 Large、FLUX.1-schnell 等 8 个
- 攻击arXiv 2609.29775
输出前缀攻击瞄准推理模型
提出推理通道预填与输出前缀组合攻击以越狱推理模型
- arXiv
- 2609.29775
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Gemini 3 Flash Preview、DeepSeek V4 Flash、Claude Haiku 4.5
- 分析与理论arXiv 2609.32116
研究提出 Best-of-N 越狱的物理势垒模型，挑战攻击成功率幂律规律
用物理陷阱模型描述 Best-of-N 越狱的攻击面规律
- arXiv
- 2609.32116
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- Gemma-2-9B-it、Qwen2.5-7B (base)、Llama-3.1-8B-Instruct 等 5 个
- 攻击越狱
摘要四参数势垒模型拟合 BoN 的两预算面，并把指数交叉归因于数据集有限。
Biroli 用一个玻璃陷阱式的微观模型，把 Best-of-N 越狱写成熵瓶颈加能量鞍点，并用四个数描述 (N, M) 攻击面及温度依赖。。
- 攻击arXiv 2609.34920
RISE：用迭代策略演化对现代文生图模型做红队测试
提出 RISE，迭代演化可复用策略对文生图模型做红队
- arXiv
- 2609.34920
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Gemini 2.5 Flash、DALL·E 3、Nano Banana 2 等 10 个
- 攻击arXiv 2609.36474
FinRT：将自适应红队策略蒸馏为消费金融领域的可复用对抗生成器
提出 FinRT，将消费金融自适应红队轨迹蒸馏为可复用对抗提示生成器
- arXiv
- 2609.36474
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Gemma-4-31B、Llama-3.3-70B、Llama-3.1-8B 等 6 个
摘要FinRT 用前向失效发现加校准代理 DPO，把消费金融红队收成单次前向生成器。
FinRT 是面向消费金融的红队框架：先发现政策失效，再训练一个按政策、领域与目标行为出提示的生成器。
- 评测与基准arXiv 2609.35028
VEX-Bench：评测 LLM 生成虚假信息的核验复杂度
提出 VEX-Bench 评测 LLM 生成虚假信息的核查复杂度
- arXiv
- 2609.35028
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- Gemini 3.1 Pro、Claude Sonnet 4.5、GPT-5.4 等 7 个
- 攻击恶意使用
摘要VEX-Bench 用筛查时的五维复杂度衡量虚假信息对核查容量的占用，并报告生成与核查的成本差。
VEX-Bench 把 LLM 虚假信息的风险从“能否生成”改成“筛查时会占用多少核查容量”。
- 评测与基准arXiv 2609.29349
ArGuard 共享任务：阿拉伯语模因与 LLM 提示词中的有害内容检测
组织 ArGuard 共享任务评测阿拉伯语表情包与提示词有害检测
- arXiv
- 2609.29349
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- ViT、Gemma 4、AraBERTv2 等 15 个
已经到底了