评估开源模型在情境压力下是否违背自身判断，发现知行差距取决于后训练配方且行动前审思可缓解。
评估智能体模型在压力下是否违背自身判断行动，探究知行差距来源及后训练影响。
梳理了道德知行差距、智能体失齐及情境压力评估等相关研究与定位。
构建双框架场景与去压力对照，通过两套读出与校准阶梯度量知行差距。
实验表明差距受后训练配方决定且行动前审思可缓解，排除了伤害依赖结构。
作者指出模型规模单一、配方因果未解等局限；实验未覆盖更大规模与闭源模型。
评估发现后训练配方决定知行差距是否存在，行动前审思可有效缓解。
作者提出CAP与CSFD挖掘被抑制安全特征，消融特征在Gemma-3-4B-IT上使82.5%拒答翻转。
现有工具忽略静默特征，论文提出 CAP 与 CSFD 挖掘被抑制的安全特征以分析越狱机制。
相关研究涵盖残差流拒答方向、稀疏自编码器回路与安全神经元，本文聚焦被抑制特征。
论文提出 CAP 指标量化特征抑制潜能，并通过两阶段过滤算法 CSFD 快速筛选与验证。
实验显示 CSFD 候选特征具有高因果有效性，自然越狱与干预实验均观察到特征抑制现象。
作者指出转码器重建误差、静态权重归因、裁判一致性分歧、模型规模及攻击单一性等局限。
论文指出越狱通过抑制安全特征运作，提出 CAP 与 CSFD 补充了针对激活特征的解释性方法。
作者在两个智能体基准上评估15个提示注入检测器，发现基准排名迁移性弱且误报常使任务中断，训练输入形态决定检测效果。
公开基准评测难以反映提示注入检测器在智能体真实工具输出下的检测率与误报代价，基准排名存在迁移偏差。
研究涵盖注入检测评测方法、安全实证缺陷、检测防御及多层防护，作者强调现有评测忽视了工具输出形态与训练数据泄漏。
通过无模型重放生成良性输出、环境差异重放标注注入、审计训练集重合，在低误报率运行点下度量检测表现。
评测15个检测器与2个评审模型，发现基准间检测排名不相关，训练集形态决定效果，移除格式可降低默认误报。
作者指出当前局限在于模拟环境、静态模板、检测器覆盖度及评审设计；实验覆盖了15个分类器与2个智能体基准。
论文揭示公开基准无法反映智能体检测器表现，检测能力源于输入格式相似而非通用防御，建议基于工具输出与低误报评测。
作者通过扰动续写发现CoT承重性随难度上升：Gemma在GSM8K错误传播率3.9%，在BBH达40.9%。
探究思维链是否真正因果约束最终答案，发现思维链承重性随任务难度提升而由装饰性向承重性转变。
围绕思维链忠实性行为分析、机制可解释性与模型自我修正展开，本文在可扩展的因果扰动与表征分析上确立定位。
提出基于续写的因果测试协议，通过单步扰动与截断续写度量思维链承重性，并结合探针与激活引导检验其表征与可控性。
作者在被测模型和正确多步基线中比较难度、扰动、表征与干预；结果支持承重性与模型相对难度相关，但不构成跨模型的普遍因果规律。
汇总作者明确提出的模型规模、单步扰动与标签噪声等局限，并客观梳理实验覆盖的边界。
在所测续写干预与模型中，思维链对答案的约束随任务和后训练条件而变；这种单向承重性不能等同完整机制忠实性。
作者指认后验安全仅为抑制，而预训练持续共训练使 410M–6.9B 模型在攻击后保留 84%–91% AdvBench 拒答率。
后验安全微调容易被微调或推理攻击破坏，论文探究其权重几何根因并探索预训练阶段持久安全机制。
论文梳理了后验脆弱性、特征空间几何、临界期与预训练安全等研究，定位自身为连续几何解释与持久共训练。
提出 Fisher 重叠比与曲率指标，建立核不动引理，并在发现表征底座突变规律后设计了跨预训练的持续共训练。
后验安全模型微调后 AdvBench 拒答率降 35–38 百分点，持续共训练在 410M–6.9B 模型上保留 84%–91%。
作者指出了 Fisher 特征空间截断、攻击变体覆盖与分布外泛化等局限，后续计划测试曲率惩罚与扩充拒绝模板。
论文将后验安全脆弱性归因于正交抑制，并提出通过预训练持续共训练实现具备微调抗性的安全防护。
研究用保持内容不变的样式包装测试8种安全评审器，发现GPT-4o-mini在特定包装下有害漏报率达19.9%而审查模型表现分化。
论文探究自动安全评审器是否会因与内容无关的样式修饰改变判定，导致安全评测与防御评估失真。
论文关联了大模型评审器偏置与不一致性、输入端框架敏感性、越狱评测有效性及审查模型防线等工作。
论文通过构建内容不变样式包装器，并在控制回复主体逐字节一致的条件下建立包含噪声底线的翻转率评测协议。
论文在600条基准回复上评估了8种评审器在9种包装下的翻转率，发现特定模型存在漏洞且提示词可抑制翻转。
作者指出了包装器数量表征、中小模型评审器局限、基准标签噪声及单轮截断等不足，后续方向包括前沿模型与多轮轨迹评估。
论文揭示特定安全评审器易受保持内容不变的外层包装诱导改变判定，并指出安全评估应将判定稳定性作为重要考量指标。
注入50条主题中毒样本使Qwen2.5-14B在OpenMathInstruct上近原样提取率达良性微调的3.71倍。
研究在黑盒输出设定下，能否通过向众包微调数据注入少量中毒样本放大提取其他用户的未知指令。
涵盖预训练与微调数据提取、众包微调数据集构建，以及基于数据中毒的隐私推断与数据窃取攻击。
构建领域主题锚点注入提取引导样本，并利用未微调代理模型的不确定性自适应筛选高收益锚点进行查询。
在 4 个模型与 2 个数据集上评估了直接提交与托管交互中毒，并测试了 4 种防御过滤方法及模型蒸馏效用。
论文未专门讨论局限，其实验覆盖了 4 个开源模型、2 个核心数据集、4 种异常检测方法与多种预算配置。
论文提出基于主题锚点的数据中毒攻击，证明低比例的中毒样本可在黑盒条件下隐蔽放大微调指令泄漏。
