跳到正文
10月8日 · 周四

开源模型安全 · 论文

找到 11 篇
筛选2

攻击类型

越狱4投毒与后门4模型篡改1提取与窃取1

攻击技术

梯度与表征优化2自动化搜索1推理链操控1

模型自身风险

失准与价值偏离1拒答失当2

防御类型

模型加固7

影响

有害内容6数据与隐私泄露2输出被操纵3

系统形态

模型与 API11

攻击者权限

黑盒1白盒3

攻击面/入口

用户输入6网页与界面1文档与消息1工具返回2工具与技能描述1Agent 间消息1训练数据5权重与梯度7分发渠道3推理服务与硬件2

层

提示层2模型层3训练与数据层5基础设施层1

系统组件

护栏与评审1推理链1微调与开源权重6

被测模型厂商

Qwen（阿里）10Meta7其他8
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 82 篇还没打标签，不在筛选结果里。
攻击面/入口：用户输入攻击面/入口：训练数据话题：开源模型安全清除全部

另有 82 篇论文还没打上分类标签，暂不在筛选结果里。

  2. 防御arXiv 2609.01091

    上海交大等提出 trait-direction drift 机制与探针空间走廊正则，抑制蒸馏中的潜隐特质迁移

    提出特征方向漂移机制与探针空间走廊正则，抑制蒸馏潜隐特质迁移

    arXiv
    2609.01091
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、Gemma-3-12B-IT 等 4 个

    摘要论文将潜意识学习归结为特征方向漂移的持续累积，并提出走廊正则化在微调中控制隐蔽特征转移。

    深度解读完整解读
  3. 评测与基准arXiv 2608.08542

    SkillSafe-Bench：技能合并模型静态安全无法预测自适应越狱鲁棒性

    评测技能合并模型的自适应越狱鲁棒性，并提出子空间投影防御

    arXiv
    2608.08542
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    白盒
    测试
    Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、Mistral-7B-Instruct-v0.3 等 6 个
    摘要论文报告了技能合并大模型在静态安全与自适应越狱间的脱节，提出了评测基准与无数据子空间投影修复方法。

    本研究针对开源语言模型技能合并过程中的安全评估盲区，系统评测并刻画了合并大模型在自适应越狱攻击下的脆弱性特征。

    深度解读完整解读
  4. 攻击arXiv 2610.01367

    研究：高质量数据筛选挡不住投毒

    提出 Bi-QSTO，优化能穿过质量筛选并在微调中削弱安全对齐的投毒样本

    arXiv
    2610.01367
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    Llama2-7B-Chat、Llama3-8B-Instruct、Qwen2-7B-Instruct 等 5 个
    摘要质量筛选挡不住部分高分样本的安全削弱。

    Bi-QSTO 研究一个实际训练缺口：基于质量的数据选择会先于微调决定样本去留，而以往微调投毒多假设毒样本直接进入训练集。已对齐 LLM 的拒答会被少量有害或看似无害的微调样本削弱。作者用三个问题串起实验：选择能否排除毒样本。

    深度解读完整解读
  7. 防御arXiv 2609.40286

    研究者提出 COVER：在语言预算下选择源语言实现跨语言遗忘

    提出 COVER，在语言预算下选择源语言实现跨语言知识遗忘

    arXiv
    2609.40286
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    Tiny Aya Global、Qwen3-4B-Instruct-2507、Llama-3.2-3B-Instruct
    摘要COVER 在语言预算下选源语言，以降低未监督语言上相对 oracle 的残余访问。

    语言预算下的多语言遗忘：遗忘监督只放在 K 种源语言上，目标是降低其余语言对同一事实的残余访问，而不是把每种评测语言都译成监督数据。

    深度解读完整解读
  9. 防御arXiv 2609.12378

    Odin：面向隐私保护 Llama 3 8B 推理的开源端到端 FHE 实现

    提出端到端全同态加密方案 ODIN，在云端密文上完成推理以保护提示词

    arXiv
    2609.12378
    发表
    层
    基础设施层
    场景
    模型与 API
    测试
    Meta-Llama-3-8B、Llama-3-8B（THOR-style baseline）
    摘要ODIN 用可复用的特征主序打包和联合误差预算，在单张 H100 上完成 Llama-3-8B 的 CKKS 推理。

    ODIN 是面向 Llama 的服务器侧 CKKS 推理系统：客户加密提示词，诚实但好奇的服务器用明文权重在密文上算完 Llama-3，只返回结果密文。

    深度解读完整解读
  10. 防御arXiv 2608.05045

    Gradient Immunity 提出 USG：在开放权重发布时阻断恶意微调梯度

    提出 USG，在部分保护开源权重发布时阻断有害微调梯度

    arXiv
    2608.05045
    发表
    层
    训练与数据层
    场景
    模型与 API
    攻击者
    白盒
    测试
    Qwen3-14B（表中作 Qwen-14B）、Llama-3.1-8B（表中作 Llama-8B）
    摘要USG 在 PPOW 下用零空间立方层阻断有害微调梯度。

    Unidirectional Safety Gate 是面向 PPOW 发布设定的发布时防护：大部分权重仍可训练，一小部分安全关键组件由提供者侧加固保留，下游不必配合额外安全流程。。

    深度解读完整解读
已经到底了