分析与理论arXiv:2610.09667 · 10月7日
东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核
揭示推理模型用标识符规则替代随机抽样，使审计可被预测
模型与 API测试Gemini 3.8 Flash、Gemini 3.5 Flash、GPT-6 Sol 等 6 个模型层
- 推理链
摘要研究揭示推理智能体将标识符转化为确定性规则，破坏群体独立性并导致审计预测漏洞，建议显式提供随机输入。
完整解读
防御arXiv:2609.11757 · 9月10日
研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御
提出 A-VIP，将购物意图绑定到支付授权以阻断商户文本操控
AI Agent测试gemini-2.5-flash-lite、gemini-3.1-flash-lite、gemini-3-flash-preview 等 15 个应用层
摘要论文揭示了 AP2 协议决策层受操纵的风险，提出结构化与权能绑定防御 A-VIP，并发布评测基准。
完整解读
攻击arXiv:2601.02670 · 1月6日
SLIP：无需外部攻击模型的多轮自我越狱
提出无外部攻击模型的多轮自我越狱方法 SLIP
模型与 API攻击者黑盒测试Gemini-2.5-Pro、Gemini-2.5-Flash-Lite、GPT-5.1 等 11 个提示层
摘要论文提出了无外部攻击模型的自我越狱方法 SLIP，指出对齐模型内在能力抑制的漏洞并设计了语义漂移防御。
完整解读
攻击arXiv:2607.23496 · 7月26日
Concept2Scenario：用 SAE 概念归因发现可迁移的越狱场景
提出 Concept2Scenario，借助内部概念归因发现可迁移的越狱场景
模型与 API攻击者白盒黑盒测试Gemini-3-Flash、Gemini-3.1-Pro、Qwen3.5-9B 等 10 个提示层
摘要该研究从表征空间因果归因揭示场景削弱拒绝的机制，发现可复用脆弱场景先验，提升多模型黑盒越狱效能与探索速度。
完整解读
攻击arXiv:2608.09867 · 8月11日
研究者利用加密推理块跨模型兼容性窃取专有 LLM 推理链
利用加密思维块的跨模型重放，诱导弱模型逐字转写专有推理链
模型与 API攻击者黑盒测试Gemini 3.1 Pro、Gemini 3.5 Flash、Gemini Robotics 1.6 等 15 个提示层
摘要论文揭示了客户端加密思维块跨模型互换漏洞，提出了低成本提取方法并给出防御方案。
完整解读
评测与基准arXiv:2607.20891 · 7月23日
MisKnow-Agent 评测
提出 MisKnow-Agent，评测深度研究智能体是否采纳误导性检索知识
AI Agent测试Gemini Deep Research、DeepSeek-V4 Pro、Qwen3.5-397B 等 4 个应用层
- 投毒与后门
- RAG
摘要论文通过 MisKnow-Agent 框架评估发现长程研究智能体易采纳误导性知识，且现有防御难以完全消除该现象。
完整解读
攻击arXiv:2608.27531 · 8月27日
MAMJ：面向视觉语言模型的元自适应多模态越狱攻击
提出 MAMJ，在元层面交替优化多模态越狱的策略提示与攻击者权重
模型与 API攻击者黑盒测试Gemini-3-Pro-Preview、GPT-4o、Seed 2.0 等 4 个提示层
完整解读
分析与理论arXiv:2609.30802 · 9月25日
研究：知识蒸馏中 chat 模板会削弱学生模型的安全对齐
分析良性知识蒸馏中提示模板对学生拒答保留的影响
模型与 API测试Gemma-2-9B-IT、Gemma-2-2B-IT、LLaMA-3.1-8B-Instruct 等 7 个训练与数据层
- 拒答失当
完整解读
分析与理论arXiv:2609.25366 · 9月22日
研究：思维链对答案的约束随模型相对任务难度而变化
用续写扰动衡量思维链对答案的因果约束如何随任务难度变化
模型与 API测试Gemma-2-9B-IT、Gemma-2-9B、Llama-3.1-8B-Instruct 等 4 个模型层
- 推理链
摘要在所测续写干预与模型中，思维链对答案的约束随任务和后训练条件而变。
完整解读
攻击arXiv:2609.09553 · 9月9日
研究：任意密文攻击前沿大模型无需微调即可越狱
提出任意字母置换密码越狱，无需微调即可诱导有害输出
模型与 API攻击者黑盒测试Gemini 3 Flash (preview)、Gemini 2.5 Flash、Claude Sonnet 4 等 7 个提示层
摘要前沿大模型无需微调即可通过提示词学会字母置换密码，进而绕过分类器与对齐，作者呼吁关注能力提升带来的安全风险。
完整解读
攻击arXiv:2609.38899 · 9月30日
SceneJail：利用视频场景上下文越狱多模态大模型
提出 SceneJail，利用视频情境上下文越狱视频多模态模型
模型与 API攻击者黑盒测试Gemini3.5-Flash、Qwen2.5-VL-7B-Instruct、Qwen2.5-VL-32B-Instruct 等 8 个提示层
完整解读
评测与基准arXiv:2608.03070 · 8月4日
FAR.AI 发布 AI 安全排行榜与护栏最低标准 1.0
建立越狱原语分类与双重危害基准，评测模型抵御常见越狱的能力
模型与 API测试Gemini 3.1 Pro、Claude Fable 5、Claude Opus 4.8 等 8 个提示层
- 越狱
- 护栏与评审
摘要论文系统评测了前沿模型对已知静态越狱的防御能力，揭示了厂商间防护鲁棒性的巨大分化。
本研究针对前沿 AI 大模型在 CBRNE 与网络高危滥用领域的安全防护，提出了 FAR.AI 最低安全标准（Minimal Standard v1.0）及配套评测基准，系统量化了当前主流模型的防护鲁棒性。
完整解读
攻击arXiv:2609.22510 · 9月19日
特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent
提出爆炸提示词，用条件触发的间接注入延迟诱发恶意工具调用
AI Agent测试Gemini-2.5-flash、Google Gemini CLI、Llama-3.1-8B-Instruct 等 14 个应用层
摘要论文揭示了条件触发使提示注入绕过防御并在触发时执行工具，提出轻量检测器并在摄入期有效防范。
论文针对大语言模型智能体面临的间接提示注入威胁，研究了利用条件句式实现时间分离的爆炸提示词。
完整解读
攻击arXiv:2609.29775 · 9月24日
输出前缀攻击瞄准推理模型
提出推理通道预填与输出前缀组合攻击以越狱推理模型
模型与 API攻击者黑盒测试Gemini 3 Flash Preview、DeepSeek V4 Flash、Claude Haiku 4.5提示层
完整解读
分析与理论arXiv:2609.32717 · 9月26日
研究揭示语义保持变换下的 LLM 对齐与效用不对称
用语义保留变换探针比较效用与对齐在分布偏移下的稳定性
模型与 API测试Gemma-7B-it、Gemini 3 Flash、Gemma-4-31B 等 10 个模型层
- 拒答失当
摘要论文报告了语义保留变换下的对齐-效用不对称性，指出安全对齐泛化比效用更为脆弱，呼吁改进评估流程。
完整解读

已经到底了

Google DeepMind · 论文

攻击类型

攻击技术

模型自身风险

防御类型

影响

系统形态

攻击者权限

攻击面/入口

层

系统组件

被测模型厂商

东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核

研究者披露 AP2 支付协议的 Whisper 提示注入攻击并提出 A-VIP 防御

SLIP：无需外部攻击模型的多轮自我越狱

Concept2Scenario：用 SAE 概念归因发现可迁移的越狱场景

研究者利用加密推理块跨模型兼容性窃取专有 LLM 推理链

MisKnow-Agent 评测

MAMJ：面向视觉语言模型的元自适应多模态越狱攻击

研究：知识蒸馏中 chat 模板会削弱学生模型的安全对齐

研究：思维链对答案的约束随模型相对任务难度而变化

研究：任意密文攻击前沿大模型无需微调即可越狱

SceneJail：利用视频场景上下文越狱多模态大模型

FAR.AI 发布 AI 安全排行榜与护栏最低标准 1.0

特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

输出前缀攻击瞄准推理模型

研究揭示语义保持变换下的 LLM 对齐与效用不对称