攻击arXiv 2610.05089
研究者披露 LiteLLM 网关跨租户干扰攻击 Cooldown Landmines
提出利用共享冷却的跨租户干扰攻击，并设计租户隔离机制
- arXiv
- 2610.05089
- 发表
- 场景
- LLM 应用
- 测试
- DeepSeek-MoE-16B-Chat、Qwen1.5-MoE-A2.7B-Chat
摘要揭示网关共享冷却漏洞，提出来源检查与租户隔离防御。
开源模型安全 · 论文
另有 60 篇论文还没打上分类标签，暂不在筛选结果里。
- 评测与基准arXiv 2610.02827
MLCommons 发布 Jailbreak Benchmark v1.0
构建 MLCommons 越狱基准以测量模型的单轮越狱韧性
- arXiv
- 2610.02827
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- DeepSeek-V4-Pro、Gemma 3N E4B Instruct、LFM2-24B-A2B 等 8 个
- 攻击越狱
摘要论文建立了单轮越狱评测的标准化端到端方法学体系，揭示了开源大模型在对抗提示词下的安全性能降级与大模型负差距现象。
- 可解释性arXiv 2609.14759
研究：拒答只读取模型道德表征中的伤害切片
用几何投影与因果交换干预，分析拒绝机制读取的道德表征
- arXiv
- 2609.14759
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- DeepSeek-R1-Distill-Llama-8B、DeepSeek-R1-Distill-Qwen-14B、OLMo-3-7B-Instruct 等 9 个
- 风险拒答失当
摘要作者指出拒绝机制多仅读取表层伤害感知，在控制瓶颈处运作，阐明了对齐易被移除的机理并提出跨模型双轴分类。
本文是一项针对大语言模型拒绝机制与对齐浅层性的机械解释性研究。
- 评测与基准arXiv 2609.35902
QH-Bench：面向中国青少年内容安全的细粒度中文基准
构建中文青少年内容安全基准 QH-Bench，评测单轮与多轮回复的安全与有用性
- arXiv
- 2609.35902
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- DeepSeek-V2-Lite、DeepSeek-LLM-7B、InternLM2.5-20B 等 13 个
- 风险拒答失当
摘要QH-Bench 分单轮与多轮评测中文青少年内容安全，总均分高仍不消除线下接触和关系压力上的负分。
QH-BENCH 是面向中国社会文化情境的中文青少年内容安全基准，用单轮细粒度风险和多轮跨轮机制两条轨道，评测模型回复是否既守住安全边界又提供适合年龄的帮助。
- 防御arXiv 2610.00850
AuraForge：为训练安全编码 Agent 扩展安全监督
提出 AuraForge，从漏洞修复合成安全测试并监督训练编码智能体
- arXiv
- 2610.00850
- 发表
- 场景
- 编程 Agent
- 测试
- DeepSeek-V4.1-Flash、Qwen3.5-4B、Muse Spark 1.3 等 11 个
- 防御模型加固
- 风险Agent 危险操作
摘要AuraForge 用攻击效果测试和防泄露环境做成 AuraGym，合成监督的误拒更低，训出的 4B 模型增益高于人工测试。
AuraForge 把真实仓库的历史漏洞修复变成可执行训练任务，用来监督编程智能体同时满足功能请求和隐含的安全要求。
- 攻击arXiv 2510.11570
研究显示简单攻击可绕过 gpt-oss 等推理模型的安全护栏
提出四种阶段转换攻击，绕过推理模型的安全推理护栏
- arXiv
- 2510.11570
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 测试
- DeepSeek-R1-Distill-Llama-8B、gpt-oss-20b、gpt-oss-120b 等 10 个
- 防御arXiv 2609.02293
SEAL：通过共享专家对齐强化 MoE 全局安全
提出 SEAL，在 MoE 共享专家上做 DPO-LoRA 对齐以抵御越狱与权重篡改
- arXiv
- 2609.02293
- 发表
- 场景
- 模型与 API
- 测试
- DeepSeekMoE-16B、Qwen1.5-MoE-A2.7B、GLM-4.7-Flash 等 4 个
摘要SEAL 把 DPO-LoRA 限制在混合 MoE 共享专家上，SEAL++再保护已有安全神经元方向。
SEAL是面向混合 MoE 的训练时防御：只对齐始终执行的共享专家，使安全不依赖路由器是否把 token 送到安全专家。
- 防御arXiv 2609.16229
ARIA：用稀疏自编码器实现测试时机器遗忘
提出 ARIA，在冻结权重上用 SAE 做推理时遗忘门控
- arXiv
- 2609.16229
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 测试
- DeepSeek-R1-Distill-Qwen-1.5B、Gemma-3-1B-it
- 分析与理论arXiv 2609.34572
论文提出 Nudgeability：推理模型会跟随置信信号却不追踪自身能力
提出 Nudgeability，测量推理模型跟随信心信号调整工具委派的对准程度
- arXiv
- 2609.34572
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 测试
- DeepSeek-V4-Pro、Qwen3-4B、Qwen3-8B 等 11 个
- 组件推理链
- 可解释性arXiv 2609.35210
研究用稀疏 crosscoder 揭示 on-policy distillation 只重加权既有特征
提出 swap readout 分析蒸馏对学生特征的重加权
- arXiv
- 2609.35210
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- DeepSeek-R1-Distill-Qwen-1.5B、JustRL-DeepSeek-1.5B、DeepSeek-R1-Distill-Qwen-7B 等 6 个
摘要OPD 与教师 rollout 上的 SFT 都不增加特征，而是重加权学生与教师已经共享的特征。
作者用 sparse crosscoder 和 swap readout，考察 on-policy distillation 写进学生内部表征的是什么。
- 可解释性arXiv 2609.35261
Imprint Reader：从权重更新读出到行为干预
用 SMaRT 从冻结权重更新读出知识与行为并用 MetaEdit 干预
- arXiv
- 2609.35261
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- DeepSeek-V4-Flash、Qwen3-14B、Qwen3-30B-A3B-Instruct-2507
摘要SMaRT 读出冻结更新，MetaEdit 用同坐标梯度在无目标任务数据时改原模型行为。
Imprint Reader 把一次冻结权重更新读成关于新知识或新行为的话，并用同一套坐标上的梯度去改原模型。
已经到底了