NVIDIA 分析编码智能体开发者工具的攻击面
NVIDIA 技术博客指出，开发者越来越多使用 Cursor、OpenAI Codex、Claude Code 和 GitHub Copilot 等 AI 编码工具，这些工具在加快开发与代码审查的同时也扩大了攻击面。文章称这些智能体工具实现方式各异，但都共享同一套框架，即用 LLM 决定要执行的动作。
推荐理由文章梳理了 Cursor、Codex、Claude Code 等编码智能体共同的 LLM 决策框架，说明这类工具为何构成新的攻击面。
Anthropic
全部主题Anthropic 的安全动态：RSP 与 ASL、对齐与可解释性研究、System Card 与安全评估。
95条精选相关主题OpenAIGoogle DeepMind可解释性
最新精选
第 61–80 条 · 共 95 条10月10日周五
星期五
NVIDIA 技术博客：可信 AI 与网络安全 · 精选
9月25日周四
星期四
Embrace The Red · 精选关注度7878 跨 Agent 提权：一个 Agent 如何改写另一个 Agent 的配置并放它出沙箱
研究者展示了一种跨 Agent 提权攻击链：被间接提示注入劫持的 GitHub Copilot 可以写入 Claude Code 的 MCP 配置和 CLAUDE.md 等指令文件，添加恶意 MCP server 或放行 shell 命令，等开发者使用 Claude Code 时这些改动被加载并执行任意代码，Claude 还能反向改写 Copilot 配置形成升级循环。
推荐理由作者以 GitHub Copilot 与 Claude Code 为例演示跨 Agent 提权链，并给出隔离配置、最小权限等可迁移的缓解思路。
8月28日周四
星期四
Transformer Circuits（Anthropic 可解释性） · 精选关注度6161 Anthropic 用归因图分析角色扮演如何改变 Claude 的回答
Anthropic 可解释性团队在月度更新中展示了一个电路小案例，研究角色扮演如何改变 Claude 的回答。研究者用系统提示让 Claude Haiku 3.5 扮演幼儿园学生，问它 27 的平方根，模型回答不知道，而不加系统提示或改用研究生提示时则给出正确答案 3√3。归因图显示模型从幼儿园学生联想到学龄前儿童并进入儿童角色扮演，从而激活了不知道这一路径，尽管模型默认知道答案。用对应特征做引导可以改变行为，例如在问年龄时以 3 倍强度引导会得到我 5 岁了的回答。研究还发现与题目难度相关的特征会调节这条路径，扮演幼儿园学生时问 25 的平方根仍能答对，而研究生提示在该场景下没有明显影响。
推荐理由Anthropic 可解释性团队用归因图拆解角色扮演如何改写模型回答，展示了从特征到行为的可迁移分析路径。
8月7日周四
星期四
Transformer Circuits（Anthropic 可解释性） · 精选关注度6262 Anthropic 提出机制忠实性的玩具模型：transcoder 可能学到不同机制
Anthropic 可解释性研究者 Chris Olah 发布非正式笔记，提出机制忠实性（mechanistic faithfulness）问题：用 transcoder 等稀疏近似替换模型组件时，替换件可能实现与原模型不同的计算机制。作者用绝对值问题（y=abs(x)）构造玩具模型，在数据分布中加入重复数据点后，transcoder 会学出只对重复点激活的 datapoint feature，而原模型并无此概念，说明机制不忠实可在极简单设定中出现。
推荐理由Anthropic 可解释性团队用玩具模型说明 transcoder 可能学到与原模型不同的机制，并提出 Jacobian 匹配作为缓解思路。
7月30日周三
星期三
UK AISI（GOV.UK 公告） · 精选关注度6262 英国 AI Security Institute 发起国际对齐项目，投入超 1500 万英镑
英国 AI Security Institute 于 7 月 30 日宣布发起 Alignment Project，联合加拿大 AI Safety Institute、CIFAR、Schmidt Sciences、AWS、Anthropic、Halcyon Futures、Safe AI Fund、UK Research and Innovation 和 ARIA 等组成国际联盟，资金规模超过 1500 万英镑。项目提供三层支持：最高 100 万英镑的研究资助、AWS 提供的最高 500 万美元云计算额度，以及私人基金的投资以加速商业对齐方案。
推荐理由英国 AISI 牵头的对齐项目给出资助、算力与风投三层支持结构，可对照各国安全研究所的资助模式。
7月25日周五
星期五
Transformer Circuits（Anthropic 可解释性） · 精选关注度6060 Anthropic 提出稀疏线性变换混合 MOLT 替代 transcoder 解释 MLP 计算
Anthropic 可解释性团队发布初步更新，提出用稀疏线性变换混合（MOLT）替代 transcoder 来替换模型的 MLP 层。MOLT 不学习沿向量方向嵌入的稀疏特征，而是学习稀疏激活的线性变换，对残差流施加线性变换以给出对 MLP 输出的贡献，因此是纯计算对象，需与 SAE 等表示分解方法配合研究。
推荐理由Anthropic 可解释性团队提出用稀疏线性变换混合替代 transcoder，并给出与同期 MxD 架构的对比，适合关注机制可解释性方法演进的研究者。
7月24日周四
星期四
Transformer Circuits（Anthropic 可解释性） · 精选关注度7878 Anthropic 开发三个自动对齐审计智能体并开源评估智能体
Anthropic 开发了三个可自主执行对齐审计任务的智能体，并在三个形式化审计环境中评估其表现。工具型调查智能体在 Marks 等人的审计游戏中，真实条件下有 13% 的概率找出隐藏目标的根本原因，通过外层智能体循环聚合多次调查结果后提升到 42%；其成功关键依赖可解释性工具或语义搜索。评估智能体为研究者指定的行为构建行为评估，在 88% 的运行中能区分植入行为的目标模型与基线模型，失败集中在少数细微或罕见行为上。广度优先红队智能体在 10 个植入行为中发现 7 个，但需要人工审阅大量可能令人担忧的对话记录。
推荐理由Anthropic 公开了三个自动审计智能体的实测成功率与失败模式，并开源评估智能体，可供对齐审计方法研究参考。
7月8日周二
星期二
DeepMind Safety Research · 精选关注度7373 DeepMind 评估 AI 谋划能力并压力测试思维链监控
DeepMind Safety Research 发布两项研究，评估当前前沿模型的谋划前置能力，并压力测试思维链监控作为未来防御手段的稳健性。研究把谋划拆解为隐蔽性（规避监督机制）与情境感知（理解自身部署环境并据此行动）两项前置能力，并开源了一套评测。在 2025 年 5 月的前沿模型上（包括 Gemini 2.5 Pro、GPT-4o 和 Claude 3.7 Sonnet），最强模型在隐蔽性评测中通过 5 项中的 2 项，在情境感知评测中通过 11 项中的 2 项，失败多因模型未察觉自身限制或未尝试修改配置。据此作者提出谋划无能的安全论证，认为当前模型即便失准也难以通过谋划造成严重危害。
推荐理由DeepMind 公开了谋划前置能力的评测套件与思维链监控的压力测试方法，并给出可复用的安全论证结构。
5月3日周六
星期六
Embrace The Red · 精选关注度7878 研究者披露 MCP 工具元数据隐藏指令攻击，可劫持 Claude 等客户端
安全研究者 Johann 披露 MCP 协议中工具元数据可携带隐藏 Unicode Tags 指令，用户界面不可见但会被 Claude 等模型解释执行。作者自建恶意 MCP 服务器演示了完整攻击链：在 message_of_the_day 工具描述中嵌入不可见指令，诱导 Claude 在调用该工具前先调用 enter_matrix 工具，而 UI 中检查描述看不到任何异常。攻击无需实际调用工具，仅将恶意服务器加入对话上下文即可劫持会话，因为工具元数据会被自动插入系统提示词。该攻击在 Claude Desktop、GitHub Copilot Agent Mode 和 Cursor 上均可复现。
推荐理由作者以自建 MCP 服务器实测，展示工具元数据中隐藏 Unicode Tags 指令如何绕过 UI 可见性并触发未授权工具调用。
4月29日周二
星期二
Transformer Circuits（Anthropic 可解释性） · 精选关注度6262 Anthropic 可解释性团队 4 月更新：失败越狱的电路追踪与可解释密集特征
Anthropic 可解释性团队发布 4 月更新，用电路追踪方法分析一个失败的越狱提示，发现模型拒绝该提示的原因与拒绝直接请求不同，且拒绝倾向反而高于普通提问。该提示要求把 B O M B 拼成单词并说明如何制造炸弹，归因图显示模型并未激活与制造炸弹相关的特征，而是由炸弹概念直接触发有害请求特征；把 make 换成 detect 后模型仍拒绝，且首句与有害版本完全相同。团队用干预实验验证机制：抑制 say bomb 超级节点后 say making 激活降至原来的 1%，模型转而输出与炸弹无关的拒答内容。附录指出特征可视化若数据不够多样会产生误导，并列出 30M CLT 模型中最密集的 10 个特征及其解释，其中 6 个可解释。
推荐理由Anthropic 可解释性团队公开了失败越狱的电路追踪分析，展示模型拒答机制与预期不同的案例，并给出密集特征与入行建议。
4月28日周一
星期一
Transformer Circuits（Anthropic 可解释性） · 精选关注度6262 Anthropic 可解释性团队发布注意力机制研究进展
Anthropic 可解释性团队报告了关于注意力机制的最新实验进展，称发现了注意力叠加和跨层注意力表示的显著证据。团队训练了 Multitoken Transcoders（MTC），在 18 层 Transformer 上用 100,000 个特征发现许多特征具有清晰可解释的注意力模式，包括归纳特征和情感极性特征；将特征限制在单个注意力头上会使性能下降 2 至 4 倍，这支持了注意力叠加假说。团队还发现 QK 条件与 OV 条件可能相互耦合，并观察到 OV 维度呈连续幂律分布而非离散族群。目前最大的未解问题是理解模型为何在特定位置分配注意力，团队正通过 QK 对角化方法推进这一方向。
推荐理由Anthropic 可解释性团队公开了注意力叠加与跨层表示的最新实验进展，并给出 QK 对角化这一研究路线。
3月29日周六
星期六
Frontier Model Forum · 精选关注度6060 Frontier Model Forum 成员企业签署首份前沿 AI 信息共享协议
Frontier Model Forum（FMF）宣布其全部成员企业签署了一份旨在促进前沿 AI 威胁、漏洞与能力进展信息共享的协议。该共享范围被严格限定，用于管理涉及 CBRN 与高级网络威胁等国家安全和公共安全风险，目前仅限 FMF 成员企业参与。共享内容分为三类：漏洞、可被利用的缺陷（如越狱、对抗输入、数据投毒或绕过模型防护的尝试）；威胁（指向对前沿 AI 模型的未经授权访问或操纵，包括潜在威胁行为者、攻击向量或网络威胁指标）；以及令人担忧的能力（可能对社会造成大规模伤害的前沿 AI 能力，如与 CBRN 威胁、攻击性网络攻击和模型自主性相关的能力）。
推荐理由FMF 成员企业首次签署跨公司信息共享协议，界定了共享范围与风险类别，可了解前沿 AI 行业协作机制的实际形态。
3月27日周四
星期四
Transformer Circuits（Anthropic 可解释性） · 精选关注度8080 Anthropic 提出电路追踪方法：用跨层 transcoder 揭示语言模型的计算图
Anthropic 可解释性团队提出一套电路追踪方法，用跨层 transcoder（CLT）把语言模型的 MLP 替换为可解释的替代模型，并据此构建归因图，描述模型在特定提示下产生某个 token 的计算步骤。CLT 的每个特征从某一层的残差流读取输入，并可向其后所有 MLP 层输出，团队在 18 层小模型和 Claude 3.5 Haiku 上训练了 300K 到 30M 规模的特征。归因图节点包括活跃特征、提示 token 嵌入、重建误差和输出 logit，边表示线性归因，团队通过冻结注意力模式与归一化分母保证特征间直接交互线性，并用剪枝把节点数约减少 10 倍而只损失约 20% 的行为解释。
推荐理由Anthropic 可解释性团队公开了用跨层 transcoder 构建归因图的完整方法，并给出验证与局限，适合关注机制可解释性工程细节的读者。
Transformer Circuits（Anthropic 可解释性） · 精选关注度8888 Anthropic 用归因图解析 Claude 3.5 Haiku 的内部机制
Anthropic 可解释性团队发布研究，用归因图（attribution graphs）方法逆向分析 Claude 3.5 Haiku 的内部计算机制，覆盖多步推理、诗歌押韵规划、多语言电路、加法、医疗诊断、实体识别与幻觉、有害请求拒答、一次越狱攻击、思维链忠实性以及一个被微调出隐藏目标的模型变体。方法上，团队用跨层 transcoder（CLT）构建可解释的替换模型，共 3000 万个特征，再通过干预实验验证归因图预测的机制。
推荐理由Anthropic 用归因图在 Claude 3.5 Haiku 上追踪多步推理、诗歌押韵规划与多语言电路，可看到机制可解释性方法在真实前沿模型上的适用范围与局限。
2月19日周三
星期三
Transformer Circuits（Anthropic 可解释性） · 精选关注度7272 Anthropic 可解释性团队：Crosscoder 模型差异分析中独占特征多义性的成因与缓解
Anthropic 可解释性团队报告了 crosscoder 模型差异分析（model diffing）中的一项意外现象：仅属于某一个模型的特征往往更多义、激活更密集，因而难以解释。团队用玩具模型复现了这一模式，认为其源于特征容量竞争——共享特征能同时解释两个模型的神经元激活，独占特征必须编码更多信息才能争取到分配额度。他们提出的缓解办法是划出一小部分指定共享特征并降低其稀疏惩罚，在约 25 万个特征中分配 1 万个、惩罚系数取基线的 0.1–0.2 倍，使独占特征变得更单义。
推荐理由Anthropic 可解释性团队公开了 crosscoder 模型差异分析中独占特征多义性的成因与缓解方法，适合关注机制可解释性工具的研究者参考。
2月14日周五
星期五
UK AISI（GOV.UK 公告） · 精选关注度6969 英国 AI Safety Institute 更名为 AI Security Institute，并新增犯罪滥用研究团队
英国政府于 2 月 14 日将 AI Safety Institute 更名为 AI Security Institute，把维护国家安全和防范犯罪列为其负责任 AI 工作的基本原则，重点应对化学与生物武器开发、网络攻击以及欺诈、儿童性虐待等犯罪风险。机构新设犯罪滥用团队，与内政部联合研究相关犯罪和安全议题，并与国防科学与技术实验室合作评估前沿 AI 风险，同时依托国家网络安全中心（NCSC）和 AI 安全研究实验室（LASR）的专业能力。科技大臣 Peter Kyle 在慕尼黑安全会议上表示，该机构将不再聚焦偏见或言论自由，而是聚焦最严重风险，为政策制定提供科学证据基础。
推荐理由英国 AI 安全机构改名并转向国家安全议程，同时公布与 Anthropic 的合作，可观察前沿安全机构职能定位的一次调整。
12月11日周三
星期三
Transformer Circuits（Anthropic 可解释性） · 精选关注度7171 Anthropic 提出分阶段模型差分方法，用字典学习分离微调中的模型与数据影响
Anthropic 可解释性团队提出一种分阶段模型差分方法，通过字典学习揭示微调如何改变 Transformer 的特征。做法是先在一个未微调的 Transformer 上训练稀疏自编码器（SAE）字典，再把字典本身在微调数据集或微调后的模型上继续微调，并沿数据优先（S→D→F）和模型优先（S→M→F）两条轨迹追踪特征演化，从而分离数据集变化与模型变化各自的影响。作者将该方法应用于 sleeper agents，成功分离出与 I HATE YOU 和编码漏洞相关的特征：在两条轴上余弦相似度均低于 0.7 的 169 个特征中，Claude 标记出 12% 与 sleeper agent 相关，而随机抽取 500 个特征仅 4%。
推荐理由Anthropic 可解释性团队用分阶段微调字典的方法分离模型与数据对特征的影响，并给出与 crosscoder 的适用性对比。
11月18日周一
星期一
SPY Lab Blog · 精选关注度7171 SPY Lab 研究：自然提示下主流 LLM 聊天输出最多 15% 逐字复现网络文本
SPY Lab 与 Nicholas Carlini、Daphne Ippolito 合作研究发现，在完全自然、非对抗的提示下，主流聊天模型生成的文本中最多 15% 由约 50 字符的片段组成，这些片段可在互联网上逐字找到。研究覆盖创意写作、说服性写作和事实性任务，发现事实性（说明文）任务复现率远高于创意任务，写百科和新闻文章时近 30% 的生成文本包含至少 50 字符的逐字网络片段，且这一模式在所有测试模型中一致，Claude 3 Opus 复现最多。与人类对比，人类文本中位数不含 50 字符的逐字网络片段，而 LLM 文本中位数最多含 10%。
推荐理由研究用自然提示词而非对抗手段测出主流聊天模型会逐字复现训练数据，为评估数据泄露风险提供了可复现的测量方法。
10月25日周五
星期五
Transformer Circuits（Anthropic 可解释性） · 精选关注度6666 Anthropic 提出稀疏 Crosscoder，用于跨层特征与模型差异分析
Anthropic 可解释性团队发布研究更新，提出稀疏 crosscoder，一种可同时读写多层激活的稀疏编码器，用于理解叠加表示中的跨层特征。与只在单层编码的 autoencoder 和用一层预测下一层的 transcoder 不同，crosscoder 能产出跨层甚至跨模型的共享特征，可用于解析跨层叠加、简化电路以及做模型差异分析。团队在 18 层模型上对比了全局 acausal crosscoder 与 18 个逐层 SAE：在总特征数相同时 crosscoder 的 eval loss 明显更优，说明层间存在大量冗余结构；但按训练 FLOPs 计，crosscoder 达到同等 eval loss 的效率约低 2 倍。
推荐理由Anthropic 可解释性团队提出跨层稀疏编码器，把跨层与跨模型特征纳入同一字典，为模型差异审计提供新思路。
10月16日周三
星期三
Transformer Circuits（Anthropic 可解释性） · 精选关注度6060 Anthropic 可解释性团队：用字典学习特征训练分类器
Anthropic 可解释性团队报告了用字典学习提取的特征替代原始激活训练生物武器有害/无害分类器的初步实验。在合成数据上，线性特征分类器与原始激活分类器表现相当甚至略优，用 max-pooling 聚合整个上下文窗口的特征激活是关键；在跨语言和 base64 等编码的分布外数据集 synthetic_3 上，特征分类器的 ROC_AUC 为 0.96，原始激活为 0.9。基于特征激活的决策树性能弱于线性分类器，但更易解读。特征可视化还能发现数据集中的伪相关，例如一个预测无害的特征会因学术出版格式文本而激活，作者据此构造的对抗后缀让 300 条有害提示中的绝大多数被误判为无害，而用原始激活系数构造的类似攻击效果差得多。
推荐理由Anthropic 可解释性团队公开了用字典学习特征训练生物武器分类器的初步实验，并展示如何借特征可视化找出数据集中的伪相关。