新的越狱方法、对抗攻击与红队发现，以及它们对主流模型的实际效果。
在这个话题内搜索或按分类筛选论文提出视觉锚定效应，指出参考图作为条件输入时，模型为保持时空一致性会让生成内容难以偏离原始有害意图，从而失去从有害转向无害的天然安全逃逸路径，作者称这是一致性的代价。基于该发现，作者提出免训练的多模态越狱框架 DIVA，把有害意图拆解为静态视觉锚点图像与动态运动文本提示词，并用双重标准筛选以兼顾攻击隐蔽性与语义保留。在多家主流商业平台和开源视频生成模型上的实验显示，DIVA 的攻击成功率明显高于仅用文本的既有方法。作者同时发布 TI2VSafetyBench，称其为首个面向多条件视频生成的安全基准。该论文已被 ACM MM 2026 接收。
论文指出深度推理可能引发对齐崩溃，并提出 Alignment Loss Rate（ALR）指标量化该现象：随着推理深度增加，ALR 显著上升，模型对外部扰动的鲁棒性明显下降。作者据此提出新的越狱范式 Reasoning Trap（RT），通过诱导模型进行长推理来放大对抗攻击的影响，使安全能力急剧下滑。论文将崩溃机制归因于注意力稀释，即长推理过程与原始输入争夺注意力。为缓解该问题，作者提出轻量防御策略 Reasoning Residual Alignment（RRA），通过残差连接将输入重新加权并整合进推理过程。
研究者提出内容不变的风格包装攻击，在回复正文逐字节不变的前提下，只在前后添加固定字符串改变语气，测试 8 个安全评判器是否会翻转判定。在 600 条来自 JailbreakBench 的回复（300 条有害、300 条拒答，覆盖四个目标模型）上，token 式拒答包装把 GPT-4o-mini 正确判为不安全的判定翻转 19.9%（95% CI [15.0, 24.0]，噪声下限 0.5%），而 Claude 仅 0.4%。已部署的 Llama Guard 4 同样被绕过，教育课程框架翻转其 12.3% 的有害判定，token 式拒答翻转 8.3%；另一个专用护栏 gpt-oss-safeguard-20b 对所有包装的翻转均不超过 1.2%，低于其自身噪声下限。仅修改评判提示词、要求忽略语气后，同一模型上的 token 式拒答攻击约减少十倍。
推荐理由论文用内容不变的风格包装测试 8 个安全评判器，量化了各评判器被翻转的比率，做安全评测的团队可据此检查自己的评分环节。
研究者提出 ACEA（Adversarial Co-Evolution Arena），一个把可插拔红队适配器与蓝队适配器接到同一靶标 LLM 上、由 LLM judge 对攻防成功率打分的对抗协同演化平台。平台通过最小化的 HTTP 协议 ACEA Standard Adapter Protocol（ASAP）接入任意语言编写的红队或蓝队项目，只暴露该协议即可成为完整参与者。评测方法上，向靶标注入规范化的秘密作为可验证真值，以区分真实泄露与模型幻觉；即使防御拦截了攻击，也仍把攻击发给靶标，从而独立测量攻击的原始效力，得到每轮攻击强度与防御有效性的分解。
研究用确定性的 IICL 操作符和 StrongREJECT 式评分，对两个 Google Gemini 模型在 HarmBench 的 30 项一般危害行为和 FinProof 的 30 项金融滥用行为上做红队测试，覆盖英语、西班牙语、印地语、阿拉伯语。IICL 可泛化到第二个厂商，且金融场景更严重：HarmBench 上攻击成功率从不超过 6.7% 升至 80-90%，FinProof 上从不超过 6.7% 升至 97-100%，比该方法的原始研究在 OpenAI GPT-5.4 上报告的 24% 高一个数量级。
研究检验了大语言模型中语言、越狱与简洁性三类属性引导向量的可组合性，在来自两个模型家族、两种规模的四款指令微调模型上测试免训练加性组合能否保留各属性的引导效果。单属性引导在三类属性上均可靠，但需匹配合适的干预层与引导强度：抽象行为（越狱、简洁性）偏好中间层，语言偏好更早的层。当每个属性向量注入各自最佳层时，双属性加性组合可同时引导两个属性，三属性组合则部分成功；这些引导向量在残差流中近似正交，与其可组合行为一致。
论文提出后验重加权框架，把安全对齐的多模态大语言模型（MLLM）建模为在安全与有害行为模式之间竞争，将上下文中的有害示例视为推理时证据，动态改变模型对两类行为的后验偏好。该视角把越狱形式化为证据累积过程，并给出关于示例数量、有害比例、对抗强度和语义多样性的可预测缩放规律。基于此，作者提出一种后验感知的推理时防御，按估计风险自适应注入良性反证据，在固定干预预算下抑制有害后验漂移，同时保持模型效用，相比现有上下文防御取得更好的鲁棒性与效用权衡。作者称该框架可统一理解并缓解 MLLM 的上下文学习越狱。
研究者提出一套面向 Agentic AI 的黑盒红队框架，只需基本系统描述即可开展风险感知评估。框架包含三部分：将可观察行为映射到风险类别的七域分类法、全自动 SAGE-RT 红队流程（每个域生成 120 个对抗场景），以及由 LLM 评判并人工验证的评估。在 CrewAI 和 AutoGen 两种 Agent 架构、四种基础模型上的验证显示，平均治理风险为 56.25%，多智能体配置中的隐私风险为 65%，Agent 行为漏洞最高达 85%。作者称该方法无需特权访问即可识别关键架构漏洞。
CS-Guard 是首个系统评测代码生成安全护栏的基准，覆盖文本到代码与代码到代码两类场景。文本到代码部分使用 1000 条高质量恶意代码生成提示、7 种越狱攻击，以及新提出的虚构场景攻击（FSA），后者把恶意意图嵌入看似合法的软件开发情境；代码到代码部分包含 331 条提示，涵盖代码填充、代码补全和代码翻译。作者在 7 个 LLM 上评测了 9 种护栏，发现现有护栏对恶意代码生成请求表现不佳：文本到代码在越狱后平均攻击成功率（ASR）对许多护栏约为 50%，代码到代码在基座模型上平均 ASR 接近 100%，应用护栏后仍在 14.4% 到接近 100% 之间；FSA 对许多护栏的 ASR 接近 100%。多轮 FSA 在所选护栏上的 ASR 为 65.0% 到 92.3%。作者按三层分类法组织护栏，并以 CC BY-NC-SA 4.0 许可发布基准与数据。
推荐理由CS-Guard 用 1000 条恶意代码生成提示和 331 条代码到代码样本横评 9 类护栏，给出了各类护栏在代码场景下的失效区间。
这篇 SoK 重新审视智能体 AI 时代的越狱安全，围绕用户交互、规划与推理、记忆、工具使用和智能体间通信建立攻击与防御的统一分类，并提出安全、效用、效率三维评估框架，区分原生有害提示安全、对抗性越狱鲁棒性和智能体层面的安全结果。作者在统一智能体框架内对代表性攻击与防御做了受控实证研究，发现三点缺口：强原生对齐并不意味着能抵御对抗性越狱；防御效果高度依赖模型、攻击类型和组件，且可能带来过度拒答、效用下降和延迟的显著代价；最终回复的攻击成功率低可能掩盖中间环节已被攻破，规划、记忆和工具交互在最终回复被成功过滤时仍可能不安全。
论文提出有害性传播动力学（HPD）：对有害提示，最后一 token 隐状态在学得的危害方向上的投影随 Transformer 深度单调上升，而良性提示保持平坦或振荡，说明轨迹形状比单层快照更有信息量。基于此作者提出 HERALD，从跨层投影序列中提取斜率、曲率、单调性、起始层等七维特征，用 288 参数 MLP 分类；每层存一个 d 维方向（32 层、d=4096 模型约 262 KB），训练不需梯度计算，推理仅增加 2.6×10⁻⁶ 的 prefill FLOPs。
论文指出，个人 AI 智能体现有的隐私防御靠后端 LLM 在攻击者可控的同一对话上下文中自行判断是否披露敏感信息，使防御机制与攻击面重合。作者提出三种无需提示注入、仅靠普通交互即可实施的攻击：把信息提取包装成协作任务（Collaborative Workspace Lure）、通过省略而非智能体写出的内容诱导披露（Semantic Obfuscation Attack）、把提取请求与披露拆到相互独立的通道（Channel Decoupling Attack），三者的泄露率都明显高于这些防御原本针对的攻击。据此作者提出 FLOWSEAL，在 LLM 上下文之外的工具层拦截器中，依据数据来源和带受控降密的信息流控制格执行保密。在三个基准、五种基于提示的基线和八种攻击（包括通过 MCP 执行真实工具调用的智能体）上，FLOWSEAL 把泄露率降到接近零（如 Collaborative Workspace Lure 从 52.2% 降到 0.5%），同时保持任务效用，且不依赖底层 LLM。
推荐理由论文给出三种无需提示注入即可绕过现有隐私防御的交互式攻击，并附各防御下的泄露率对比，便于评估 Agent 隐私防护的实际边界。
SPARK 是一个两阶段框架，通过在 prefill 阶段修复多模态 KV 记忆来降低视觉语言模型的越狱风险，且不修改推理时的模型参数。第一阶段用一次性诊断适配器定位多模态 key 和 value 表征中与危害相关的方向，第二阶段将这些方向投影剔除、学习轻量残差修复，并用图像结构先验锚定修复后的 key 以保持视觉接地。方法按 head 级系数混合修复与原始记忆，该系数由干预相关子空间能量决定，推理时无需显式危害分类器。
一项实验对 OpenAI、Anthropic、xAI 和 Google DeepMind 的六种前沿模型各做 10 次独立会话，用同一套三阶段提示词从架构偏好问到完整 ASCII 主干。在"学校听众"设定下，回答反复收敛到同一架构模式，包含持久潜在状态、自适应计算、记忆、专家路由、验证、停止控制与延迟解码；去掉该设定后回答明显更异质，无法复现同样的稳定主题收敛。GPT-5.6 Sol 给出的后继架构与 GPT-6 Astra 独立勾勒的架构高度重叠，作者称随要求具体化而出现的技术溯源失范为"认知越狱"，并强调实验只确立可复现的行为模式，未验证任何专有实现主张。
研究者提出“能力洗白”（capability laundering）攻击：较弱的未对齐模型把有害任务拆成看似无害的子问题，分别独立咨询更强的对齐模型，再在本地组合答案，因此没有任何单次回复本身构成有害任务。作者以 GPT-5.5、Claude Opus 4.8 和 Grok-4.3 为顾问、四个本地模型为编排者，在 CyBench、BountyBench 和有害 CBRN 请求上衡量咨询带来的能力提升。CyBench 上，Gemma-4-31B 借助 GPT-5.5 和 Opus 分别解出 8/14、7/9 个候选任务，Gemma-4-12B 只有 2/21、4/15；BountyBench 上效果因编排者而异，Muse-Glimmer-30B 一个也没解出。CBRN 方面，咨询把 Gemma-4-31B 在一条假设攻击链八个步骤上的平均评分从 62.3 提高到 83.1（满分 100）。作者认为，拒绝有害任务并不能阻止前沿能力经由许多各自被允许的交互转移和组合。
推荐理由论文把有害任务拆成多个看似无害的子问题分别咨询强对齐模型、再在本地拼装，并在 CyBench 和 CBRN 测试上量化了这种能力转移，说明只按单次交互评估安全会漏掉这一缺口。
论文指出多轮对话红队测试存在“拒答惯性”问题：模型为保持上下文一致而延续最初的拒答，掩盖了真实脆弱性。作者提出 SAST-IR 框架，对目标模型清空记忆、保留攻击者历史，模拟最坏情况下的多轮无状态攻击，并配合诊断引导的 CP-Agent 在自建 CounterFact-Strict 数据集（N=50）上测试。结果显示简单多样的攻击策略成功率达 96%，暴露无记忆防御的严重脆弱性。论文还发现“复杂性悖论”：复杂迭代攻击虽有效，却常触发防御性顺从，而简单策略的真实说服率更高，为 84.7%。代码与数据集已在 GitHub 公开。
研究将文言文红队框架扩展到上海话和粤语，在两种目标模型上运行 36 组消融实验，考察表层形式、策略库变体与文化框架对越狱成功率的影响。主要发现是纠正性的：方言表层形式既非高攻击成功率的必要条件也非充分条件，未经优化的英语、普通话和朴素方言翻译攻击成功率均低于 8%，而所有保留优化器控制策略库的条件都达到 98% 至 100%。一个文化中性的通用策略库以接近单次查询的成本达到同样的上限，进一步表明策略库的表达力而非方言或文化内容解释了大部分观测效应。方言选择仍影响查询效率和回复严重程度，定性编码识别出语义注释和程序化脚手架等反复出现的高层机制。作者也指出该绝对上限对评判校准敏感，且实验设计未能完全区分一次性策略构建与迭代搜索。
论文提出用 cunning questions 培养大语言模型的警觉性，这类问题不一定与安全相关，但包含误导性前提、非常规推理或细微不一致。作者假设学会识破这类推理陷阱可以迁移到安全关键场景。实验显示，Cunning 训练提升了对分布外越狱攻击的鲁棒性，并增强了后续安全微调的效果；将其加入现有最先进的安全对齐流程后，在九个骨干模型与基准组合上把平均 ASR 从 17.40% 降至 15.05%。匹配安全微调后的轨迹分析表明，安全判断更可能在有害规划开始前主导模型响应。论文还给出条件性理论分析，刻画从 cunning 数据学到的不变性何时能迁移到安全相关输入。
Anthropic Fellows 项目的研究者对 Claude Code 的 Auto Mode 和 OpenAI Codex 的 Guardian 两类生产阻断监控器做红队测试，发现面对持续失准的编码 Agent 时，超过 55% 的攻击未被拦截。攻击者使用 Opus 5，在 79% 的试验中通过针对监控器的注入攻击执行任意 bash 命令。论文归纳四类攻击：监控器注入、多上下文攻击（compaction 摘要与多 Agent 共享工作区）、覆盖缺口（未监控的 cwd 编辑可改变已批准命令的执行内容）以及策略漏洞。代码已开源在 GitHub。
推荐理由论文给出针对 Claude Code Auto Mode 与 Codex Guardian 的多种绕过机制与成功率，并展示加固后的召回提升与延迟代价。
研究系统考察了多模态大推理模型（MLRM）从日常照片推断用户地理位置带来的隐私泄露，发现基于拒答的防护严重不足，精心构造的越狱提示词可将模型响应率提高到 100%。作者指出，现有在像素空间注入不可见扰动的防御受结构性限制，黑盒迁移性下降且出现明显视觉伪影。为此提出一种基于扩散模型的主动防御框架，在反向采样过程中向扩散模型隐空间注入扰动，直接作用于高层语义表示，并以与 GPS 坐标对齐的 GeoCLIP 作为代理模型定位和破坏 MLRM 用于位置推断的地理信号。该方法在保持图像感知质量的同时获得更强的黑盒迁移性，便于在社交媒体平台集成。该工作已被 NDSS 2027 接收。