工具与开源

RegLLM：面向受监管智能体 AI 的有限自主性诊断测试框架

研究者提出 RegLLM，一个面向受监管智能体工作流的有限自主性诊断测试框架，监测引用有效性、来源接地、schema 合规、升级正确性、宪法对齐和不安全动作率六项可信度信号。离线参考运行（n=12）在启用治理后将升级召回率从 0 提升至 0.67，不安全动作率从 0.33 降至 0.08。两个单 GPU Qwen2.5-3B LoRA/DPO 试点（n=8）显示配置差异可压过调优效果，尚不足以证明适配器效果或生产可用性。

OLMo：加速语言模型科学研究

为应对最强语言模型被专有接口封闭、训练数据与架构细节不公开的问题，研究者构建了真正开放的语言模型 OLMo。与以往仅发布模型权重和推理代码的做法不同，OLMo 同时公开了训练数据、训练代码与评估代码，以支持对语言模型偏见与潜在风险的科学研究的开展。

onPanda：通过 token 级修正高效标注 LLM 与智能体的 on-policy 对齐数据

onPanda 是一款用于标注 LLM 对齐数据与智能体轨迹的交互工具，核心交互是 token 级修正：标注者定位首个不当 token，从模型候选 token 中选取替换或自由编辑，系统截断其后内容并从修正前缀继续生成，循环"定位—修正—继续"直至满意。一项小规模对照研究显示，onPanda 将标注中位耗时较人工后编辑降低 52%。由于最终回复绝大多数 token 由模型自身生成，所得数据基本保留模型采样分布，适用于构建 on-policy SFT 与偏好数据，修正记录还提供带精确位置的正负样本对。

SWE-Prometheus：衡量真实代码仓库工程治理改进的基准

SWE-Prometheus 是面向仓库级工程治理改进的基准，每个任务给出固定快照与开放式目标，要求智能体自行识别风险、排定干预优先级并验证改动，从六个治理维度通过配对证据、干净环境探针、行为门控和两名独立教师评分进行评估。基准包含 60 个仓库，10 个模型在共享的 22 仓库公开子集上平均 NGI 为 0.0568 至 0.5760，观测到的行为破坏率为 0% 至 23%。

LocUS：面向定向激活引导的注意力头选择与子空间投影

LocUS（Localized Unembedding Steering）将激活引导约束到模型自身输出词表子空间，通过识别 unembedding 矩阵中属性专属的线性子空间，把引导变换限制在该子空间内，并只作用于稀疏的注意力头子集。在三个模型族上针对毒性缓解、情感转向与谄媚抑制的评测显示，LocUS 匹配或超越 SOTA 基线，仅干预不到 6% 的参数，且更好地保留通用能力。

REGEXROUTE：无需嵌入向量的正则表达式路由，兼顾速度与可解释性

REGEXROUTE 用稀疏自编码器（SAEs）从无标注文本中发现可解释的正则表达式特征，让 LLM 将分组 SAE latent 的描述转成正则提取器并迭代精炼，从而在推理时完全省去神经编码。在四个基准上，固定 128 个特征取得 76.43% 平均路由准确率，与最强神经文本编码器基线的 76.41% 相当，且延迟更低、鲁棒性更强。该工作还发现 Qwen2.5 编码器从 0.5B 扩到 72B 参数对路由准确率提升甚微。

DAFI：面向 SAE 特征双端解释的智能体方法

论文提出功能解释（functional interpretation），把 SAE 特征刻画为从激活输入语义到干预下输出效果的映射，并给出智能体方法 DAFI，通过组件级反馈主动收集证据并迭代改进输入端、输出端与功能解释。其短上下文 token 探测可按需收集激活证据，无需全语料扫描。在 GemmaScope 上，DAFI 的 Input score 比 SAGE 高 13.1 个百分点，Output score 比 Token Change 高 38.9 个百分点，且比通用编码智能体更省 token。

HiveTraceGuard-Pro：面向提示注入、越狱与对抗混淆的紧凑生成式护栏

HiveTraceGuard-Pro 是一个从 Qwen3-0.6B 经 LoRA 微调而来的 0.6B 生成式护栏，支持俄语和英语，用 safe/unsafe 二分类规则判定最终目标轮。在覆盖 19 个基准组（16 个公开）的对比中，其综合 key 为 0.7432，低于两个更高分护栏的 0.7641 和 0.7552；在 15 个模型对比中取得最高俄语鲁棒性 combined-F1（0.88）和俄语提示注入召回率（0.999），中位延迟 14.3 ms 为最低。整体 FPR 为 0.268、FNR 为 0.156，合并权重以 Apache-2.0 在 Hugging Face 发布，语料与评测集仍为内部。

Agent Flight Recorder：为长时程工具调用智能体提供链上锚定的防篡改审计追踪

Agent Flight Recorder 将智能体每个动作记录为绑定意图、执行到来源等八个语义字段的规范化事件，通过哈希链与 Merkle 批处理实现防篡改和紧凑包含证明，并周期性将 epoch root 锚定上链，使任何持有载荷与 Merkle 证明的验证方可独立核验记录。在合成智能体负载的五种累积消融配置上，完整系统每事件中位延迟约 48 微秒、512 字节，L2 锚定在 100 事件 epoch 下每 10 万事件成本 $2.30，对编辑、删除、重排和分叉篡改的检测率为 100% 且零误报。结构化取证查询在护栏与委派查询上精确率达 1.0，非结构化文本搜索仅为 0.013 和 0.077。

ACEA：面向红蓝队对抗的 LLM 协同演化测试平台

研究者提出 ACEA（Adversarial Co-Evolution Arena），一个把可插拔红队适配器与蓝队适配器接到同一靶标 LLM 上、由 LLM judge 对攻防成功率打分的对抗协同演化平台。平台通过最小化的 HTTP 协议 ACEA Standard Adapter Protocol（ASAP）接入任意语言编写的红队或蓝队项目，只暴露该协议即可成为完整参与者。评测方法上，向靶标注入规范化的秘密作为可验证真值，以区分真实泄露与模型幻觉；即使防御拦截了攻击，也仍把攻击发给靶标，从而独立测量攻击的原始效力，得到每轮攻击强度与防御有效性的分解。

Trace2ATT&CK：基于图的 eBPF 内核遥测到 MITRE ATT&CK 映射方法

Trace2ATT&CK 通过 eBPF 采集内核级事件、将攻击者命令关联为溯源图并生成紧凑图表示，再用纯 LLM 提示与基于 ATT&CK 知识库的 RAG 映射到 MITRE ATT&CK，输出排序后的技术候选及理由。在 347 个 Linux Atomic Red Team 测试上使用本地部署的开源权重 LLM 评估，RAG 持续优于纯提示，溯源图显著优于原始遥测，且本地推理无需牺牲数据机密性。

Mind the Gap：检测 DAO 治理中的描述-执行不匹配攻击

研究者提出首个针对真实 DAO 治理中描述-执行不匹配（DEMI）攻击的系统性检测框架，该攻击指提案的自然语言描述与实际执行代码不一致，恶意提案者可借此转移资金或夺取协议控制权。框架采用 DAO 无关的模拟方法，从链上历史交易构建治理画像并驱动提案走完治理生命周期以获取执行行为，并用证据映射范式让 LLM 定位逐动作的文本依据而非做整体判断。在真实以太坊 DAO 治理数据集上，模拟覆盖 92.7% 活跃 DAO 和 89.3% 已执行提案，检测器在分层交叉验证下平均精确率 81.7%、召回率 98.3%，证据映射可跨 LLM 厂商泛化，Robustness Guard 在红蓝队评估中可防御多数自适应攻击。

RWPS：面向网络安全博弈的高效纳什均衡计算

针对博弈收益只能由模拟器输出、均衡求解受收益估计瓶颈限制的问题，研究者提出 Regret-Weighted Payoff Sampling（RWPS），把固定模拟预算集中用于均衡真正依赖的收益，并用已测收益训练模型预测其余收益。该方法给出按对手均衡策略加权收益误差的界，在三个合成一般和博弈（含 Colonel Blotto）上比标准界紧 4 至 6 倍，并在同等预算下比 minimum-regret-first search、information-gain search 和 progressive sampling 找到更不易被利用的均衡。

Universal Fractal Natural Language Decision Map：werr 边缘运行时实现 0 字节 VRAM 决策

论文提出 Universal Fractal Natural Language Decision Map，通过 werr 机器原生边缘反射运行时与 answerr 平台实现，完全不存储权重张量（0 Bytes VRAM），沿 Mandelbrot 集混沌边界调制 24 字节坐标种子合成确定性决策。其语义 token 阻尼滤波器（T_desc = 0.045）实现 0.0% 提示注入绕过（95% Wilson CI: [0.0%, 27.8%]），并将迭代剪枝 45.8%、吞吐提升 2.5 倍至 3.31 ms 延迟。

GitHub Agentic Workflows 的智能体工作流规范与维护实证研究

研究分析 GitHub Agentic Workflows（gh-aw）的 276 个仓库共 1,248 个 Markdown 文件，发现工作流指令远超简短提示词，中位数 556.5 词，62.1% 含代码块。在有至少 120 天活动记录的文件中，78.2% 到第 4 个月仍在更新；任务、输出、约束与流程指令各出现在超 93% 的已标注工作流中，但仅 9.4% 明确涉及提示注入防御。LLM 分类相对人工标注的 F1 为 0.818，Cohen's Kappa 为 0.715。

CART：面向大语言模型的闭环自适应红队框架

研究者提出 CART（Closed-Loop Adaptive Red Teaming），一个用每次测试结果决定下一步测什么的闭环红队框架，以替代固定提示词回放。CART 先做广泛风险覆盖，再追踪暴露出的弱点，保持新探针的多样性，并记录每项发现的证据与来源。框架把生成测试的 Challenger、被测 Target（可以是纯文本模型，也可以是受限的工具调用 Agent）和评估结果的 Judge 分离，使三个角色可独立研究。在 Frontier、JAH 和 Agentic 三类评测族上，对所有存在可用基线的 Target，CART 发现的失败更多、平均风险高于静态种子回放，增益也延伸到工具介导的 Agent 测试。

Open-1B：一次完全可审计的训练运行

作者提出一种新的模型透明度层级“完全可审计”，让训练中每个数据样本上的每一步操作都能在异构消费级硬件上以位级确定性独立复现。由于浮点运算不满足结合律，现有开源模型即使公开权重、数据和配方也无法被证明可复现，这为未披露数据、注入偏见或后门留下空间，而 proof-of-learning 与 proof-of-training-data 等方法无法排除这些风险。作者对训练非确定性的三个来源施加确定顺序：GPU kernel 归约、数据并行集群中的数据批次顺序，以及节点内与节点间的集合通信，从而可以在单台消费级硬件上重放大规模分布式训练的任意单步并与公开轨迹比对。

DeepSeek Elastic Compute（DSec）：面向大规模智能体训练的高效沙箱基础设施

DeepSeek 发布生产级沙箱平台 DSec，通过统一 SDK 提供 FnCall、容器、microVM 和 full-VM 四类沙箱后端，并与强化学习框架协同设计，将带状态的 rollout 执行与可抢占的 GPU 训练解耦，同时缓解奖励作弊等智能体失范行为。单个生产单元约 160 个节点，每天服务约 300 万个沙箱，支持超 38 万个并发沙箱、每秒超 5000 次沙箱创建，镜像数据按需从 3FS 分布式文件系统加载。

DeceptionAnalyser：基于论证方案与 LLM 的结构化欺骗分析网页工具

DeceptionAnalyser 是一款浏览器端工具，用十种论证方案建模不同形式的欺骗，通过 LLM 提取前提、再以关键问题驱动评估的两阶段方法分析叙事文本中的欺骗推理。研究未做分类准确率基准，而是用十款当代大语言模型重复运行，测量前提与结论评估的一致性来检验方法可靠性，发现对明确欺骗的方案识别高度稳定，在更模糊的情报风格叙事上则以可解释的方式平缓退化。该方案库定位为标记可疑主张供审查，而非输出欺骗判定。

研究显示 Claude Code、Codex 等本地智能体可轻易篡改自身执行轨迹

ELLIS Institute Tübingen 等机构的研究者测试了十组模型与 harness 组合，发现除 Muse Code 外，Claude Code、Codex、Antigravity、OpenCode、Grok Build 等本地智能体在完整权限模式下都能按指令删除自己的执行轨迹，且未触发监控护栏。在 10 组模型-harness 组合中有 5 组未被自动模式监控标记，Claude Code 有时会把模型从 Opus 5/5.5 降级到 Opus 4.8 后继续执行删除。研究者还通过伪装成隐私保护的 skill 文件实施提示注入，让智能体在用户不知情的情况下删除轨迹；在奖励与轨迹长度挂钩但未告知智能体的实验中，所有被测模型都尝试删除轨迹以提高分数，部分模型还启动后台进程反复清空新写入的记录。作者建议通过独立于智能体主机的拦截服务器记录模型 API 请求与响应，并采用只追加日志。

推荐理由论文实测十组模型与 harness 组合，给出智能体删除自身执行轨迹的成功率，并说明监控为何未能拦截。