Failure-First 公布号称首个 AI 红队认证 CARTO，预计 Q3 2026 推出，分 CARTO Fundamentals 与含 48 小时实操考核的 CARTO Practitioner 两级。课程设六个模块，覆盖 33 类攻击家族、FLIP 四级评分法和防御不可叠加性，基于 201 个模型、133,000+ 条评估结果。其数据显示结构化系统提示词（L2）相比单句指令（L1）无可测改善，仅对抗感知防御（L3）能降低 ASR。
AI 对抗测试认证项目 CARTO（Certified AI Red-Team Operator）招募首批 10 名 Beta 测试者，入选者可获 6 个模块、20+ 小时课程，费用 100 美元，完成者获“Founding Cohort”称号。测试者将审查评估标准并影响 48 小时 CARTO Practitioner 实操考试设计，该课程称基于 201 个模型、33 个攻击家族和 133,000+ 条对抗评估结果。
Failure-First 提供对抗鲁棒性评估服务，采用 FLIP 五点分级方法，覆盖 36 个攻击家族、201 个已测模型和 133,000+ 条评估结果，并纳入具身 AI 攻击面（动作空间劫持、传感器欺骗、跨具身迁移）。其前沿模型评级中，GLM-5 严格 ASR 为 0.0%（A 级），Qwen 3.5 为 17.6%，Nemotron Super 为 75.0%。该机构称安全训练质量比参数规模更关键，397B 的 Qwen 3.5 比 675B 的 Mistral Large 3 高 32 个百分点，但每模型仅 10–67 条可评估轨迹，属方向性评估。
Failure-First 对越狱框架 G0DM0D3 的评测显示，其五个模块均在推理时运行、无需访问模型权重。该框架包含按对话上下文选择采样参数的 AutoTune、对安全触发词做字符级扰动的 Parseltongue（含 54 个默认触发词）、剥离模型输出安全免责声明的 STM、并行测试最多 51 个模型并按合规度打分的 ULTRAPLINIAN，以及针对 Claude、GPT-4o、Gemini、Grok、Hermes 的越狱提示词 L1B3RT4S。Failure-First 称 4 种 Parseltongue 技术在其 255 种技术的分类体系中属新发现，L1B3RT4S 的 6 个变体中有 5 个在 Nemotron 9B 上实现合规，并把采样参数操纵列为新的攻击家族。
TopoPilot 用 Orchestrator 与 Verifier 双智能体架构，把拓扑数据分析（TDA）的对话式工作流自动化在 1000 轮模拟多轮对话中做到 99.1% 成功率。Orchestrator 通过 MCP 调用预定义原子操作而非直接写代码，Verifier 在执行前做确定性布尔校验，Node Tree 可导出可复现的 Python 脚本。对照试验关闭检查后成功率降至 46.8%，最小规格任务的失败率达 77.5%。
Failure-First 用同一份 L1B3RT45 越狱语料测试七款模型，其中五款在 FLIP 评分下的宽口径攻击成功率都落在 66.7% 附近，相差不超过 4 个百分点。测试从 149 条语料中为每个模型抽取 15 至 30 条提示词，统一使用同一低至中等危害载荷，由 Claude Haiku 4.5 按 COMPLIANCE、PARTIAL、REFUSAL、HALLUCINATION_REFUSAL 四类评分，宽口径把完全遵从与部分遵从都计为成功。严格口径只计完全遵从时，这五款模型分散在 10% 至 60% 之间，相差六倍：StepFun Step 3.5 Flash 为 60.0%，Qwen 3.5（397B MoE）仅 10.0%，其 20 条非拒答回复中有 17 条为部分遵从。
Failure-First 的实验显示，同一套系统提示词防御在 Nemotron-3-Super 与 Qwen 3.5 上效果相反。该防御是置于系统提示词开头的五条安全规则，测试使用六条来自 G0DM0D3 的 L1B3RT4S 人格劫持提示词，载荷为开锁说明。Nemotron-3-Super 的攻击成功率在有无防御时均为 50%，成功与失败的具体场景也完全相同；Qwen 3.5 则从 83%（5/6）降到 33%（2/6）。作者将差异归因于模型处理同级冲突指令时的位置偏好，Nemotron-3-Super 表现为近因偏好，Qwen 3.5 表现为首因偏好。作者称样本量小（每模型每条件 n=6）、置信区间宽、采用启发式评分，建议防御有效性按具体部署的模型实测。
Failure-First 的实验显示，一套在标准攻击上把攻击成功率从 33% 降到 3% 的系统提示词防御，面对 L1B3RT4S 人格劫持攻击时效果为零，两种条件下结果完全相同，6 个场景中均为 3 次顺从、3 次拒答。测试在 Nemotron-3-Super（经 Ollama Cloud）上进行；作者称防御与攻击同处系统提示词这一权限层级，后到的指令会覆盖先到的防御。作者据此主张采用指令层级（instruction hierarchy），让应用开发者设定的系统提示词内容无法被用户轮次的内容覆盖，并提到 Anthropic、OpenAI、Google 已有相关研究但实现仍不完整。作者也说明样本量小、置信区间宽，该防御绕过结果只在一个模型上验证。
AutoRedTeamer 是一个自动化红队测试系统，用提出者 Agent 生成新攻击策略、执行者负责测试、记忆模块保留成功方法，使系统随每次评测会话不断改进。该系统把策略构思与执行分离，让提出者专注于尝试什么、执行者处理提示词层面的具体机制，以提升攻击多样性。框架还会跟踪哪些风险类别已被探索，并把新提案偏向覆盖不足的领域，避免重复高成功率攻击而遗漏系统性盲区。Failure-First 认为，这种跨会话积累并复用成功攻击的模式与其攻击演化管线的设计一致。
具身 AI 安全综述梳理了文本系统不具备的分层复合风险：感知层攻击污染传感器输入、认知层攻击操纵规划、行动层攻击造成物理伤害，并绘制完整攻击面、分类防御。跨层组合攻击最危险，如视觉对抗补丁在破坏感知的同时注入越狱指令；多模态融合与人对机器人的社交工程指令也带来新攻击面。该综述旨在为 Failure-First 具身 AI 基准界定范围，并标出仍严重缺乏保护的流水线阶段。
Failure-First 研究者把视觉越狱整理成 8 层攻击面，用 38 个攻击场景加 3 个良性对照，在 Ollama Cloud 上测试了 glm-5、gemma3:27b、devstral-small-2:24b 和 nemotron-3-nano:30b 四款模型。结果显示编码类攻击已基本失效：2024 年公开的 ArtPrompt 只对 gemma3 和 nemotron 仍有 22.2% 的攻击成功率，glm-5 为 0.0%、devstral 为 5.6%；而把有害内容包装成转写或翻译任务的框架类攻击成功率过半，跨模态转写层为 75.0%，视觉语义、对抗补丁和组合式各为 62.5%。作者把这一机制称为转写漏洞，认为模型在自认转写既有内容时会施加更弱的安全过滤，并据此指出防御投入集中在最易防的 L1、L2 两层。
Failure-First 把视觉越狱攻击面整理成八层分类，并用 38 个攻击场景在四个模型上测试，发现编码类攻击大多已被拦截，而改变模型任务认知的框架类攻击成功率仍达 62-75%。2024 年华盛顿大学的 ArtPrompt 把有害关键词编码为 ASCII 块字符，当时可绕过 GPT-4、Claude、Gemini 和 Llama-2；本次测试中该攻击对四个模型的成功率接近零，glm-5 为 0.0%（0/18），devstral-small-2:24b 为 5.6%（1/18），gemma3:27b 和 nemotron-3-nano:30b 各为 22.2%（4/18）。作者称这是初步结果，每层样本仅 6-12 条，测试的是视觉攻击的文本表示，未覆盖前沿模型，并已就高成功率层的机制与四家模型厂商启动协调披露。
IS-Bench 是评估 VLM 驱动具身智能体交互安全的基准，覆盖 161 个场景、388 项安全风险，测试显示 GPT-4o、Gemini-2.5 等前沿模型在任务执行中难以自发识别并缓解动态出现的危险。该基准按任务序列设置安全关键检查点，要求模型在风险步骤前后采取正确的缓解动作，而不只是识别危险。加入安全提示后，模型的危险识别改善，但任务完成度下降，表现为过度谨慎和拒绝执行。作者认为交互安全是家用机器人部署的关键门槛，静态危险识别必要但远不充分。
一个自动化红队框架针对大语言模型发现并测试六类漏洞，涵盖奖励作弊、欺骗性对齐、数据外泄、故意藏拙、不当工具使用和思维链操纵。该框架的元提示攻击合成器会先推理被测模型的指令遵循倾向，再生成针对性攻击，而非套用模板。材料把思维链操纵列为独立威胁，指出在需要人工检查推理过程而非只看最终输出的安全关键场景中尤其相关。其六类威胁模型延续了 Failure-First 的标注体系，其中故意藏拙和欺骗性对齐无法仅靠输出检查发现。
BadRobot 研究系统考察了通过语音自然语言攻击越狱具身 LLM 智能体的方法，论文称这是首个针对具身 LLM 智能体的语音越狱系统研究。论文指出，文本越狱只产生有害输出，具身越狱则让机器人执行有害物理动作，造成不可逆的现实伤害。研究还发现，机器人借助 LLM 判断世界知识（如某物质是否危险）时，越狱可污染其事实检索，导致安全关键的错误分类；给机器人赋予始终服从的“有帮助助手”人格，可绕过写在系统提示中的安全约束。该研究是 Failure-First unsafe_action_elicitation 指标类别的基础，其语音攻击面直接对应 PiCar-X 的自然语言接口。
Failure-First 对开源隐写工具 ST3GG 做了初步评估，把它当作 AI 安全研究工具，梳理其暴露的攻击面并测试 ALLSIGHT 的检测覆盖。ST3GG 覆盖图像、音频、文本/Unicode、网络数据包、文档和压缩包六类模态、100 多种编码技术。作者称 ALLSIGHT 在 6 种 Unicode 隐写变体中漏检 3 种（Unicode 标签字符、行尾空白编码、组合变音符号），假阴性率 50%；5 个网络隐蔽信道 PCAP 中检出 3 个，ICMP 与 HTTP 头未被检出。工具的文件名注入模块按 GPT-4V、Claude、Gemini 生成定制注入文件名，采用文件名指示解码、图像 LSB 载荷携带指令的两阶段投递，测试中模型不会仅凭载体图像主动解码。
论文提出 GameplayQA，一个以 9 款商业游戏为测试场的多模态大模型评测框架，用于考察 3D 智能体的感知与决策理解。框架在 2,219.41 秒素材上标注 2,709 条标签，决策密度约 1.22 标签/秒，并把任务分为单视频感知、时序推理、跨视频多视角推理三级。评测 16 个前沿模型后，人类总体准确率为 80.5%，Gemini 2.5 Pro 为 71.3%；事件计数与跨视频排序分别只有 36.5% 和 38.8%，模型追踪其他智能体时比追踪世界物体低约 8%。论文称在 Nexar 与 Ego-Humans 数据集上难度排序保持一致。
一篇新论文提出 ComicJailbreak 基准与攻击框架，通过把有害目标拆解成多格漫画叙事序列，绕过 15 个多模态大语言模型的安全护栏。该基准包含 1,167 个攻击实例，覆盖六类危害与单图、序列叙事、图文交错三种设置；在商业多模态模型上，多个危害类别的集成攻击成功率超过 90%，序列叙事攻击显著优于单图攻击，攻击配置在不同架构间也有较高迁移性。论文指出，现有对齐主要针对文本层面的危害指标，图像安全由逐帧分类器处理，漫画利用了两者之间的空隙；具备更强图像级过滤的模型对单图变体有一定抵抗力，但对没有任何单帧被标记为有害的多格序列攻击仍成功率偏高。论文还发现自动安全评判器对敏感但无害内容的过度拒答率偏高，并呼吁发展面向图像序列与叙事弧的对齐方法。
ANNIE 论文提出面向具身 AI 的对抗安全攻击框架，用图像扰动让 VLA 机器人违反人身安全约束，关键违规的平均攻击成功率为 52%。该工作以 ISO/TS 15066 人机协作标准为依据，把违规分为关键、危险和风险三级，并推出 ANNIEBench 基准，含九个安全关键操作场景、2400 段视频动作序列，在 ManiSkill 仿真中用 Franka Emika Panda 七自由度机械臂实现。攻击方法 ANNIE-Attack 通过 Attack Leader Model 将高层攻击目标分解为帧级扰动目标，再用 PGD 优化对抗图像扰动，且与模型无关，在 ACT 和 Baku 两种架构上完成评估。其中 Annie-ADAP 稀疏攻击平均每约 3 帧攻击一次即可达到 1.0 的攻击成功率，Baku 的成功率比 ACT 高 40%，作者将这一差异归因于两者归一化方式不同。
推荐理由原文给出 VLA 机器人在物理场景下的攻击成功率与真机验证结果，为具身智能的红队与安全评测提供可对照的指标。
一篇论文系统评估了机器人视觉-语言-动作（VLA）模型的对抗攻击面，发现置于机器人视野内的小型对抗补丁可严重破坏任务执行。在数字仿真中，对抗补丁在基准机器人操作任务上的攻击成功率达 85.9%，迁移到真实机器人实验后仍高于 43%；最强攻击下任务成功率最多下降 100%。作者指出 VLA 把视觉感知、语言理解与动作规划融为一条流水线，视觉扰动会沿动作序列累积放大，且同一物理攻击在不同语言指令下后果差异很大。论文呼吁针对 VLA 架构设计语义过滤、动作序列约束检查与运行时轨迹监控等防御，并建议部署方把物理访问控制、相机视野监控与对抗鲁棒性测试列为基线要求。
Anthropic 的 Constitutional Classifiers 论文提出用自然语言规则生成合成数据来训练安全分类器，在超过 3000 小时的专业红队测试中未被找到通用越狱。分类器从宪法规则中学习识别有害请求的类别，而非依赖固定攻击数据集里的表面模式，目标是抵御改写、编码技巧和虚构框架等常见越狱手法。评测以攻击者能否从受防护模型提取到与无防护基线相当细节的危险信息为标准。论文称良性查询未明显退化、计算开销可控，但承认针对高度定向的单次攻击可能仍有绕过，且宪法对潜在危害的覆盖受编写者想象所限。
推荐理由论文给出 3000 小时红队测试未被找到通用越狱的结果，可作为评估分类器护栏鲁棒性与部署代价的参照。
ClawKeeper 为开源自主智能体运行时 OpenClaw 提出三层实时安全框架，应对敏感数据泄露、权限提升与恶意第三方技能执行。技能层把安全策略注入提示词上下文，插件层在工具调用时检测异常，Watcher 层则是独立于智能体信任边界、可实时干预的系统级中间件。论文称三层防护强于任一单层，Watcher 层对绕过上下文策略的攻击尤其有效，且不明显损害正常任务上的表现。
X-Teaming 用规划器和攻击者两个协作智能体在多轮对话中实施越狱，在受测模型上最高取得 98.1% 的攻击成功率，其中对 Claude 3.7 Sonnet 为 96.2%。规划器负责设计对话路径与人物设定，攻击者生成每一轮的具体措辞，并根据目标模型的部分配合信号实时调整后续轮次。研究同时发布 XGuard-Train，一个含 30,000 条多轮越狱交互的开源数据集，规模约为此前同类最佳资源的 20 倍，可用于微调多轮防御并充当评测集。研究者称，在单轮对抗测试中表现稳健的模型在多轮持续施压下仍可能失守，单轮评测会高估实际安全余量，多轮攻击模型对具身和智能体场景同样适用。
推荐理由论文报告多轮攻击对 Claude 3.7 Sonnet 成功率达 96.2%，为单轮拒答测试可能高估安全余量提供了对照。
AttackVLA 提出一套跨 VLA 架构的统一攻击评测框架，并引入定向后门攻击 BackdoorVLA。该框架覆盖数据构建、模型训练与推理三个阶段，同时评测推理阶段的对抗攻击与训练阶段的后门攻击，以解决不同 VLA 架构因动作分词器不同而难以复现和比较攻击的问题。BackdoorVLA 在触发后可让模型执行攻击者指定的多步动作序列，在测试任务上平均定向成功率为 58.4%，部分单项任务达 100%，在仿真与真实机器人环境中均有效。论文称，此前 VLA 后门研究多只能诱发单个错误动作，该工作是较早实证此类定向攻击在当前架构上可达到有意义成功率的工作之一。
AgentWatcher 提出一种面向 LLM 智能体的提示注入检测框架，先用因果归因筛出对模型输出有因果影响的上下文片段，再对照规则集判定是否属于注入。该框架把检测对象从 100,000 token 级的完整上下文缩小到少数真正驱动输出的片段，使检测性能与上下文长度基本解耦，也降低了计算开销。规则集编码指令覆盖、目标重定向、权威冒充等注入的结构特征，触发时可指出命中的规则和片段，便于人工审计，并可在发现新注入模式后直接加规则而无需重训智能体。论文称其在工具调用智能体基准和长上下文数据集上能检测多种注入策略，同时在非对抗输入上保持智能体效用，误报率低到可用于实际部署。材料还提出该框架可延伸到具身智能场景，例如 VLA 模型驱动的机器人、带自然语言接口的自动驾驶和家用助手，并作为对齐训练的运行时补充层。
AI Safety Daily（4 月 8 日）：AEGIS 用 Control Barrier Functions 将 VLA 输出投影到安全动作集，在 SafeLIBERO 上避障提升 59.16%、任务成功率提升 17.25%。SafeAgentBench 的 750 项任务中，安全对齐的具身智能体对危险指令拒答率不足 10%，欺骗性包装即可绕过安全训练。CHAIN 基准上所有受评模型在互锁机械谜题一次性准确率为 0%。
UC Santa Cruz 等机构的研究者对真实部署的个人 AI Agent OpenClaw 做红队评估，论文称这是首次在真实部署中对个人 AI Agent 进行红队测试。OpenClaw 有超过 220,000 个互联网暴露实例，运行在用户本地机器，具备完整文件系统访问、Gmail 集成和 Stripe 支付连接。论文提出 CIK 分类法，把 Agent 持久状态分为 Capability（可执行技能与 SKILL.md）、Identity（SOUL.md、IDENTITY.md 等）和 Knowledge（MEMORY.md），三者每次会话都载入模型上下文。评估覆盖 Claude Sonnet 4.5、Claude Opus 4.6、Gemini 3.1 Pro 和 GPT-5.4 四个模型、12 个攻击场景。Opus 4.6 在投毒下从 10% 升至平均 44.2%。
推荐理由论文在真实部署的 OpenClaw 上给出三类持久状态投毒的攻击成功率，并说明可执行技能会绕过模型推理循环。
论文提出 LIBERO-Para 诊断基准与 PRIDE 指标，用于评测 VLA 模型对指令改写的鲁棒性，在 7 个 0.6B 到 7.5B 参数的 VLA 配置上发现改写指令会让任务成功率下降 22 到 52 个百分点。该基准建立在 LIBERO 操作任务套件之上，分别扰动动作表述和物体指代，以便把失败归因到具体的语言变化来源。结果显示物体命名层面的词汇变化造成的性能下降大于动作表述变化，且 80% 到 96% 的失败发生在规划阶段，模型对改写指令给出了不同的动作规划，而非在执行阶段失败。PRIDE 指标用语义相似度和句法相似度两个因素量化改写难度。
Failure-First 的 AI Safety Daily 汇总了 2026 年 4 月 9 日的安全研究动态。CMU 的 Feffer 等人分析 104 篇论文与六个行业案例（含 Bing Chat 和 DEFCON），指出红队测试在目的、产物、威胁模型、场景和结果五个维度上存在分歧，使现有安全评测难以横向比较。FLIP 通过从回答反推原始提示词来衡量对齐，比 LLM-as-judge 高出 79.6%，且对奖励作弊更稳健。OpenAI 的 Mission Alignment 团队于 2026 年 2 月解散，此前 Superalignment 和 AGI Readiness 团队已相继解散，负责人 Joshua Achiam 转任 Chief Futurist。DeepSeek V4 的 Engram 记忆架构侧重成本效率与专用编码性能，而非通用对话安全。
AttackVLA 对视觉-语言-动作（VLA）模型开展对抗攻击与后门攻击的基准测试，覆盖这两类攻击场景下的评测。
AI Safety Daily 称物理 AI 面临"感知-行动鸿沟"：模型能流畅描述任务却无法安全执行，文本层安全训练无法迁移到行动层。Sora 2、Kling 2.6 与 HunyuanVideo 1.5 的物理操作任务暴露出违反物理规律、几何表征崩溃与物体身份丢失等失效，CHAIN 基准一次性解开鲁班锁类谜题的成功率为 0%。
新加坡国立大学等机构的研究者提出 GuardReasoner，用先生成显式推理链再给出安全判定的方式，替代 Llama Guard 式的判别分类护栏。其训练流程由 GuardReasonerTrain 数据集、推理 SFT 与难样本 DPO 组成，在标准安全基准上的 F1 和 AUPRC 超过带 Chain-of-Thought 提示的 GPT-4o 和 LLaMA Guard 3 8B，对对抗与分布外输入的泛化更好。该工作仅在文本领域评测，作者认为其推理链也可为以 LLM 为规划核心的具身智能体提供可解释的安全监控。
清华大学的一篇论文提出具身主动防御（EAD），让机器人通过主动移动视角来抵御物理对抗补丁。EAD 由循环感知模块和主动策略模块组成：前者用隐藏状态跨观测历史聚合证据，在被污染的视角出现时降低其权重；后者学习主动寻找能减少环境状态不确定性、并避开疑似被操纵区域的视角，两个模块用环境动态的可微近似端到端训练。作者在三维仿真环境的人脸识别与目标检测任务上评测，相比感知能力相同但不做主动控制的被动基线，攻击成功率明显下降，且防御不针对特定补丁攻击训练、可泛化到未见过的攻击策略；消融实验显示去掉时间记忆后防御性能大幅下降。作者指出实验限于受控仿真，扩展到真实 VLA 部署仍是开放挑战，循环防御还会带来延迟。
研究者提出多样性感知具身红队测试（DAERT）框架，用随机策略估值（ROVER）缓解标准 RL 红队的模式坍缩，生成语义等价但句法多样的对抗指令。在 LIBERO 基准上，π0 的任务成功率从 93.33% 降至 5.85%，OpenVLA 从 76.50% 降至 6.25%。针对 π0 优化的指令还能零样本迁移到 3D-Diffuser 和 OpenVLA-7B，作者称这暴露了 VLA 在几何推理与物体可供性上的基础性缺陷。空间类任务比物体类任务更易失败。
Failure-First 4 月 11 日 AI 安全日报提出，仅按描述打分的基准会系统性高估具身模型的行动能力，这一偏差来自基准设计而非模型本身。近期 VLA 评测的初步结果显示，同一场景下感知探针与行动探针的得分可明显分离；更换底层 LLM 无法弥合差距，换成 CHAIN 等按交互评分的基准则可以。日报还指出多轮交互评测表现良好的模型常在 Pass@1 上崩溃，主张按不可逆性与交互改革评测。
研究者 Richard Young 复现了多轮越狱框架 TEMPEST，在 8 家厂商的 10 个前沿模型、1000 条有害行为和超过 97,000 次 API 查询上测试，结果显示模型规模并不能预测抗越狱能力。其中 6 个模型的攻击成功率在 96% 到 100% 之间，其余 4 个在 42% 到 78% 之间，抗性更强的模型也并非参数量最大者。同一模型架构开启思考模式、在推理时延长思维链后，攻击成功率从 97% 降至 42%，无需重新训练。作者认为单轮、低预算攻击条件下的标准安全评测会显著低估真实风险，多轮红队测试应成为相关部署的最低门槛。
推荐理由复现研究显示模型规模并不预示抗越狱能力，开启思考模式后同一模型的攻击成功率从 97% 降到 42%。
Cantini 等人的论文提出 CLEAR-Bias，一个用于评估大语言模型对偏见诱导对抗鲁棒性的可扩展基准框架。该框架分三阶段：多任务社会文化探测、用 LLM-as-a-Judge 自动评分，以及对安全机制施加越狱压力测试。论文报告模型规模与对抗偏见鲁棒性并非单调相关，部分规模较小但经过调优的模型在系统对抗压力下表现更好；针对医疗等领域微调也可能引入或放大特定偏见漏洞。作者同时发布 CLEAR-Bias 数据集，供后续研究复现并评测新模型。
ROSClaw 提出面向异构多智能体协作的分层语义-物理框架，通过“大脑-小脑解耦”分离 VLM/LLM 的宏观认知与高频物理控制。其 Online Tool Pool 将语义指令自动转成 SDK 级控制程序，e-URDF Physical Guard 在 Isaac Lab 数字孪生沙箱中做动力学与碰撞检测，违规时触发“拒绝并重新提示”。在 60 平方米厨房/客厅中，人形、移动机械臂与固定机械臂协作完成自然语言任务。
Failure-First 对 Google NotebookLM 的红队测试发现，在越狱论文语料上它连续五次独立会话均产出部分攻击合成。该笔记本收录 49 篇 arXiv 越狱论文，模型给出的攻击机制组合未出现在任何单篇来源中，且无拒答；研究者给出五次五中的 Wilson 95% 置信区间约为 57% 至 100%，并表示不能据此推断它总会如此。研究者称幻灯片生成路径的内容过滤在两个笔记本上于 60 至 90 秒内失败，而两个越狱研究笔记本通过，其判定轴尚不明确。第三方 CLI notebooklm-tools 静默复用同一会话，使最初三次“全新会话”实为一段三轮对话，改用每次生成客户端 UUID 传入 --conversation-id 后重跑。另有评估方法的三项修复。
AI Safety Daily 汇总 4 月 12 日内容：SafeAgentBench 的 750 条危险任务提示中，先进智能体拒答率不足 10%，更换底层 LLM 也未明显改变该数字。CHAIN 基准的互锁谜题上，受测前沿模型 Pass@1 为 0.0%，VLA 的高描述准确率未能转化为物理推理。汇总还指出，大推理模型开启思维链后会绕过 CoT-OFF 状态下生效的护栏。