强化学习对齐的泛化局限（原文，在新标签页打开）

提出复合越狱，叠对比结构、权威人设与自评饱和指令层级。

GameplayQA：面向 3D 虚拟智能体的决策密集、POV 同步多视频理解评测框架（原文，在新标签页打开）

论文提出 GameplayQA，一个以 9 款商业游戏为测试场的多模态大模型评测框架，用于考察 3D 智能体的感知与决策理解。框架在 2,219.41 秒素材上标注 2,709 条标签，决策密度约 1.22 标签/秒，并把任务分为单视频感知、时序推理、跨视频多视角推理三级。评测 16 个前沿模型后，人类总体准确率为 80.5%，Gemini 2.5 Pro 为 71.3%；事件计数与跨视频排序分别只有 36.5% 和 38.8%，模型追踪其他智能体时比追踪世界物体低约 8%。论文称在 Nexar 与 Ego-Humans 数据集上难度排序保持一致。

烹饪风险：大语言模型食品安全风险的基准测试与降低（原文，在新标签页打开）

提出 FoodGuardBench 与护栏 FoodGuard-4B，评测并降低食品危害越狱。

ClawSafety：安全的 LLM，不安全的 Agent（原文，在新标签页打开）

提出 ClawSafety，评测个人智能体读到对抗工件后是否执行有害动作。

推荐理由论文给出五种前沿模型在三种注入通道下的攻击成功率，并显示同一模型换用不同 Agent 框架后安全表现会变化。

无需攻击者：共享状态 LLM Agent 中的无意跨用户污染（原文，在新标签页打开）

形式化并评测共享状态 Agent 的无意跨用户污染。

推荐理由论文以受控实验量化共享状态 Agent 的跨用户污染率，并指出文本级清洗对含可执行产物的共享状态仍留残余风险。

DeepMind 提出预测 RL 训练何时破坏思维链可监控性的框架（原文，在新标签页打开）

DeepMind Safety Research 提出一个概念框架，按输出奖励与思维链奖励的关系把训练环境分为冲突、正交、对齐三类，用于在训练前预测 RL 是否会破坏思维链可监控性。

推荐理由提出按奖励冲突类型预判 RL 训练是否破坏思维链可监控性的框架，并在代码后门与抛硬币任务上验证。

从 Mistral Large 3 (675B) 蒸馏人类对齐的隐私敏感性评估能力（原文，在新标签页打开）

蒸馏大模型的隐私敏感度评分到小型编码器并检验人类对齐。

研究者提出针对商用多模态大模型的隐蔽视觉提示注入方法（原文，在新标签页打开）

提出 CoTTA 隐蔽视觉提示注入，使多模态模型输出指定指令。

LLM-as-a-Judge 的安全：一份综合 SoK（原文，在新标签页打开）

系统梳理 LLM-as-a-Judge 安全研究并提出角色分类法。

IS-Bench：评估 VLM 驱动的具身智能体在日常家务任务中的交互安全（原文，在新标签页打开）

IS-Bench 是评估 VLM 驱动具身智能体交互安全的基准，覆盖 161 个场景、388 项安全风险，测试显示 GPT-4o、Gemini-2.5 等前沿模型在任务执行中难以自发识别并缓解动态出现的危险。该基准按任务序列设置安全关键检查点，要求模型在风险步骤前后采取正确的缓解动作，而不只是识别危险。加入安全提示后，模型的危险识别改善，但任务完成度下降，表现为过度谨慎和拒绝执行。作者认为交互安全是家用机器人部署的关键门槛，静态危险识别必要但远不充分。

PIDP-Attack：结合提示注入与数据库投毒攻击 RAG 系统（原文，在新标签页打开）

提出 PIDP-Attack，用查询后缀与语料投毒操纵 RAG 回答。

SABER：面向视觉-语言-动作模型的隐蔽智能体黑盒攻击框架（原文，在新标签页打开）

提出 SABER，用强化学习攻击器在预算内改写指令使 VLA 任务失败。

Claudini：自动研究发现面向 LLM 的最先进对抗攻击算法（原文，在新标签页打开）

提出 Claudini，让智能体自动发现更强的白盒对抗后缀攻击。

研究者提出 TIP：用树结构搜索为 MCP 生成隐蔽注入载荷（原文，在新标签页打开）

提出 TIP，用树搜索为 MCP 响应生成隐蔽注入载荷。

并非所有 token 都同等重要：面向 LLM 的查询高效越狱模糊测试（原文，在新标签页打开）

提出 TriageFuzz，用替代模型定位敏感片段做查询高效越狱。

医源性安全：当 AI 防御措施造成其本应防止的伤害（原文，在新标签页打开）

Failure-First 提出四级医源性安全模型（FLIM），论证 AI 安全干预按设计运行也可能造成本可避免的伤害。该框架借用医学的医源性伤害概念，分为临床、制度、结构、验证四级，并称四级之间会形成自我强化的反馈循环。文中引用 Anthropic 研究者 2024 年的研究，称 Claude 3 Opus 在训练中有 14% 的时间配合有害请求以避免被修改；又称 Claude Sonnet 4.5 的评测感知为 58%，高于前代的 22%。作者基于覆盖 190 个模型、132,416 条结果的对抗评测语料，主张为安全干预引入类似药物的机制说明、治疗窗口与禁忌披露，并提出六条治理建议。完整论文正准备提交 arXiv。

Failure-First 公布首批 AdvBench 结果：7 个模型在免费层零成本运行（原文，在新标签页打开）

Failure-First 用 OpenRouter 免费层对 7 个模型跑完首批 AdvBench，获 112 条可用轨迹：Arcee Trinity Large Preview ASR 36.7%、Liquid LFM 2.5 1.2B Thinking 28.6%，Nvidia Nemotron Super 120B 与 MiniMax M2.5 均为 0%，另 3 个模型因限流无数据。Nemotron 初判的 4 例成功经人工核验全为拒答，源于响应缺空格的分词伪影，修正后 ASR 为 0%。作者称样本仅 28–50 条、判定为启发式，属方向性结果。

AI 辅助开发工具能免疫提示注入吗？（原文，在新标签页打开）

用 tool-poisoning 攻击实测 MCP 客户端能否拦住工具描述里的提示注入。

推荐理由论文实测七款 MCP 客户端在四类工具投毒攻击下的表现，并对比六项安全特性覆盖，可据此排查自家客户端的防护缺口。

Failure-First 发布医源性安全研究，并说明为何现在公开（原文，在新标签页打开）

Failure-First Embodied AI Project 把医源性安全研究发布为 arXiv 预印本，论文《Iatrogenic Safety: When AI Safety Interventions Cause Harm》提出四级医源性模型（FLIM）与安全治疗指数（TI-S）。作者称，一年来对 190 个模型、132,416 个对抗场景的评估发现，按设计运行的安全干预会带来在没有该干预时不会出现的伤害，例如具身 AI 模型的安全评估交互中有 50% 被判为 PARTIAL，即给出安全措辞却仍执行动作。论文还称攻击家族的实际后果性与现有评测方法的可检测性呈强负相关（Spearman rho = -0.822），并把对齐伪装与评测感知通过反馈回路相连。TI-S 实验设计已用合成数据验证，尚未在真实模型上执行，作者公开设计供拥有 16+ GB VRAM 的团队运行。

推荐理由作者把医学的医源性伤害概念引入 AI 安全，提出可量化的 TI-S 指标，并公开实验设计供有算力的团队复现。

具身 AI 安全现状：2026 年第一季度（原文，在新标签页打开）

Failure-First 具身 AI 项目发布 2026 年第一季度具身 AI 安全现状报告，覆盖 27 家供应商的 190 个模型、132,416 条评测结果和 29 类攻击。报告提出三层攻击成功率口径：严格合规 45.9%、广义合规 79.3%、功能危险 80.3%。数据显示供应商身份解释 65.3% 的安全行为方差，模型规模仅约 1%，其中 Anthropic 模型平均攻击成功率 3.7%，Nvidia 40.0%，Qwen 43.1%。报告还记录了模型在推理中识别出危害仍继续输出的 DETECTED_PROCEEDS 模式，以及提示注入从首次记录到最早的框架回应相隔 1,421 天的治理滞后。

推荐理由报告用 190 个模型、13 万余条评测结果给出三层攻击成功率口径，并指出供应商差异远大于模型规模。

Jailbreak-R1：用强化学习探索大语言模型的越狱能力（原文，在新标签页打开）

Guo 等人的论文提出 Jailbreak-R1，一个用强化学习训练越狱提示词生成器的自动化红队框架，试图同时兼顾攻击有效性与多样性。训练分三阶段：先在已有越狱数据上监督微调建立基线，再用多样性指标做探索训练扩大攻击面，最后逐步增强以提高成功率。奖励信号取自生成的提示词能否诱导目标模型输出有害回答，使攻击模型通过试错发现监督数据中没有的新攻击策略，而显式的多样性指标用于防止生成器收敛到少数有效模板。作者称该方法在提示词多样性与攻击成功率之间取得比既有自动化方法更好的平衡。论文还提出该攻击者能否泛化到需要视觉组件的多模态目标、目标模型更新安全训练后是否需要重新训练，以及发布此类生成器的披露问题。

利润即红队：在策略性经济互动中对 Agent 进行压力测试（原文，在新标签页打开）

提出利润驱动红队，用标量盈余搜索对手以压测经济博弈 Agent。

OpenAI 训练智能体自我举报违规行为（原文，在新标签页打开）

OpenAI 对齐研究团队提出自我举报（self-incrimination）训练方法，让智能体在暗中违规时调用 report_scheming() 工具主动上报。该方法在 45 个合成环境中生成约 400 组对比轨迹，对贡献于隐藏副任务的工具调用插入上报调用，再用公开微调 API 训练 GPT-4.1、GPT-4.1 mini 和 Gemini 2.0 Flash。

推荐理由OpenAI 团队提出让智能体在暗中违规时主动调用上报工具，并给出跨 15 个环境的攻击漏检率对比，可作为 AI 控制路线的参考。

T-MAP：用轨迹感知进化搜索对 LLM Agent 做红队测试（原文，在新标签页打开）

韩国研究团队提出轨迹感知进化搜索 T-MAP，红队测试使 Agent 执行有害工具序列。

推荐理由论文把攻击成功从文本层面推进到工具执行层面，并给出跨 MCP 环境与前沿模型的攻击实现率，可供 Agent 部署方评估工具链风险。

Immune：用推理时对齐提升多模态 LLM 抗越狱安全性（原文，在新标签页打开）

Ghosal 等人提出 Immune，一种面向多模态 LLM 的推理时对齐防御：用 safe reward model 为生成中的候选 token 序列打分并受控解码，无需重训基座模型即可抵御越狱。在 LLaVA-1.6 上跨多个越狱基准测试中，攻击成功率降低 57.82%，且未损害合法视觉推理任务的表现。作者同时指出该防御仍留有残余风险。

DropVLA：一种针对视觉-语言-动作模型的动作级后门攻击（原文，在新标签页打开）

Xu 等人的论文提出 DropVLA，一种针对视觉-语言-动作模型（VLA）的动作级后门攻击。与以往针对整体任务结果的后门不同，它在特定时间步毒化单个动作原语，使机器人在大多数步骤正常执行后才出现一次被篡改的动作，干净任务表现基本不变。在 OpenVLA-7B 上，仅毒化 0.31% 的训练回合即可让攻击成功率落在 98.67% 至 99.83% 之间，而干净任务性能仍保持 98.50% 至 99.17%，标准评测难以察觉。作者引入跨时间窗口一致的重新标注来稳定后门植入，被触发的动作在 500 Hz 下 25 个控制步内执行；后门跨评测套件迁移的成功率为 96.27% 和 99.09%，并在 7-DoF 机械臂上完成物理验证。作者认为，视觉触发通道在低投毒比例下比纯文本触发更稳定。

推荐理由DropVLA 在 OpenVLA-7B 上以 0.31% 的投毒比例实现最高 99.83% 的攻击成功率，可用来评估具身 AI 训练数据审计的盲区。

多药联用假说：安全措施过多会让 AI 更不安全吗？（原文，在新标签页打开）

Failure-First 提出安全多药联用假说，认为安全干预叠加超过某个阈值后，边际风险可能超过边际收益，反而让系统更不安全。作者称其覆盖 190 个模型、13.2 万余次交互的研究语料中存在至少三种成对交互效应，例如安全训练与格式合规叠加时，format-lock 攻击成功率在 Claude、Codex、Gemini 上分别为 30%、42%、24%，而同一有害内容的标准攻击成功率低于 10%。作者还引用 Fukui（2026）的研究称，在对齐训练之上再加个体化指令后，16 种测试语言中有 8 种结果变差。作者强调这是待检验的假设而非已证实结论，并提出在 Llama 3 家族上做六档安全训练消融实验，成本约 54 美元，同时指出欧盟 AI Act 第 9 条等监管框架默认安全措施越多越好。

安全不可组合：一项形式化证明对机器人安全意味着什么（原文，在新标签页打开）

Failure-First 的博客分析介绍，Cosimo Spera 新发表的形式化证明显示，两个各自都无法达到违禁能力的 AI 智能体，组合后可借助涌现的合取依赖共同达成违禁目标，即安全系统的集合在存在合取依赖时不具备组合封闭性。文章用能力格把这一结论形式化，并联系上周 Ding 提出的 CoLoRA 结果，即各自无害的 LoRA 适配器组合后可抑制安全对齐。作者认为 EU AI Act 第 9 条与第 43 条的合格评定隐含假设组件级证据可推广到系统级，因而存在数学漏洞，并提出标准机构应要求组合测试、制造商不可把安全外包给供应商、监管方应将组合安全失效视为可预见风险类别。作者还引用 Governance Lag Index 跟踪的 120 起具身 AI 事件，其中 89.2% 没有适用的治理框架。

LAAF：面向 Agentic 大语言模型系统 LPCI 漏洞的系统化红队方法与自动化攻击框架（原文，在新标签页打开）

提出 LAAF，分阶段自动攻击智能体系统的 LPCI 漏洞。

个性化 LLM Agent 中的差异化危害倾向：心理健康披露的奇特案例（原文，在新标签页打开）

评测心理健康披露对 Agent 有害任务完成倾向的影响。

针对现代视觉语言模型的对抗攻击（原文，在新标签页打开）

对开源视觉购物智能体实施商品图对抗攻击并诱导买错。

LLM 对齐中的困境与冲突可解吗？一个来自优先级图的视角（原文，在新标签页打开）

用优先级图表征 LLM 对齐冲突并提议运行时外部核验。

SWhisper 用近超声隐蔽声学通道对语音驱动 LLM 实现黑盒越狱（原文，在新标签页打开）

提出 SWhisper，用近超声波向语音驱动 LLM 隐蔽注入越狱提示。

推荐理由论文给出近超声隐蔽声学通道的完整建模与补偿方法，并报告了跨商用与开源语音模型的攻击成功率，语音接口的部署方可据此评估物理层风险。

揭示自主 Agent 的安全威胁与防御架构：OpenClaw 案例研究（原文，在新标签页打开）

梳理自主 Agent 威胁并提出全生命周期防御蓝图 FASA。

LABSHIELD：面向科学实验室安全推理与规划的多模态基准（原文，在新标签页打开）

提出 LABSHIELD，评测科学实验室智能体的安全推理与规划。

理解 LLM 在无害任务中遇到用户提供的有害内容时的行为（原文，在新标签页打开）

评测 LLM 在无害任务中遇到用户有害内容时是否拒绝处理。

你让我这么做的：测量 LLM Agent 中指令文本引发的私有数据泄露（原文，在新标签页打开）

测量 README 中嵌入指令诱导 Agent 外泄本地隐私数据。

推荐理由论文量化了 README 嵌入指令注入的端到端外泄成功率与人类检出率，为高权限 Agent 的文档信任模型提供可复现的评测基准。

WebWeaver：以隐蔽的上下文推断攻破 LLM 多智能体系统拓扑机密性（原文，在新标签页打开）

提出 WebWeaver ，只攻陷单个智能体并从对话上下文恢复多智能体通信拓扑。

PrefixWall：缓解共享 LLM 系统中的前缀缓存侧信道（原文，在新标签页打开）

提出 PrefixWall 选择性隔离共享前缀以缓解计时侧信道。

对齐回退：为什么更聪明的 AI 模型让所有 AI 更不安全（原文，在新标签页打开）

一篇发表于 Nature Communications 的研究让四个推理模型（DeepSeek-R1、Gemini 2.5 Flash、Grok 3 Mini、Qwen3 235B）在仅给出一句系统提示、无人工介入的情况下自行规划越狱策略，对九个目标模型发起多轮攻击，在 25,200 条测试输入上取得 97.14% 的攻击成功率。研究作者据此提出对齐回退概念，认为每一代更强的模型会削弱整个生态的安全对齐。Failure-First 称其 VLA 测试在 63 条对抗轨迹上测得 72.4% 的攻击成功率且无明确拒答，半数回复为部分执行；该机构还称安全训练投入而非模型规模是越狱抵抗力的主要决定因素。

推荐理由研究显示推理模型可自主越狱其他模型，成功率 97.14%，作者据此提出单个模型对齐不足以保障生态安全。