面向混合专家模型的路由感知安全对齐（原文，在新标签页打开）

提出路由感知安全对齐 RASA，只微调越狱激活的专家并约束路由。

少样本示例如何影响针对 LLM 越狱攻击的提示词防御（原文，在新标签页打开）

分析少样本示范对 RoP 与 ToP 提示防御抗越狱效果的影响。

引导外部性：良性激活引导无意中提高大语言模型的越狱风险（原文，在新标签页打开）

分析良性激活转向如何削弱拒绝并放大越狱风险。

关于噪声数据与 LLM 预训练损失发散的实证研究（原文，在新标签页打开）

分析受控均匀随机噪声对预训练损失发散的影响。

David vs. Goliath：通过强化学习实现可验证的智能体间越狱（原文，在新标签页打开）

提出 SLINGSHOT，用工具执行奖励强化学习训练智能体间越狱。

推荐理由论文用强化学习训练攻击方智能体，在可验证的工具执行环境中量化了智能体间越狱的成功率与跨模型迁移性。

Zero2Text：无需训练的跨域文本嵌入反转攻击（原文，在新标签页打开）

提出 Zero2Text，无需训练地跨域反演文本嵌入。

高维离线 Bandit 的高效对抗攻击（原文，在新标签页打开）

提出三类攻击，训练前扰动奖励模型以劫持离线 bandit。

PAIR 用不到 20 次查询越狱黑盒大语言模型（原文，在新标签页打开）

PAIR（Prompt Automatic Iterative Refinement）用攻击者 LLM 与目标模型迭代对抗，把黑盒大语言模型的语义越狱压缩到不到 20 次查询。攻击者根据目标模型的拒答结果做链式推理并改写提示词，默认开 30 条并行流、迭代 3 次，由 Llama Guard 担任判官评分，常用策略包括角色扮演、逻辑诉求和引用权威机构。论文称其效率比需要 256,000 次以上查询的梯度类 GCG 方法高出约 250 倍，单次越狱约 34 秒、成本低于 0.03 美元。论文给出的成功率为 Vicuna-13B 88%、Gemini-Pro 73%、GPT-3.5 51%、GPT-4 48%，并称 PAIR 是首个攻破 Gemini-Pro 的自动化攻击。Llama-2 与 Claude-1/2 因过度拒答而未被攻破，论文认为这种安全换有用性的取舍构成对齐税。

迈向视觉语言模型的通用可迁移越狱攻击（原文，在新标签页打开）

提出 UltraBreak，用单张对抗图像对视觉语言模型实施可迁移越狱。

GradingAttack：揭示基于 LLM 的教育评分智能体安全漏洞（原文，在新标签页打开）

提出 GradingAttack，用梯度后缀与角色扮演操纵教育评分智能体判定。

微调对齐后的大语言模型会损害安全，即便用户并无恶意（原文，在新标签页打开）

一篇论文发现，仅用 10 条对抗设计的训练样本微调 GPT-3.5 Turbo，成本不足 0.20 美元，即可绕过其安全护栏，使模型几乎响应任何有害指令。研究还显示，即便没有恶意意图，用常见的良性数据集微调也会在较小程度上削弱模型的安全对齐。作者认为，微调对齐后的大语言模型带来了现有安全基础设施未能覆盖的新风险，初始对齐再完善也未必能在定制微调后保持。论文分析了潜在缓解措施，并呼吁针对定制微调加强安全协议。

推荐理由论文用不足 0.20 美元的成本在 10 条样本上微调即削弱 GPT-3.5 Turbo 的安全对齐，为微调环节的持续安全评估提供了具体依据。

研究提出说服传播现象：无关说服性对话会改变 AI Agent 的任务执行行为（原文，在新标签页打开）

测量任务无关说服对 Agent 编码与网页研究行为的影响。

从因果视角增强越狱攻击与防御（原文，在新标签页打开）

提出 Causal Analyst，按因果特征改写提示词增强越狱。

通过规避性注入绕过提示注入检测器（原文，在新标签页打开）

提出多探针规避攻击，用通用对抗后缀绕过提示注入检测探针。

通过校准越狱 LLM（原文，在新标签页打开）

提出 Gradient Shift 推理时聚合，把对齐模型拉回被抑制行为。

研究者提出 Text-DJ，利用 OCR 能力越狱大型视觉语言模型（原文，在新标签页打开）

提出 Text-DJ，用拆分文本图网格越狱视觉语言模型。

SmoothLLM：防御大语言模型的越狱攻击（原文，在新标签页打开）

SmoothLLM 是一种针对越狱攻击的防御算法，通过对同一提示词生成多份字符级随机扰动副本并聚合预测，来检测并拦截对抗输入。论文称这是首个针对越狱攻击的防御算法，其依据是越狱提示对字符级改动很脆弱，而正常提示几乎不受错别字影响。论文称该方法在 GPT、Llama、Claude 等模型上对 GCG、PAIR、RandomSearch、AmpleGCG 越狱达到当时最优鲁棒性，并对自适应 GCG 攻击有抵抗力。它无需重训练，兼容任意 LLM，代价是鲁棒性与正常性能之间存在小幅但不可忽略的权衡，代码已在 GitHub 公开。

因扩散而更安全，因上下文而失守：扩散 LLM 的安全红利与失效模式（原文，在新标签页打开）

提出黑盒 context nesting，用结构化补全任务嵌套有害请求越狱扩散 LLM。

语法与编译保持的 LLM 漏洞检测器规避攻击（原文，在新标签页打开）

论文提出在保持语法与编译的前提下规避 LLM 漏洞检测器的攻击方法。

推荐理由论文用语法与编译保持的代码变换攻击，量化了 LLM 漏洞检测器在干净基准高分下的鲁棒性缺口，可供部署检测门禁的团队参考。

研究者提出音频叙事越狱攻击，在 Gemini 2.0 Flash 上成功率达 98.26%（原文，在新标签页打开）

提出音频叙事越狱，以嗓音投递风格绕过端到端语音模型拒答。

大语言模型中的性格潜变量：涌现性失配与条件性安全失效的机制解释（原文，在新标签页打开）

用性格潜变量与表征投影解释涌现失配和条件失效。

推荐理由论文把涌现性失配解释为微调习得的性格表征，并用错误建议数据作对照，显示性格条件化数据带来更强且更可迁移的失配。

筛除噪声：LLM Agent 在漏洞误报过滤中的比较研究（原文，在新标签页打开）

评测代码 Agent 过滤静态告警误报的能力。

大语言模型在 Best-of-N 采样下的对抗风险统计估计（原文，在新标签页打开）

提出 SABER，用小预算观测外推 Best-of-N 越狱风险。

Whispers of Wealth：通过提示注入对 Google 的 Agent Payments Protocol 做红队测试（原文，在新标签页打开）

提出两种签名前提示注入，操纵支付 Agent 的商品排序与跨用户数据披露。

针对对齐语言模型的对抗攻击基线防御（原文，在新标签页打开）

针对对齐大语言模型的对抗攻击基线防御研究评估了困惑度过滤、复述、重分词与对抗训练四类方法。结果显示这些简单防御能部分降低攻击成功率，但都无法彻底消除脆弱性，并带来延迟、算力开销或误报。在 Vicuna-7B 上，复述把成功攻击从 74 降到 5；困惑度过滤把 ASR 从 0.79 降到 0.00，但约 10% 的正常查询被误判。研究认为文本优化器成本远高于图像优化器，使当前防御相对有效，一旦出现更高效的文本优化算法，这一优势可能消失。

ReasoningBomb：诱导大型推理模型产生病态长推理的隐蔽拒绝服务攻击（原文，在新标签页打开）

提出 ReasoningBomb，用强化学习生成短提示诱导推理模型病态长推理。

推荐理由论文把推理模型的推理时长当作攻击面，量化了短提示词放大推理成本的效果，可供部署方评估服务成本风险。

CAR-bench：评估真实世界不确定性下 LLM Agent 的一致性与能力边界意识（原文，在新标签页打开）

提出 CAR-bench，评测车载多轮智能体的一致性与限度意识。

Stay in Character, Stay Safe：面向安全角色扮演智能体的双循环对抗自演化框架（原文，在新标签页打开）

提出 DASE，以对抗自演化知识库在推理时加固角色扮演抗越狱。

合规悖论：自动化学术代码评估中的语义-指令解耦（原文，在新标签页打开）

提出 AST-ASIP ，把对抗指令植入编译器忽略区域以劫持代码评分。

Just Ask：好奇的代码 Agent 揭示前沿 LLM 的系统提示词（原文，在新标签页打开）

提出 JustAsk，用在线技能选择提取模型系统提示词。

《Do Anything Now》：真实场景中大语言模型越狱提示词的特征刻画与评估（原文，在新标签页打开）

论文用 JailbreakHub 框架分析了 2022 年 12 月至 2023 年 12 月的 1,405 条越狱提示词，识别出 131 个越狱社区，并发现最有效的提示词组合了角色扮演、权威框架、情感诉求与技术误导等策略。研究构建了覆盖 13 个禁止场景、共 107,250 个样本的问题集，在六个主流大语言模型上测试，发现其安全防护无法在所有场景下抵御越狱提示词。其中五条高效越狱提示词在 ChatGPT（GPT-3.5）和 GPT-4 上达到 0.95 的攻击成功率，最早的一条已在线存在超过 240 天。作者认为，社区协作迭代发现漏洞的速度快于学术攻击研究。

OpenSec：测量对抗证据下事件响应 Agent 的校准（原文，在新标签页打开）

提出 OpenSec，评测事件响应 Agent 在对抗证据下的遏制校准。

Goodfire 用可解释性从表观遗传基础模型 Pleiades 中找出新型阿尔茨海默病生物标志物（原文，在新标签页打开）

Goodfire 将可解释性方法应用于 Prima Mente 的表观遗传基础模型 Pleiades，发现 DNA 片段长度模式主导其从血液游离 DNA 检测阿尔茨海默病的决策，并由此提炼出一个人类可解释的分类器。该分类器仅用片段长度特征即在独立队列上取得 AUROC=0.78（95% CI [0.56–0.95]），加入此前文献报道的生物标志物类别后升至 AUROC=0.84（95% CI [0.66, 0.97]）。研究表明片段组学可作为互补于既有预测指标的新型候选信号，但其临床应用仍需进一步验证。

用 HASTE 主动加固 LLM 防御（原文，在新标签页打开）

提出 HASTE，挖掘 hard negative 再训练恶意提示检测器。

针对 LLM 集成应用的提示注入攻击（原文，在新标签页打开）

Liu 等研究者提出 HouYi 黑盒提示注入攻击，在 36 个真实 LLM 集成应用中 31 个存在漏洞，成功率达 86.1%。该攻击由框架、分隔符和破坏载荷三部分组成，通过语法转义、语言切换或语义方式诱导模型把后续文本当作新指令，可窃取开发者预设的系统提示词，或滥用服务商的 LLM 额度执行任意任务。Notion、Writesonic、Parea 等 10 家厂商确认了漏洞；研究者按 GPT-3.5 turbo 定价估算，单个应用被大规模利用每天约损失 259.20 美元。研究还称指令防御、XML 标签、三明治防御等现有防护可被绕过，建议采用多步处理、领域专用模型和输出监控。

推荐理由论文用 HouYi 在 36 个真实应用上取得 86.1% 成功率，并给出提示泄露与资源滥用两类后果，可供部署方对照检查输入隔离假设。

未知的未知：LLM 中的隐藏意图能否逃过检测？（原文，在新标签页打开）

构建隐匿意图测试床，压力测试分类器与 LLM 裁判。

推荐理由论文用受控测试床量化了隐藏意图检测在低流行率下的精度崩塌，为审计方法的能力边界提供了实证参照。

MalURLBench：评估 Agent 处理网页 URL 时脆弱性的基准（原文，在新标签页打开）

提出 MalURLBench 评测 Agent 是否接受结构伪装的恶意 URL。

AttenMIA：利用注意力信号对 LLM 进行成员推断攻击（原文，在新标签页打开）

提出 AttenMIA，用注意力信号做白盒成员推断。

当个性化使风险正当化：揭示个性化对话智能体的安全漏洞（原文，在新标签页打开）

用 PS-Bench 评测良性记忆如何让对话智能体放过有害请求。

打破协议：MCP 规范的安全分析与工具集成 LLM 智能体的提示注入漏洞（原文，在新标签页打开）

提出 ATTESTMCP，为 MCP 增加能力证明与消息认证。