顶会安全论文
越狱与攻击
44- Mousetrap：通过迭代混沌链越狱大型推理模型A Mousetrap: Fooling Large Reasoning Models for Jailbreak with Chain of Iterative Chaos
将迭代生成的混沌映射嵌入推理链实施越狱，在Trotter数据集上对三款模型的攻击成功率分别达96%、86%和98%。
- 对抗性分词Adversarial Tokenization
发现无需修改有害请求文本，仅改变分词方式即可绕过安全限制，并在三个大模型上验证其攻击效果可与现有先进方法竞争。
- 效率之下的暗礁：小语言模型中越狱攻击的隐藏威胁Beyond the Tip of Efficiency: Uncovering the Submerged Threats of Jailbreak Attacks in Small Language Models
实证评估 13 个 SLM 在多种越狱攻击下的安全性，多数易受攻击；防御方法有效，并分析了压缩、量化、蒸馏等技术造成的安全退化。
- 突破上限：通过扩展策略空间探索越狱攻击潜力Breaking the Ceiling: Exploring the Potential of Jailbreak Attacks through Expanding Strategy Space
通过分解攻击策略并结合遗传优化扩展搜索空间，在所测Claude-3.5上取得超过90%的越狱成功率，并展现跨模型迁移性。
- 大语言模型水印能否可靠防止未经授权的知识蒸馏？Can LLM Watermarks Robustly Prevent Unauthorized Knowledge Distillation?
研究蒸馏前改写与蒸馏后水印中和，发现定向改写和推理时中和均可消除继承水印，后者还能保持知识迁移效率与较低计算开销。
Leyi Pan, Aiwei Liu, Shiyu Huang 等ACL Anthology - LLM 能欺骗 CLIP 吗？以文本更新评测多模态组合漏洞Can LLMs Deceive CLIP? Benchmarking Adversarial Compositionality of Pre-trained Multimodal Representation via Text Updates
提出 MAC 基准，用语言模型生成欺骗性文本揭示多模态表征的组合漏洞，并通过自训练同时提高攻击成功率与样本多样性。
Jaewoo Ahn, Heeseung Yun, Dayoon Ko 等ACL Anthology - CAVGAN：通过内部表征生成对抗攻击统一越狱与防御CAVGAN: Unifying Jailbreak and Defense of LLMs via Generative Adversarial Attacks on their Internal Representations
利用生成对抗网络学习模型内部安全判别边界，在三款模型上平均越狱成功率为88.85%，防御成功率为84.17%。
- Chain of Attack：通过多轮审讯隐藏意图的越狱攻击Chain of Attack: Hide Your Intention through Multi-Turn Interrogation
提出 CoA，从审讯视角生成多轮攻击链以隐藏越狱意图，对黑盒 LLM 的攻击成功率达 83%，高于对比方法的 64%。
- Chain-of-Jailbreak：通过逐步编辑攻击图像生成模型Chain-of-Jailbreak Attack for Image Generation Models via Step by Step Editing
将恶意查询拆成多个子查询并逐步编辑图像，绕过防护的比例超 60%（其他方法 14%），并提出 Think-Twice Prompting 防御超 95% 的攻击。
- Con Instruction：通过非文本模态通用越狱多模态大模型Con Instruction: Universal Jailbreaking of Multimodal Large Language Models via Non-Textual Modalities
提出通过对抗图像或音频传递有害指令的灰盒攻击，在多种视觉与音频语言模型上绕过安全机制，并发现现有防御存在明显缺口。
Jiahui Geng, Thy Thy Tran, Preslav Nakov 等ACL Anthology - Crabs：黑盒场景下自动生成提示的 LLM-DoS 资源消耗攻击Crabs: Consuming Resource via Auto-generation for LLM-DoS Attack under Black-box Settings
提出 AutoDoS，在黑盒下构建 DoS 攻击树并迭代优化，使服务响应延迟放大超 250 倍，并可借 Length Trojan 绕过现有防御。
- 思维链推理真的能降低越狱危害吗？Does Chain-of-Thought Reasoning Really Reduce Harmfulness from Jailbreaking?
理论分析表明思维链推理对越狱危害具有双重作用，并提出FicDetail越狱方法，以实验验证理论发现。
- Don't Say No：通过抑制拒答来越狱 LLMDon’t Say No: Jailbreaking LLM by Suppressing Refusal
提出 DSN 攻击，结合余弦衰减调度与拒答抑制改进优化式越狱的损失目标，攻击成功率达 SOTA，并可迁移到未见数据集和黑盒模型。
- 评估大模型被滥用于生成个性化虚假信息的漏洞Evaluation of LLM Vulnerabilities to Being Misused for Personalized Disinformation Generation
评测开放与闭源模型生成个性化虚假新闻的行为，发现多数模型安全过滤不足，个性化要求还会降低过滤触发率，形成越狱效果。
Aneta Zugecova, Dominik Macko, Ivan Srba 等ACL Anthology - 通过意图隐藏与转移探索 LLM 越狱攻击Exploring Jailbreak Attacks on LLMs through Intent Concealment and Diversion
提出黑盒越狱方法 ICE 和评测集 BiSceneEval，单次查询即达高攻击成功率并具跨模型迁移性，暴露现有防御的关键漏洞。
- 从无害到有害：通过对抗隐喻越狱语言模型from Benign import Toxic: Jailbreaking the Language Model via Adversarial Metaphors
提出AVATAR框架，诱导模型将无害隐喻校准为有害内容，在多个先进模型上展示较高攻击成功率与跨模型迁移能力。
Yu Yan, Sheng Sun, Zenghao Duan 等ACL Anthology - GOODLIAR：基于强化学习的欺骗性 Agent，用于扰乱 LLM 对基础原则的信念GOODLIAR: A Reinforcement Learning-Based Deceptive Agent for Disrupting LLM Beliefs on Foundational Principles
提出 RL 框架生成欺骗性上下文，改写 LLM 对数学或哲学等基本公理的信念，效果优于简单多轮提示方法。
- 引导而非强迫：移除多余约束提升越狱攻击迁移性Guiding not Forcing: Enhancing the Transferability of Jailbreaking Attacks on LLMs via Removing Superfluous Constraints
分析并移除梯度越狱优化中的多余约束，将跨模型攻击成功率从18.4%提升至50.3%，同时改善攻击行为的稳定性与可控性。
Junxiao Yang, Zhexin Zhang, Shiyao Cui 等ACL Anthology - 通过多模态联动越狱大型视觉语言模型Jailbreak Large Vision-Language Models Through Multi-Modal Linkage
MML通过跨文本与图像的编码及隐蔽引导降低恶意意图暴露，在三个安全基准上对GPT-4o取得约99%的攻击成功率。
Yu Wang, Xiaofei Zhou, Yichen Wang 等ACL Anthology - 越狱？一步就够了！Jailbreaking? One Step Is Enough!
提出将攻击意图伪装成防御任务的 REDA，结合少量上下文示例实现单次迭代越狱，并在开源和闭源模型上优于现有方法。
Weixiong Zheng, Peijian Zeng, YiWei Li 等ACL Anthology - JailbreakRadar：大语言模型越狱攻击综合评估JailbreakRadar: Comprehensive Assessment of Jailbreak Attacks Against LLMs
在九个对齐模型和八种防御下评估17种越狱攻击，建立攻击分类，并发现启发式攻击虽可取得高成功率，却较易被防御缓解。
Junjie Chu, Yugeng Liu, Ziqing Yang 等ACL Anthology - 大模型知晓自身弱点：通过自然分布偏移揭示安全漏洞LLMs know their vulnerabilities: Uncover Safety Gaps through Natural Distribution Shifts
提出ActorBreaker，利用与有害内容语义相关的多轮提示绕过防护；攻击在多样性、效果与效率上优于既有方法，衍生训练数据可增强鲁棒性。
Qibing Ren, Hao Li, Dongrui Liu 等ACL Anthology - M2S：将多轮越狱转化为单轮攻击M2S: Multi-turn to Single-turn jailbreak in Red Teaming for LLMs
将多轮越狱对话重构为单轮提示，攻击成功率达70.6%至95.9%，最高比原攻击增加17.5个百分点，平均令牌用量减少逾半。
Junwoo Ha, Hyunjun Kim, Sangyoon Yu 等ACL Anthology - 少量查询下针对黑盒模型的多任务对抗攻击Multi-task Adversarial Attacks against Black-box Model with Few-shot Queries
提出利用跨任务迁移性的 CEMA 黑盒攻击，仅需100次查询即可取得显著攻击效果，并可攻击商业翻译接口、语言模型和图像生成模型。
Wenqiang Wang, Yan Xiao, Hao Lin 等ACL Anthology - 面向文生图模型的多模态语用越狱Multimodal Pragmatic Jailbreak on Text-to-image Models
利用单独安全的图像与文字组合形成有害含义，九种文生图模型的不安全生成率约为10%至70%，常见过滤器未能有效防御。
Tong Liu, Zhixin Lai, Jiawen Wang 等ACL Anthology - MVTamperBench：评测视觉语言模型对视频篡改的鲁棒性MVTamperBench: Evaluating Robustness of Vision-Language Models
构建含约 1.7 万篡改视频片段的基准，评测 45 个 MLLM 对五类篡改的抵抗力，发现鲁棒性差异大且参数量更大不一定更稳健。
- QueryAttack：用结构化非自然查询语言越狱对齐模型QueryAttack: Jailbreaking Aligned Large Language Models Using Structured Non-natural Query Language
将恶意请求转换为结构化非自然查询语言以绕过安全对齐，在主流模型及多种防御下取得较高攻击成功率。
- 利用对抗反馈开展实时事实性评估Real-time Factuality Assessment from Adversarial Feedback
利用检索增强检测器的反馈迭代改写实时新闻，生成欺骗性样本，使GPT-4o检测器的ROC-AUC下降17.5个百分点。
Sanxing Chen, Yukun Huang, Bhuwan DhingraACL Anthology - Red Queen：揭示大语言模型中潜在的多轮风险Red Queen: Exposing Latent Multi-Turn Risks in Large Language Models
提出多轮隐藏恶意意图的 Red Queen 攻击，在 GPT-4o 上 ASR 达 87.6%，且大模型更易受攻击；所提 Red Queen Guard 可将 ASR 降至 1% 以下。
- Rewrite to Jailbreak：发现可学习且可迁移的隐式有害指令Rewrite to Jailbreak: Discover Learnable and Transferable Implicit Harmfulness Instruction
提出黑盒越狱方法 R2J，仅通过改写原指令并迭代优化策略即可越狱，无额外特征、更难识别，并可迁移到多种数据集和模型。
- SATA：通过简单辅助任务链接实现 LLM 越狱的新范式SATA: A Paradigm for LLM Jailbreak via Simple Assistive Task Linkage
先遮蔽恶意查询中的有害关键词，再用简单辅助任务编码其语义完成越狱；在 AdvBench 上 ASR 最高达 85%，优于基线。
- SemanticCamo：通过语义伪装越狱大语言模型SemanticCamo: Jailbreaking Large Language Models through Semantic Camouflage
提出 SemanticCamo，用语义特征替换不安全内容以隐藏恶意意图，对 GPT-4o、Claude-3.5 等平均超过 80% 的情况诱导出有害回答，且对多种防御有效。
- 披着羊皮的狼：大语言模型能识别隐喻式隐性仇恨吗？Sheep’s Skin, Wolf’s Deeds: Are LLMs Ready for Metaphorical Implicit Hate Speech?
结合越狱与能量约束解码生成隐喻式隐性仇恨言论，发现GPT-4o及专用安全模型常将其误判为无害内容。
Jingjie Zeng, Liang Yang, Zekun Wang 等ACL Anthology - SQL注入式越狱：大语言模型的结构性安全缺陷SQL Injection Jailbreak: A Structural Disaster of Large Language Models
提出针对输入提示构造方式的SIJ越狱，五款开源模型攻击成功率接近100%，五款闭源模型平均超过85%。
- 大语言模型的逐步推理扰乱攻击Stepwise Reasoning Disruption Attack of LLMs
提出SEED攻击，在先前推理步骤中隐蔽注入错误而不修改指令，在四个数据集和四种模型上诱导后续推理与最终答案出错。
Jingyu Peng, Maolin Wang, Xiangyu Zhao 等ACL Anthology - 机器生成文本检测的压力测试：转变语言模型写作风格以欺骗检测器Stress-testing Machine Generated Text Detection: Shifting Language Models Writing Style to Fool Detectors
用 DPO 微调使生成文本风格趋近人类写作，仅需少量样本即可显著降低 Mage、Radar 等主流检测器的检测性能。
- 沉默的破坏者：针对黑盒 RAG 系统的不可察觉对抗攻击The Silent Saboteur: Imperceptible Adversarial Attacks against Black-Box Retrieval-Augmented Generation Systems
提出基于强化学习的 ReGENT，用人眼难以察觉的小扰动让目标文档被检索并误导 RAG 的最终回答，效果优于现有攻击方法。
- 结构化安全泛化问题The Structural Safety Generalization Problem
针对语义等价输入上安全性不泛化的问题，发现多轮、多图和翻译式攻击带来新漏洞，并提出结构重写护栏，显著提升有害输入拒答且不增加过度拒答。
- 冰山之尖：揭示大语言模型的提示内任务对抗攻击The TIP of the Iceberg: Revealing a Hidden Class of Task-in-Prompt Adversarial Attacks on LLMs
提出将序列转换任务嵌入提示以间接构造违规输入的TIP攻击及PHRYGE基准，实验表明该攻击可绕过六种先进语言模型的安全防护。
Sergey Berezin, Reza Farahbakhsh, Noel CrespiACL Anthology - 理解大语言模型面对社会偏见攻击的脆弱性Understanding Large Language Model Vulnerabilities to Social Bias Attacks
评测多种诱导偏见的攻击及其迁移性，发现模型通常更易受性别偏见攻击，较大模型与预训练基础模型也往往更脆弱。
Jiaxu Zhao, Meng Fang, Fanghua Ye 等ACL Anthology - VLMInferSlow：视觉语言模型服务的效率鲁棒性评测VLMInferSlow: Evaluating the Efficiency Robustness of Large Vision-Language Models as a Service
在黑盒条件下生成带有不可感知扰动的对抗图像，使视觉语言模型推理计算成本最高增加128.47%。
Xiasi Wang, Tianliang Yao, Simin Chen 等ACL Anthology - 大语言模型面对纵向排列文本操纵的脆弱性Vulnerability of LLMs to Vertically Aligned Text Manipulations
发现纵向排列文本显著降低模型分类准确率，带来绕过有害内容检测的潜在风险；思维链无助于缓解，而结合细致分析的少样本学习有效。
Zhecheng Li, Yiwei Wang, Bryan Hooi 等ACL Anthology - 多示例攻击中什么最重要？大模型长上下文漏洞实证研究What Really Matters in Many-Shot Attacks? An Empirical Study of Long-Context Vulnerabilities in LLMs
在最长128K上下文中测试多示例越狱，发现上下文长度是攻击效果的主要因素，重复示例甚至随机文本也能绕过安全措施。
Sangyeop Kim, Yohan Lee, Yongwoo Song 等ACL Anthology - 谁能抵御聊天音频攻击？大型音频语言模型评测基准Who Can Withstand Chat-Audio Attacks? An Evaluation Benchmark for Large Audio-Language Models
提出含四类音频攻击的 CAA 基准，评估六个语音交互 LALM 的鲁棒性，结果显示 GPT-4o 抗攻击能力最强。
提示注入
7- 间接提示注入攻击能被检测并移除吗？Can Indirect Prompt Injection Attacks Be Detected and Removed?
构建间接提示注入评测数据集，评估现有及专门训练的检测模型，并比较分段删除与指令抽取两类注入移除方法。
Yulin Chen, Haoran Li, Yuan Sui 等ACL Anthology - 利用攻击技术防御提示注入Defense Against Prompt Injection Attack by Leveraging Attack Techniques
将免训练提示注入技术反向用于强化原始指令，构建防御方法，实验表明其效果优于现有防御方案。
Yulin Chen, Haoran Li, Zihao Zheng 等ACL Anthology - 高效但脆弱：LLM 批量提示攻击的评测与防御Efficient but Vulnerable: Benchmarking and Defending LLM Batch Prompting Attack
构建 BatchSafeBench，发现所有 LLM 都易受批量提示中注入指令的干扰；基于探针的检测准确率约 95%，并分析了相关注意力头。
- 通过语义引导的提示组织实现高效通用目标劫持Efficient Universal Goal Hijacking with Semantics-guided Prompt Organization
提出结合语义采样、排序与迭代优化的提示注入方法，生成可用于任意用户提示的固定后缀，并在四种模型和十类目标响应上验证有效性。
Yihao Huang, Chong Wang, Xiaojun Jia 等ACL Anthology - PIGuard：缓解过度防御的提示注入护栏PIGuard: Prompt Injection Guardrail via Mitigating Overdefense for Free
构建NotInject评测集，发现护栏易因触发词误判无害输入，并提出PIGuard降低此类偏差、改善提示注入检测表现。
Hao Li, Xiaogeng Liu, Ning Zhang 等ACL Anthology - Task Shield：以任务对齐防御智能体间接提示注入The Task Shield: Enforcing Task Alignment to Defend Against Indirect Prompt Injection in LLM Agents
通过验证指令与工具调用是否服务用户目标，Task Shield 在 AgentDojo 上将 GPT-4o 攻击成功率降至2.07%，任务效用保持69.79%。
Feiran Jia, Tong Wu, Xin Qin 等ACL Anthology - 大语言模型中的提示威胁：系统提示与用户提示视角The Threat of PROMPTS in Large Language Models: A System and User Prompt Perspective
综述提示泄露与提示越狱等攻击方法，总结其实验设置，并探讨提示威胁与提示注入攻击之间的关系。
- 一个捣乱者如何通过传染性越狱扰乱智能体社会A Troublemaker with Contagious Jailbreak Makes Chaos in Honest Towns
构建独立记忆的多智能体攻击评测框架，并增强投毒样本的检索与传播能力，在多种拓扑和百智能体场景中提升攻击效果。
Tianyi Men, Pengfei Cao, Zhuoran Jin 等ACL Anthology - 围攻智能体：优化提示攻击突破多智能体系统Agents Under Siege: Breaking Pragmatic Multi-Agent LLM Systems with Optimized Prompt Attacks
针对带宽、延迟与防御约束优化多智能体间的攻击提示分布，攻击效果最高达传统方法的七倍，并能绕过多种现有护栏。
Rana Shahroz, Zhen Tan, Sukwon Yun 等ACL Anthology - AGrail：具备高效自适应安全检测的终身智能体护栏AGrail: A Lifelong Agent Guardrail with Effective and Adaptive Safety Detection
提出可自适应生成并持续优化安全检查的智能体护栏，有效应对任务特定风险与系统性安全风险，并能迁移至不同智能体任务。
Weidi Luo, Shenghong Dai, Xiaogeng Liu 等ACL Anthology - 通过因果影响提示增强 LLM Agent 安全Enhancing LLM Agent Safety via Causal Influence Prompting
提出 CIP，利用因果影响图让 Agent 预判有害后果并迭代修正，在代码执行和移动设备控制任务中提升安全性。
- G-Safeguard：拓扑引导的多智能体安全检测与干预G-Safeguard: A Topology-Guided Security Lens and Treatment on LLM-based Multi-agent Systems
利用图神经网络检测多智能体对话图中的异常，并通过拓扑干预缓解攻击，实验显示其在提示注入场景下可恢复超过40%的性能。
Shilong Wang, Guibin Zhang, Miao Yu 等ACL Anthology - NetSafe：探索多智能体系统的拓扑安全性NetSafe: Exploring the Topological Safety of Multi-agent System
从拓扑视角分析多智能体系统在恶意攻击下的安全性，发现连接度高、规模大的系统更易受对抗扩散，星形拓扑下任务性能下降 29.7%。
- 通过通信攻击对大模型多智能体系统开展红队测试Red-Teaming LLM Multi-Agent Systems via Communication Attacks
提出AiTM攻击，通过拦截和篡改智能体间消息破坏协作，在多种框架、通信结构及应用中验证了系统脆弱性。
防御与护栏
58- 大语言模型虚假信息的主动防御策略综述A Survey on Proactive Defense Strategies Against Misinformation in Large Language Models
提出知识可信度、推理可靠性、输入鲁棒性三支柱框架，综述并元分析显示主动防御比传统方法在虚假信息预防上最多提升 63%。
- 自适应解毒：基于毒性感知知识编辑保护 LLM 通用能力Adaptive Detoxification: Safeguarding General Capabilities of LLMs through Toxicity-Aware Knowledge Editing
提出 ToxEdit，在前向传播中检测毒性激活并走自适应层间通路，在解毒效果和保留通用能力上均优于现有知识编辑方法。
- 面向鲁棒 LLM 对齐的对抗偏好学习Adversarial Preference Learning for Robust LLM Alignment
提出 APL，用内在偏好概率度量有害性并以条件生成攻击器迭代对抗训练，Mistral-7B 有害输出从 5.88% 降至 0.43%，效用基本保持。
- AGD：基于对抗博弈的大语言模型越狱防御AGD: Adversarial Game Defense Against Jailbreak Attacks in Large Language Models
通过对抗博弈动态调整内部表征以平衡有用性与无害性，并结合专家模型辅助采样，实验中安全性优于所有基线。
Shilong Pan, Zhiliang Tian, Zhen Huang 等ACL Anthology - AIGuard：电商 AIGC 风险检测基准与轻量检测方法AIGuard: A Benchmark and Lightweight Detection for E-commerce AIGC Risks
构建含 253,420 个图文对的电商 AIGC 风险基准，并提出软提示匹配检测，召回率比主流多模态模型高 9.68%，推理快 37.8 倍。
- 当心你的 Po！评估与缓解角色扮演微调的安全风险Beware of Your Po! Measuring and Mitigating AI Safety Risks in Role-Play Fine-Tuning of LLMs
评估95个角色模型，发现角色扮演微调会削弱安全性且风险随角色特征变化；提出 SaRFT，在多模型及两类微调设置下优于基线。
Weixiang Zhao, Yulin Hu, Yang Deng 等ACL Anthology - 超越表层模式：基于攻击本质的越狱防御框架Beyond Surface-Level Patterns: An Essence-Driven Defense Framework Against Jailbreak Attacks in LLMs
提出即插即用的输入过滤框架 EDDF，从已知攻击中提取“攻击本质”建向量库并在线检测，使攻击成功率至少降低 20%。
- 基于 Growth Bound Matrix 兼顾鲁棒性与泛化以抵御词替换攻击Bridging Robustness and Generalization Against Word Substitution Attacks in NLP via the Growth Bound Matrix Approach
提出 GBM 正则化，面向 LSTM、S4 与 CNN 降低输入扰动影响，对抗鲁棒性比基线最多提升 8.8%，并首次系统分析 S4 的鲁棒性。
- Chinese SafetyQA：中文安全知识短答事实性基准Chinese SafetyQA: A Safety Short-form Factuality Benchmark for Large Language Models
构建中文安全知识短答基准，评估模型对法律、政策与伦理等知识的事实性，并分析其与检索增强生成能力和抗攻击鲁棒性的关系。
Yingshui Tan, Boren Zheng, Baihui Zheng 等ACL Anthology - 用于可控生成的对比困惑度：大语言模型去毒应用Contrastive Perplexity for Controlled Generation: An Application in Detoxifying Large Language Models
通过对抗改写构造有毒难负例，以基于原型的对比困惑度目标微调模型，减少有毒生成并保持常识推理与阅读理解表现。
Tassilo Klein, Moin NabiACL Anthology - COVER：LLM 中上下文驱动的过度拒答验证COVER: Context-Driven Over-Refusal Verification in LLMs
提出上下文驱动过度拒答概念及两阶段评估框架 COVER，发现拒答率随任务、系统提示、模型家族和检索文档数变化，翻译与摘要任务拒答率尤其高。
- 防御提示补丁：稳健且可泛化的大模型越狱防御Defensive Prompt Patch: A Robust and Generalizable Defense of Large Language Models against Jailbreak Attacks
提出后缀提示防御DPP，在两个模型上显著降低标准及自适应越狱攻击成功率，同时对模型效用影响很小。
- 让机器去拟人化：缓解文本生成系统的拟人行为Dehumanizing Machines: Mitigating Anthropomorphic Behaviors in Text Generation Systems
针对拟人输出可能引发的过度依赖和情感依赖，结合文献与众包编辑整理干预措施，并提出分类与评估干预的概念框架。
Myra Cheng, Su Lin Blodgett, Alicia DeVrio 等ACL Anthology - DELMAN：用模型编辑动态防御 LLM 越狱DELMAN: Dynamic Defense Against Large Language Model Jailbreaking with Model Editing
通过直接编辑少量相关参数并加 KL 正则，在保持通用能力的同时抑制越狱，并能适应新的攻击实例。
- DeTAM：通过定向注意力修改防御 LLM 越狱DeTAM: Defending LLMs Against Jailbreak Attacks via Targeted Attention Modification
找出对越狱敏感的注意力头，推理时重新分配注意力以突出用户核心意图，无需微调，对不同攻击和模型泛化良好，并兼顾过度防御。
- DIESEL：轻量级的语言模型推理时安全增强DIESEL: A Lightweight Inference-Time Safety Enhancement for Language Models
提出 DIESEL，在生成时按与预设负面概念的语义相似度重排候选 token，无需微调即可过滤有害内容，并在对抗越狱场景中有效。
- DiffuseDef：通过迭代去噪增强对抗攻击鲁棒性DiffuseDef: Improved Robustness to Adversarial Attacks via Iterative Denoising
在编码器与分类器之间加入扩散去噪层，结合对抗训练、迭代去噪和集成，在常见黑盒与白盒文本攻击下取得领先防御表现。
Zhenhao Li, Huichi Zhou, Marek Rei 等ACL Anthology - 高效识别混合来源文本中的水印片段Efficiently Identifying Watermarked Segments in Mixed-Source Texts
为识别合成文本滥用，提出几何覆盖检测与自适应在线定位方法，在三种水印技术上更准确地检测并定位混合文本中的水印片段。
Xuandong Zhao, Chenwen Liao, Yu-Xiang Wang 等ACL Anthology - 通过知识偏好优化增强蛋白质生成的安全可控性Enhancing Safe and Controllable Protein Generation via Knowledge Preference Optimization
提出结合蛋白质安全知识图谱与强化学习的 KPO，在保持较高功能性的同时，降低模型生成有害蛋白质序列的概率。
Yuhao Wang, Keyan Ding, Kehua Feng 等ACL Anthology - 大语言模型的集成水印Ensemble Watermarks for Large Language Models
将藏头、感觉运动规范与红绿水印组合，检测率达到98%，改写攻击后仍为95%，高于单独红绿水印的49%。
Georg Niess, Roman KernACL Anthology - 遗忘 Token 与像素：重新思考多模态生成模型概念遗忘中的梯度上升Forget the Token and Pixel: Rethinking Gradient Ascent for Concept Unlearning in Multimodal Generative Models
发现全局梯度上升会同时损伤自然知识导致效用崩塌，提出 FTTP 仅对目标概念知识做梯度上升，无需保留集，遗忘与效用权衡更优。
- 从规避到隐匿：面向 LLM 的隐蔽知识遗忘From Evasion to Concealment: Stealthy Knowledge Unlearning for LLMs
提出 MEOW，用离线 LLM 生成的反事实标签微调实现遗忘，无需辅助模型或保留数据，在 ToFU 上遗忘效果更好且更能抵御攻击。
- 从权衡到协同：大语言模型的通用共生水印框架From Trade-off to Synergy: A Versatile Symbiotic Watermarking Framework for Large Language Models
结合基于 logits 与采样的水印方案，利用词元熵和语义熵自适应嵌入水印，在可检测性、鲁棒性、文本质量和安全性的综合表现上优于基线。
Yidan Wang, Yubing Ren, Yanan Cao 等ACL Anthology - HiddenDetect：监控隐藏状态检测多模态模型越狱HiddenDetect: Detecting Jailbreak Attacks against Multimodal Large Language Models via Monitoring Hidden States
发现视觉语言模型处理不安全提示时存在特定激活模式，据此提出无需微调的 HiddenDetect，越狱检测效果优于现有先进方法。
Yilei Jiang, Xinyan Gao, Tianshuo Peng 等ACL Anthology - 分层安全再对齐：轻量恢复剪枝视觉语言模型的安全性Hierarchical Safety Realignment: Lightweight Restoration of Safety in Pruned Large Vision-Language Models
发现剪枝会损害视觉语言模型安全性，提出HSR定位安全关键注意力头并恢复相关神经元，在多种剪枝设置下改善安全表现。
- HumT DumT：测量与控制大语言模型的拟人语言HumT DumT: Measuring and controlling human-like language in LLMs
提出拟人语气指标 HumT，发现用户在许多情境中偏好较少拟人的输出，并以 DumT 在保持性能的同时降低拟人语气。
Myra Cheng, Sunny Yu, Dan JurafskyACL Anthology - 定位安全关键奇异向量，改进大语言模型安全训练Improve Safety Training of Large Language Models with Safety-Critical Singular Vectors Localization
定位安全关键奇异向量并据此初始化LoRA，将训练更新限制在安全相关参数中，实验表明可保持防御效果并减轻通用能力损失。
Peijian Gu, Quan Wang, Zhendong MaoACL Anthology - 改进大语言模型的无偏水印Improved Unbiased Watermark for Large Language Models
提出多通道无偏水印MCmark，在保持原始生成分布的同时提升鲁棒性，实验中可检测性较现有最佳无偏水印提高超过10%。
Ruibo Chen, Yihan Wu, Junfeng Guo 等ACL Anthology - 以攻促防：通过对抗训练保护机器生成文本检测器Iron Sharpens Iron: Defending Against Attacks in Machine-Generated Text Detection with Adversarial Training
提出同步更新攻击器与检测器的GREATER框架，在十种文本扰动和六类对抗攻击中提升检测防御，并增强攻击生成效率。
Yuanfan Li, Zhaohan Zhang, Chengzhengxu Li 等ACL Anthology - K/DA：韩语隐性冒犯语言去毒的自动数据生成流程K/DA: Automated Data Generation Pipeline for Detoxifying Implicitly Offensive Language in Korean
提出自动生成含隐性冒犯与流行俚语的配对数据流程，生成数据具有较高配对一致性，并支持通过简单指令微调训练高性能去毒模型。
Minkyeong Jeon, Hyemin Jeong, Yerang Kim 等ACL Anthology - 学习改写：可泛化的大语言模型生成文本检测Learning to Rewrite: Generalized LLM-Generated Text Detection
通过训练放大模型改写人类与机器文本时的编辑距离差异，实现生成文本检测，并在跨域及对抗攻击测试中优于现有检测方法。
Wei Hao, Ran Li, Weiliang Zhao 等ACL Anthology - LED-Merging：缓解模型合并中的安全与效用冲突LED-Merging: Mitigating Safety-Utility Conflicts in Model Merging with Location-Election-Disjoint
通过神经元定位、筛选与冲突更新隔离改进模型合并，在Llama-3-8B-Instruct上将有害响应率降低31.4%，保留95%的效用表现。
Qianli Ma, Dongrui Liu, Qian Chen 等ACL Anthology - MIND：零样本有害模因检测的多智能体框架MIND: A Multi-agent Framework for Zero-shot Harmful Meme Detection
结合相似模因检索、双向洞察提取与多智能体辩论，无需标注数据即可检测有害模因，在三个数据集上优于现有零样本方法。
Ziyan Liu, Chunxiao Fan, Haoran Lou 等ACL Anthology - MTSA：通过多轮红队实现大语言模型多轮安全对齐MTSA: Multi-turn Safety Alignment for LLMs through Multi-round Red-teaming
提出多轮安全对齐框架，以思路引导攻击学习、攻防迭代和未来奖励强化学习训练模型，同时提升红队攻击能力与目标模型安全表现。
Weiyang Guo, Jing Li, Wenya Wang 等ACL Anthology - 利用大语言模型重排序减少社交平台有害内容暴露Re-ranking Using Large Language Models for Mitigating Exposure to Harmful Content on Social Media Platforms
利用大模型零样本与少样本重排序降低有害内容暴露，并提出两项评测指标，在三个数据集上的实验优于现有专有审核方法。
Rajvardhan Oak, Muhammad Haroon, Claire Wonjeong Jo 等ACL Anthology - 感到不安全就拒答：通过解耦拒答训练提升大模型安全性Refuse Whenever You Feel Unsafe: Improving Safety in LLMs via Decoupled Refusal Training
针对拒答位置偏差，训练模型在生成任意位置从有害内容转向拒答，在两类模型的六种攻击场景中改善安全性且不损害性能。
Youliang Yuan, Wenxiang Jiao, Wenxuan Wang 等ACL Anthology - 可靠约束误报率：多尺度共形预测的零样本文本检测Reliably Bounding False Positives: A Zero-Shot Machine-Generated Text Detection Framework via Multiscaled Conformal Prediction
提出多尺度共形预测检测框架及 RealDet 数据集，在约束机器生成文本检测误报率的同时，提升检测性能与对抗攻击鲁棒性。
Xiaowei Zhu, Yubing Ren, Yanan Cao 等ACL Anthology - 通过表征弯折提升大语言模型安全性Representation Bending for Large Language Model Safety
提出RepBend，将激活引导融入微调损失以破坏有害行为表征，在多种越狱基准上将攻击成功率最高降低95%，通用能力损失可忽略。
Ashkan Yousefpour, Taeheon Kim, Ryan S. Kwon 等ACL Anthology - 面向 EaaS 的鲁棒且低侵入的水印方法Robust and Minimally Invasive Watermarking for EaaS
针对嵌入即服务易受模型提取攻击的问题，提出 ESpeW 为每个嵌入注入独特水印，对嵌入影响低于 1%，并能抵御水印移除攻击。
- 根源防御策略：在解码层面保障大语言模型安全Root Defense Strategies: Ensuring Safety of LLM at the Decoding Level
利用模型识别已生成危险内容的能力，逐步修正有害输出并结合推测解码，在保持帮助性与推理速度的同时提升安全性。
Xinyi Zeng, Yuying Shang, Jiawei Chen 等ACL Anthology - SafeChain：长思维链推理语言模型的安全性SafeChain: Safety of Language Models with Long Chain-of-Thought Reasoning Capabilities
在 StrongReject 与 WildJailbreak 上评测 13 个推理模型，发现其安全性不及推理能力；提出 CoT 风格安全训练数据集 SafeChain，微调后提升安全且保持推理性能。
- SafeEraser：通过多模态机器遗忘增强 MLLM 安全SafeEraser: Enhancing Safety in Multimodal Large Language Models through Multimodal Machine Unlearning
构建含 3,000 图像、28.8K VQA 对的安全遗忘基准，发现现有方法易过度遗忘；提出 Prompt Decouple Loss，使 LLaVA 的 SARR 指标下降 79.5%。
- SafeRoute：为高效且准确的 LLM 安全护栏自适应选择模型SafeRoute: Adaptive Model Selection for Efficient and Accurate Safety Guardrails in Large Language Models
用二分类路由器区分难易样本，仅对难例调用大型安全护栏模型，在多个基准上改善了计算成本与安全性能的权衡。
- 通过受约束知识遗忘实现安全对齐Safety Alignment via Constrained Knowledge Unlearning
提出 CKU，定位并保护有用知识相关神经元，在遗忘有害知识时裁剪其梯度，实验显示可在保持总体性能的同时提升安全性。
Zesheng Shi, Yucheng Zhou, Jing Li 等ACL Anthology - 安全不止于拒答：面向可解释 LLM 安全的推理增强微调Safety is Not Only About Refusal: Reasoning-Enhanced Fine-tuning for Interpretable LLM Safety
提出 RATIONAL，训练模型在回答前进行显式安全推理，使其在拒绝有害提示的同时给出符合语境的回答，以应对越狱攻击。
- 风暴中的沙堡：重新审视强水印的可能性Sandcastles in the Storm: Revisiting the (Im)possibility of Strong Watermarking
通过大规模实验与人工审核检验随机游走去水印攻击，发现混合缓慢且质量判别不可靠，人工审核后的去除成功率仅为10%。
Fabrice Y Harel-Canada, Boran Erol, Connor Choi 等ACL Anthology - 塑造安全边界：理解并防御大语言模型越狱Shaping the Safety Boundaries: Understanding and Defending Against Jailbreaks in Large Language Models
发现越狱使有害激活越出安全边界，并提出激活边界防御 ABD，平均防御成功率超过98%，通用能力影响低于2%。
Lang Gao, Jiahui Geng, Xiangliang Zhang 等ACL Anthology - ShieldHead：面向大语言模型的解码时安全防护ShieldHead: Decoding-time Safeguard for Large Language Models
在对话模型末层隐状态上训练轻量分类头实现流式有害内容检测，在 XSTest 和 SafeRLHF 上达到 SOTA，速度比 LLM 审核模型快约 300 倍。
- SINCon：缓解谣言检测中的模型生成恶意消息注入SINCon: Mitigate LLM-Generated Malicious Message Injection Attack for Rumor Detection
通过对比学习均衡传播树各节点对预测的影响，在 Twitter 和微博数据上保持干净数据分类准确率，并增强对模型生成消息注入的抵抗力。
Mingqing Zhang, Qiang Liu, Xiang Tao 等ACL Anthology - 黑暗的崛起：角色扮演对话 Agent 中的安全与效用权衡The Rise of Darkness: Safety-Utility Trade-Offs in Role-Playing Dialogue Agents
发现反派角色与用户提问的“风险耦合”造成安全-效用权衡，提出 ADMP 方法动态调整偏好并引入 CMS，提升安全指标且保持效用。
- ThinkGuard：深思慢想带来更审慎的护栏ThinkGuard: Deliberative Slow Thinking Leads to Cautious Guardrails
提出带批判生成的护栏模型 ThinkGuard，从大模型蒸馏结构化批判，在多个安全基准上平均 F1 最高，相比 LLaMA Guard 3 准确率提升 16.1%。
- 迈向 LLM 安全推理：用多智能体协商生成嵌入策略的思维链数据Towards Safety Reasoning in LLMs: AI-agentic Deliberation for Policy-embedded CoT Data Creation
提出 AIDSAFE，用多智能体迭代协商生成含安全策略的 CoT 数据；据此微调开源 LLM 可提升安全泛化与越狱鲁棒性，同时保持可接受的效用。
- 揭示并缓解视觉语言模型的安全对齐退化Unraveling and Mitigating Safety Alignment Degradation of Vision-Language Models
发现引入视觉模态造成表示偏移而导致安全对齐退化，提出推理时干预方法 CMRM，将 LLaVA-7B 的不安全率从 61.53% 降至 3.15%。
- VSCBench：弥合视觉语言模型安全校准的差距VSCBench: Bridging the Gap in Vision-Language Model Safety Calibration
提出同时衡量欠安全与过度安全的安全校准概念，构建 3,600 对图文数据集评测 11 个 VLM，发现校准改进方法会损害模型效用。
- 大语言模型水印：一种无偏且低风险的方法Watermarking Large Language Models: An Unbiased and Low-risk Method
提出STA-1水印，在期望上保持原始词元分布，降低低熵场景的输出质量风险，并实现无需提示或白盒模型、对多种攻击稳健的高效检测。
Minjia Mao, Dongjun Wei, Zeyu Chen 等ACL Anthology - WET：用线性变换水印抵御嵌入服务中的改写攻击WET: Overcoming Paraphrasing Vulnerabilities in Embeddings-as-a-Service with Linear Transformation Watermarks
发现攻击者克隆嵌入服务时可通过改写移除现有水印，提出线性变换水印，并从理论和实验上验证其对改写攻击的鲁棒性。
Anudeex Shetty, Qiongkai Xu, Jey Han LauACL Anthology - 通过自感知护栏增强释放大语言模型的安全潜力Why Not Act on What You Know? Unleashing Safety Potential of LLMs via Self-Aware Guard Enhancement
针对模型能识别越狱却仍生成不安全回答的落差，提出免训练防御SAGE，在所测攻击上平均防御成功率达99%。
- XDAC：可解释AI驱动的韩语模型生成新闻评论检测与归因XDAC: XAI-Driven Detection and Attribution of LLM-Generated News Comments in Korean
为防范舆论操纵，构建大规模韩语评论数据集并提出可解释检测框架，模型生成评论检测与来源归因的F1分别达98.5%和84.3%。
Wooyoung Go, Hyoungshick Kim, Alice Oh 等ACL Anthology
对齐
24- 大语言模型多国价值观对齐基准Benchmarking Multi-National Value Alignment for Large Language Models
提出 NaVAB 基准，评估 LLM 与中美英法德五国价值观的对齐程度，并展示结合对齐技术可使模型价值观贴近目标国家。
- 超越被动安全：通过长期模拟实现风险感知对齐Beyond Reactive Safety: Risk-Aware LLM Alignment via Long-Horizon Simulation
通过模拟建议的长期社会影响增强安全对齐，构建100个间接伤害场景，新数据集表现提升超过20%。
- 结合领域与对齐向量，改善大模型的知识与安全权衡Combining Domain and Alignment Vectors Provides Better Knowledge-Safety Trade-offs in LLMs
提出模型合并方法MergeAlign，通过插值领域与对齐参数增量提升专家模型安全性，在医学和金融基准上几乎不损失领域性能。
Megh Thakkar, Quentin Fournier, Matthew Riemer 等ACL Anthology - DeAL：大语言模型的解码时对齐DeAL: Decoding-time Alignment for Large Language Models
将解码建模为启发式引导搜索，以自定义奖励权衡无害性、帮助性等目标，实验显示可改善对齐，并与 RLHF 和提示方法互补。
James Y. Huang, Sailik Sengupta, Daniele Bonadiman 等ACL Anthology - 通过偏好重排序与表征奖励建模实现高效安全对齐Efficient Safety Alignment of Large Language Models via Preference Re-ranking and Representation-based Reward Modeling
利用模型内部安全判断信号重排序偏好数据，缓解离策略训练的分布偏移，提升安全表现并避免约300倍的计算开销。
Deng Qiyuan, Xuefeng Bai, Kehai Chen 等ACL Anthology - 探究指令微调对大语言模型错误信息易感性的影响Exploring the Impact of Instruction-Tuning on LLM’s Susceptibility to Misinformation
比较指令微调与基础模型，发现微调提高了模型对用户错误信息的接受程度，并使易感性从助手角色转向用户角色。
Kyubeen Han, Junseo Jang, Hongjin Kim 等ACL Anthology - 以生成式心理词汇方法构建大语言模型价值体系Generative Psycho-Lexical Approach for Constructing Value Systems in Large Language Models
提出生成式心理词汇方法及五因素价值体系，相比施瓦茨价值体系，更好地刻画模型价值观，并改善安全预测与对齐效果。
Haoran Ye, TianZe Zhang, Yuhang Xie 等ACL Anthology - 如何缓解弱到强泛化中的过拟合？How to Mitigate Overfitting in Weak-to-strong Generalization?
针对弱监督对齐中的过拟合，提出同时改善监督信号与输入问题质量的两阶段框架，在数学基准上显著提高性能差距恢复率。
Junhao Shi, Qinyuan Cheng, Zhaoye Fei 等ACL Anthology - 混合偏好：学习将样本分配给人类或AI反馈Hybrid Preferences: Learning to Route Instances for Human vs. AI Feedback
提出HyPER选择人类与模型偏好标注的组合，在降低人工成本的同时提升奖励模型表现，并发现中等安全风险或复杂度的提示最受益于人工反馈。
Lester James Validad Miranda, Yizhong Wang, Yanai Elazar 等ACL Anthology - 语言模型抵抗对齐：来自数据压缩的证据Language Models Resist Alignment: Evidence From Data Compression
从压缩理论与实验揭示对齐后模型经再次微调易回归预训练行为分布，且这种回弹倾向随模型规模和预训练数据量增大而增强。
Jiaming Ji, Kaile Wang, Tianyi Alex Qiu 等ACL Anthology - LSSF：通过低秩安全子空间融合实现大模型安全对齐LSSF: Safety Alignment for Large Language Models through Low-Rank Safety Subspace Fusion
提出低秩安全子空间融合方法，无需再次微调即可恢复微调模型的安全对齐，并在实验中对下游任务性能影响较小。
Guanghao Zhou, Panjia Qiu, Cen Chen 等ACL Anthology - M-RewardBench：多语言场景下的奖励模型评测M-RewardBench: Evaluating Reward Models in Multilingual Settings
构建覆盖23种语言及安全等任务的奖励模型基准，发现英语与非英语表现差距显著，模型偏好也会随语言发生较大变化。
Srishti Gureja, Lester James V. Miranda, Shayekh Bin Islam 等ACL Anthology - MoTE：推理链与专家混合协同实现自对齐Mixture of insighTful Experts (MoTE): The Synergy of Reasoning Chains and Expert Mixtures in Self-Alignment
结合四阶段安全推理链与按步骤路由的多LoRA专家，改善模型安全性、越狱抵抗与过度拒答，报告表现可比o1。
Zhili Liu, Yunhao Gou, Kai Chen 等ACL Anthology - MPO：通过奖励差距优化实现多语言安全对齐MPO: Multilingual Safety Alignment via Reward Gap Optimization
提出MPO，通过缩小优势语言与目标语言的奖励差距差异迁移安全能力，在三个模型系列上改善多语言安全对齐且不降低通用效用。
Weixiang Zhao, Yulin Hu, Yang Deng 等ACL Anthology - PKU-SafeRLHF：基于人类偏好的多级安全对齐PKU-SafeRLHF: Towards Multi-Level Safety Alignment for LLMs with Human Preference
发布区分有用性与无害性的数据集，覆盖19类危害和三级严重程度，并用于训练感知严重程度的审核模型与安全RLHF算法。
Jiaming Ji, Donghai Hong, Borong Zhang 等ACL Anthology - PopAlign：通过多样化对比模式实现更全面的对齐PopAlign: Diversifying Contrasting Patterns for a More Comprehensive Alignment
提出 PopAlign，在提示、模型和流程层面引入六种无需额外反馈标注的对比策略，实验显示多样化偏好数据能改善对齐效果。
Zekun Moore Wang, Shenzhi Wang, King Zhu 等ACL Anthology - 通过动态目标间隔实现稳健偏好优化Robust Preference Optimization via Dynamic Target Margins
提出γ-PO，通过逐对校准奖励间隔抑制偏好数据噪声，在多个对齐基准上较其他基线平均提升4.4%。
- SafeLawBench：从法律视角评测 LLM 安全对齐SafeLawBench: Towards Safe Alignment of Large Language Models
依据法律标准将安全风险分三级，构建含 24,860 道选择题和 1,106 道问答的基准；Claude-3.5-Sonnet 与 GPT-4o 选择题准确率均未超过 80.5%，20 个模型平均 68.8%。
- SEA：借助合成嵌入实现多模态大模型低资源安全对齐SEA: Low-Resource Safety Alignment for Multimodal Large Language Models via Synthetic Embeddings
提出SEA，仅用文本数据合成其他模态嵌入进行安全对齐，在图像、视频和音频模型上提升安全性，并提出视频与音频安全评测基准。
Weikai Lu, Hao Peng, Huiping Zhuang 等ACL Anthology - 去芜存菁：微调语言模型的事后安全再对齐Separate the Wheat from the Chaff: A Post-Hoc Approach to Safety Re-Alignment for Fine-Tuned Language Models
提出IRR，识别并移除不安全参数增量、重新校准保留参数，在全量微调和LoRA实验中改善有害查询与越狱安全表现并保持下游性能。
- 改进大语言模型对齐的价值原则：系统评估与增强Towards Better Value Principles for Large Language Model Alignment: A Systematic Evaluation and Enhancement
从全面性、精确性与兼容性量化评估价值原则，提出按场景逐级检索原则的 HiVaP 框架，实验显示可提升对齐效果。
Bingbing Xu, Jing Yao, Xiaoyuan Yi 等ACL Anthology - 通过影响函数理解人类反馈的作用Understanding Impact of Human Feedback via Influence Functions
提出计算高效的影响函数近似方法，量化人类反馈对奖励模型的作用，并用于检测标注者偏差、指导反馈向专家判断靠拢。
Taywon Min, Haeone Lee, Yongchan Kwon 等ACL Anthology - 价值观对齐大模型的意外危害：心理学与实证洞见Unintended Harms of Value-Aligned LLMs: Psychological and Empirical Insights
发现个人价值观对齐可能增加模型有害行为，分析价值观与风险的关联及心理学解释，并提出上下文对齐方法改善安全性。
- 没有正确选项时：大语言模型的选择题鲁棒性Wait, that’s not an option: LLMs Robustness with Incorrect Multiple-Choice Options
通过无正确选项的选择题评测，发现对齐后模型常服从指令而选择错误答案，暴露对齐优化与反思判断之间的冲突。
Gracjan Góral, Emilia Wiśnios, Piotr Sankowski 等ACL Anthology
欺骗与谋划
1- 语言模型无需说谎也能欺骗：立法中的策略性措辞研究Language Models can Subtly Deceive Without Lying: A Case Study on Strategic Phrasing in Legislation
在模拟立法场景中发现，模型可用隐蔽措辞掩盖受益企业，重新规划与采样使欺骗率最多增加40个百分点，人工评估支持自动评测结果。
Atharvan Dogra, Krishna Pillutla, Ameet Deshpande 等ACL Anthology
奖励作弊
2- CARMO：面向上下文感知奖励建模的动态准则生成CARMO: Dynamic Criteria Generation for Context Aware Reward Modelling
奖励模型易被冗长、列表等表面特征劫持，CARMO 先动态生成与查询相关的评估准则再打分，理论上可缓解 reward hacking，并在 Reward Bench 上提升 2.1%。
- 消除 RLHF 中的提示模板偏差Removing Prompt-template Bias in Reinforcement Learning from Human Feedback
发现奖励模型学到的提示模板偏差会引发 reward hacking，使模型偏好特定格式；提出 PBC 校准奖励分数，并可与去长度偏差方法结合。
可解释性
7- 超越提示工程：通过目标原子引导稳健控制大模型行为Beyond Prompt Engineering: Robust Behavior Control in LLMs via Steering Target Atoms
提出STA，分离并操控解耦的知识成分以增强安全性；实验显示其在对抗场景中的鲁棒性与灵活性，并验证了对推理模型的控制效果。
Mengru Wang, Ziwen Xu, Shengyu Mao 等ACL Anthology - COSMIC：LLM 激活中的通用拒答方向识别COSMIC: Generalized Refusal Direction Identification in LLM Activations
提出 COSMIC，用余弦相似度自动选择拒答 steering 方向与目标层，无需依赖拒答 token，在对抗场景和弱安全对齐模型中也能识别拒答方向。
- DAPI：领域自适应毒性探针向量干预实现细粒度解毒DAPI: Domain Adaptive Toxicity Probe Vector Intervention, for Fine-Grained Detoxification
为不同毒性类别训练探针向量，生成时动态选择并缩放后从模型中减去；毒性最多降低 78.52%，流畅度几乎不变。
- LLMBraces：通过相关子更新调整大语言模型预测LLM Braces: Straightening Out LLM Predictions with Relevant Sub-Updates
依据输入相关性动态调节前馈层子更新的贡献，以较少可训练参数改善预测，并在情感控制生成和降低有毒输出方面展现效果。
Ying Shen, Lifu HuangACL Anthology - 通过定向干预实现语言模型的多属性引导Multi-Attribute Steering of Language Models via Targeted Intervention
提出MAT-Steer，通过选择性词元干预与稀疏正交引导向量缓解属性冲突，在兼顾真实性、毒性等属性的任务中优于既有方法。
Duy Nguyen, Archiki Prasad, Elias Stengel-Eskin 等ACL Anthology - 小改动，大影响：少量神经元操控如何改变大模型攻击性Small Changes, Big Impact: How Manipulating a Few Neurons Can Drastically Alter LLM Aggression
识别与攻击性表达相关的神经元并进行屏蔽和激活实验，发现仅操控少量神经元即可使攻击性最高增加33%，且效果随层位置变化。
Jaewook Lee, Junseo Jang, Oh-Woog Kwon 等ACL Anthology - 防护为何失效？对齐模型的安全机制倾向锚定模板区域Why Safeguarded Ships Run Aground? Aligned Large Language Models’ Safety Mechanisms Tend to Be Anchored in The Template Region
通过实验和机制分析发现，多种对齐模型的安全决策过度依赖模板区域，导致越狱脆弱性；降低这种依赖有望改善防御。
Chak Tou Leong, Qingyu Yin, Jian Wang 等ACL Anthology
后门与投毒
13- BadWindtunnel：用置信度方差在高噪声模拟训练中防御后门BadWindtunnel: Defending Backdoor in High-noise Simulated Training with Confidence Variance
构建高噪声模拟训练环境，以置信度方差刻画投毒数据的学习行为，并识别目标标签与投毒样本，攻击成功率平均降幅比次优防御高 21%。
- 审查链：检测大语言模型的后门攻击Chain-of-Scrutiny: Detecting Backdoor Attacks for Large Language Models
提出CoS，通过检查推理步骤与最终输出的一致性检测后门，适用于仅开放API的模型，实验显示更强模型获益更大。
- 基于近似贪婪梯度下降的语料库投毒Corpus Poisoning via Approximate Greedy Gradient Descent
提出 AGGD 攻击，生成对抗段落注入检索语料库，在 ANCE 上攻击成功率比 HotFlip 高 15–17 个百分点，并可迁移到 RAG 知识投毒。
- ELBA-Bench：大语言模型高效学习后门攻击基准ELBA-Bench: An Efficient Learning Backdoor Attacks Benchmark for Large Language Models
通过逾1300项实验比较12种后门攻击，发现参数高效微调攻击在分类任务中持续优于免微调方法，并提供统一研究工具箱。
Xuxu Liu, Siyuan Liang, Mengya Han 等ACL Anthology - MEGen：通过模型编辑向 LLM 植入生成式后门MEGen: Generative Backdoor into Large Language Models via Model Editing
提出基于编辑的生成式后门，仅改少量局部参数和少样本即可高成功率触发，被触发时能在完成下游任务的同时输出预设的危险信息。
- MEraser：大语言模型的高效指纹擦除方法MEraser: An Effective Fingerprint Erasure Approach for Large Language Models
提出两阶段微调方法MEraser，在所测模型中用不足千条样本完全移除基于后门的认证指纹，同时保持模型性能。
Jingxuan Zhang, Zhenhua Xu, Rui Hu 等ACL Anthology - 合并劫持：针对大语言模型合并的后门攻击Merge Hijacking: Backdoor Attacks to Model Merging of Large Language Models
提出通过恶意上传模型向合并模型传递后门的方法，在多种模型、合并算法及真实模型实验中有效，并能抵抗三种所测防御。
Zenghui Yuan, Yangming Xu, Jiawen Shi 等ACL Anthology - 用 GMTP 保护 RAG 流水线：基于梯度的掩码 token 概率检测投毒文档Safeguarding RAG Pipelines with GMTP: A Gradient-based Masked Token Probability Method for Poisoned Document Detection
提出 GMTP，利用检索器相似度梯度定位关键 token 并用 MLM 检查掩码概率，可滤除超过 90% 的投毒内容，同时保留相关文档。
- 多模态大语言模型的阴影激活后门攻击Shadow-Activated Backdoor Attacks on Multimodal Large Language Models
提出无需外部触发器的后门范式 BadMLLM，当回答涉及特定物体时隐式插入推广内容，在五个 MLLM 上兼顾攻击效果与模型效用。
- TUBA：指令微调下 LLM 后门攻击的跨语言迁移TUBA: Cross-Lingual Transferability of Backdoor Attacks in LLMs with Instruction Tuning
仅投毒一两种语言的指令微调数据，即可迁移到未投毒语言，在 26 种语言上平均攻击成功率 99%，且在防御后仍有效，更强的模型更易受影响。
- TWIST：编辑文本编码器权重植入文生图木马TWIST: Text-encoder Weight-editing for Inserting Secret Trojans in Text-to-Image Models
通过编辑文本编码器的瓶颈层，无需训练或数据即可植入木马，平均攻击成功率达91%，注入耗时缩短至25秒。
Xindi Li, Zhe Liu, Tong Zhang 等ACL Anthology - 基于弱到强知识蒸馏的 LLM 后门遗忘Unlearning Backdoor Attacks for LLMs with Weak-to-Strong Knowledge Distillation
提出 W2SDefense，用小型干净教师模型通过特征对齐蒸馏引导被投毒大模型遗忘后门，在多种后门攻击下有效且不损害性能。
- 当后门开口：通过模型生成的解释理解大模型后门攻击When Backdoors Speak: Understanding LLM Backdoor Attacks Through Model-Generated Explanations
对比后门模型对干净与投毒输入的解释，发现投毒输入引发多样且逻辑有缺陷的解释，并伴随末层词元与注意力变化。
Huaizhi Ge, Yiming Li, Qifan Wang 等ACL Anthology
隐私与数据泄露
23- LoRD：以局部性强化蒸馏引导语言模型提取“Yes, My LoRD.” Guiding Language Model Extraction with Locality Reinforced Distillation
提出面向大模型的提取算法LoRD，利用受害模型回答引导本地模型偏好学习，在多种商业模型上验证提取效果，并分析查询成本与水印防护削弱。
Zi Liang, Qingqing Ye, Yanyun Wang 等ACL Anthology - 增强基于微调的 LLM 遗忘学习的通用框架A General Framework to Enhance Fine-tuning-based LLM Unlearning
提出 GRUN，用软门控区分目标数据并通过 ReFT 调整表示来抑制生成，在移除版权和隐私数据的同时显著提升遗忘效果与模型效用。
- 从统计与多视角重新审视大语言模型成员推断攻击A Statistical and Multi-Perspective Revisiting of the Membership Inference Attack in Large Language Models
通过数千次多设置实验重评成员推断，发现多数方法统计上未优于基线，效果受模型规模和领域影响，且阈值选择是被忽视的难题。
Bowen Chen, Namgi Han, Yusuke MiyaoACL Anthology - 合并陌生 LLM 需谨慎：可窃取隐私的钓鱼模型Be Cautious When Merging Unfamiliar LLMs: A Phishing Model Capable of Stealing Privacy
提出 PhiMM 攻击：训练伪装成专用能力的钓鱼模型，受害者合并后可提取 PII 与成员信息，平均 PII 泄露增加 3.9%、成员推断泄露增加 17.4%。
- CLEAR：文本与视觉模态下的角色遗忘基准CLEAR: Character Unlearning in Textual and Visual Modalities
提出首个开源多模态遗忘基准，含 200 个虚构人物和 3700 张图像，评测 11 种方法，发现联合遗忘两种模态优于单模态遗忘。
- 解耦记忆、静音神经元：面向 LLM 的实用机器遗忘Decoupling Memories, Muting Neurons: Towards Practical Machine Unlearning for Large Language Models
提出 NeuMuter，仅调制约 1% 的 FFN 神经元输出来遗忘指定数据，在四个 LLM 上有效遗忘并保持下游任务性能。
- DPGA-TextSyn：用于合成文本生成的差分隐私遗传算法DPGA-TextSyn: Differentially Private Genetic Algorithm for Synthetic Text Generation
结合通用 LLM 与遗传算法，在差分隐私约束下生成相关且多样的合成文本，在保证隐私的同时显著提升下游任务表现。
- DYNTEXT：面向隐私保护 LLM 推理的语义感知动态文本脱敏DYNTEXT: Semantic-Aware Dynamic Text Sanitization for Privacy-Preserving LLM Inference
基于本地差分隐私，按语义密度动态构建敏感词邻接表并替换，在隐私与效用间取得更好平衡，三个数据集上优于强基线。
- 估计语言模型中补充上下文知识的隐私泄露Estimating Privacy Leakage of Augmented Contextual Knowledge in Language Models
提出基于差分隐私的上下文影响指标，区分参数知识与上下文带来的泄露，发现偏离参数知识分布的上下文会产生隐私泄露。
James Flemings, Bo Jiang, Wanrong Zhang 等ACL Anthology - 利用低排名词元揭示大语言模型的隐私泄漏Exploiting the Shadows: Unveiling Privacy Leaks through Lower-Ranked Tokens in Large Language Models
提出利用模型低排名输出词元提取敏感信息的攻击，在智能体应用隐私提取和直接训练数据提取场景中均验证了有效性。
Yuan Zhou, Zhuo Zhang, Xiangyu ZhangACL Anthology - MMUnlearner：重新定义多模态大模型的机器遗忘MMUnlearner: Reformulating Multimodal Machine Unlearning in the Era of Multimodal Large Language Models
提出几何约束梯度上升方法，删除实体相关视觉模式并保留文本知识，在全部评估维度上优于所比较的遗忘基线。
- 通过模态感知神经元剪枝实现多模态大模型遗忘Modality-Aware Neuron Pruning for Unlearning in Multimodal Large Language Models
针对多模态模型记忆并泄露敏感信息的问题，提出按模态识别并剪除相关神经元的方法，在较少影响模型效用的同时实现更均衡的跨模态遗忘。
Zheyuan Liu, Guangyao Dou, Xiangchi Yuan 等ACL Anthology - Opt-Out：基于最优传输的大语言模型实体级遗忘Opt-Out: Investigating Entity-Level Unlearning for Large Language Models via Optimal Transport
提出实体级遗忘方法 Opt-Out 与评测集 ELUDe，利用参数间 Wasserstein 距离删除目标实体知识，实验表现优于已有方法。
Minseok Choi, Daniel Rim, Dohyun Lee 等ACL Anthology - PIG：基于梯度迭代上下文优化的隐私越狱攻击PIG: Privacy Jailbreak Attack on LLMs via Gradient-based Iterative In-Context Optimization
提出通过梯度迭代优化上下文来提取个人身份信息的 PIG，在四个白盒和两个黑盒模型上优于基线，揭示安全对齐后的隐私泄露风险。
Yidan Wang, Yanan Cao, Yubing Ren 等ACL Anthology - PrivaCI-Bench：情境完整性与法律合规隐私评测PrivaCI-Bench: Evaluating Privacy with Contextual Integrity and Legal Compliance
构建涵盖法规、判例、隐私政策和合成数据的情境隐私基准，发现模型虽能识别关键情境参数，隐私合规能力仍有不足。
Haoran Li, Wenbin Hu, Huihao Jing 等ACL Anthology - 隐私记忆编辑：将模型记忆转化为数据隐私防御Private Memorization Editing: Turning Memorization into a Defense to Strengthen Data Privacy in Large Language Models
提出PME，检测并编辑模型记住的个人身份信息，在不影响基础语言模型的同时减少训练数据提取泄露，部分配置下攻击准确率降至零。
Elena Sofia Ruzzetti, Giancarlo A. Xompero, Davide Venditti 等ACL Anthology - R.R.：通过回忆与排序揭示 LLM 训练隐私R.R.: Unveiling LLM Training Privacy through Recollection and Ranking
提出两步隐私窃取攻击：先让 LLM 回忆并填补被掩码的文本以提取 PII 候选，再用参考模型校准排序；即便训练数据已清洗仍可重建 PII。
- RecordTwin：构建安全的合成临床语料RecordTwin: Towards Creating Safe Synthetic Clinical Corpora
从匿名化临床实体出发，用 LLM 补全上下文生成合成语料，仅需少量原始文档；实验显示效用接近原数据，且隐私安全性优于基线。
- REVS：通过词表空间秩编辑遗忘语言模型中的敏感信息REVS: Unlearning Sensitive Information in Language Models via Rank Editing in the Vocabulary Space
提出非梯度方法 REVS，修改少量与敏感信息相关的神经元来遗忘邮箱、SSN 等 PII，在抗提取攻击上优于其他方法并保持模型完整性。
- 基于采样伪似然的成员推断攻击Sampling-based Pseudo-Likelihood for Membership Inference Attacks
提出 SaMIA，仅用 LLM 生成文本的 n-gram 匹配度计算伪似然来判断文本是否在训练集中，无需 likelihood 即可媲美现有方法，可用于闭源模型。
- 学习用 token、遗忘用 token：以双目的训练缓解 LLM 的成员推断攻击Tokens for Learning, Tokens for Unlearning: Mitigating Membership Inference Attacks in Large Language Models via Dual-Purpose Training
提出 DuoLearn，按 token 特性区分需学习的难 token 与需遗忘的已记忆 token，在训练阶段防御成员推断攻击，同时让语言建模性能提升约 10%。
- 当GPT泄密：GPTs知识文件泄露的全面评估When GPT Spills the Tea: Comprehensive Assessment of Knowledge File Leakage in GPTs
系统识别GPTs知识文件的五类泄露途径，其中代码解释器引入的权限提升漏洞可使攻击者直接下载原始文件，成功率达95.95%。
Xinyue Shen, Yun Shen, Michael Backes 等ACL Anthology - 哪些保留集影响大模型遗忘？实体遗忘案例研究Which Retain Set Matters for LLM Unlearning? A Case Study on Entity Unlearning
发现句法相似查询在实体遗忘中性能损失最大，将其用于正则化可保护这类查询，并维持或改善其他子集表现。
供应链安全
2- ESF：面向 LLM 黑盒篡改检测的高效敏感指纹ESF: Efficient Sensitive Fingerprinting for Black-Box Tamper Detection of Large Language Models
提出首个面向 LLM 黑盒篡改检测的指纹方法，仅用 5 个指纹样本即可以超过 99.2% 的检出率发现微调、压缩与后门注入。
- LLM 供应链中通过排列触发器劫持系统提示System Prompt Hijacking via Permutation Triggers in LLM Supply Chains
提出 SHIP 攻击：供应方植入需按精确顺序出现才激活的排列触发器，绕过部署方系统提示，在八个模型上 ASR 最高达 100% 且能抵御六种防御。
危险能力
3- 超越单值指标：用认知诊断评估并增强 LLM 遗忘Beyond Single-Value Metrics: Evaluating and Enhancing LLM Unlearning with Cognitive Diagnosis
提出 UNCD 框架及 UNCD-Cyber 基准，细粒度评估危险能力的移除情况，并用 UNCD-Agent 针对残留知识生成遗忘数据以提升遗忘效果。
- CRiskEval：大语言模型中文多级风险评测基准CRiskEval: A Chinese Multi-Level Risk Evaluation Benchmark Dataset for Large Language Models
构建覆盖七类前沿风险的14,888道选择题，发现多数受测中文模型的加权风险倾向超过40%；测量对象是回答中的倾向而非实际行为。
Ling Shi, Deyi XiongACL Anthology - 核部署！自主 LLM Agent 决策中的灾难性风险分析Nuclear Deployed!: Analyzing Catastrophic Risks in Decision-making of Autonomous LLM Agents
构建三阶段评测框架，对 12 个 LLM 做 14,400 次 Agent 模拟，发现其会自发出现灾难性行为与欺骗，且推理能力越强风险往往越高。
AI 与网络攻防
2- CLeVeR：用于漏洞代码表征的多模态对比学习CLeVeR: Multi-modal Contrastive Learning for Vulnerability Code Representation
利用漏洞描述监督代码表征的对比学习，在漏洞检测和分类任务上分别取得72.82%和80.34%的F1，优于现有方法。
- 夹击中的大语言模型：恶意软件请求与越狱挑战LLMs Caught in the Crossfire: Malware Requests and Jailbreak Challenges
构建含3520条越狱提示的 MalwareBench，发现主流模型对恶意代码请求的平均拒绝率为60.93%，结合越狱后降至39.92%。
Haoyang Li, Huan Gao, Zhiyuan Zhao 等ACL Anthology
开源模型安全
1- SDD：以自退化防御恶意微调SDD: Self-Degraded Defense against Malicious Fine-tuning
提出 SDD，使模型对有害提示生成高质量但无关的回复，恶意微调时通用能力显著退化，从而抑制有害指令执行，实验验证其有效性。
ZiXuan Chen, Weikai Lu, Xin Lin 等ACL Anthology
红队
15- AdamMeme：自适应探测多模态大模型的有害性推理能力AdamMeme: Adaptively Probe the Reasoning Capacity of Multimodal Large Language Models on Harmfulness
通过多智能体协作迭代补充高难度梗图，自适应评估多模态模型对有害性的理解，揭示不同模型的细粒度推理弱点。
Zixin Chen, Hongzhan Lin, Kaixin Li 等ACL Anthology - 利用大语言模型搜索改进红队测试Better Red Teaming via Searching with Large Language Model
提出以大模型为世界模型的蒙特卡洛树搜索框架，在保持计算效率的同时提高红队攻击成功率。
- 镜中偏见：大语言模型的观点能抵抗自身的对抗攻击吗Bias in the Mirror : Are LLMs opinions robust to their own adversarial attacks
让同一模型的两个实例持相反观点说服中立实例，跨模型与语言评估偏见的持续性，以及强化错误信息或转向有害观点的倾向。
Virgile Rennard, Christos Xypolopoulos, Michalis VazirgiannisACL Anthology - 只见树木不见森林：多模态大模型安全意识评测Can’t See the Forest for the Trees: Benchmarking Multimodal Safety Awareness for Multimodal LLMs
构建涵盖29类场景、1500组图文输入的安全意识基准，发现九款模型同时存在漏判危险内容与过度敏感问题，三类改进方法均未达满意水平。
Wenxuan Wang, Xiaoyuan Liu, Kuiyi Gao 等ACL Anthology - 语码转换红队：评估大语言模型安全与多语言理解Code-Switching Red-Teaming: LLM Evaluation for Safety and Multilingual Understanding
提出混合多种语言的 CSRT 红队框架，在十个模型上比标准英语攻击多实现46.7%的成功攻击，揭示多语言安全对齐的薄弱点。
Haneul Yoo, Yongjin Yang, Hwaran LeeACL Anthology - 基于认知推理的大语言模型多轮安全动态评测Dynamic Evaluation with Cognitive Reasoning for Multi-turn Safety of Large Language Models
提出CogSafe，通过场景模拟、策略决策与认知过程动态生成多轮对话，实验验证其安全评测的有效性与可扩展性。
Lanxue Zhang, Yanan Cao, Yuqiang Xie 等ACL Anthology - 动态 Evil Score 引导解码：面向红队模型的高效解码框架Dynamic Evil Score-Guided Decoding: An Efficient Decoding Framework For Red-Team Model
提出 DESGD，用小型不安全模型的 evil score 在解码时调整目标模型 logits，在 Llama-3.2-3B 上 ASR 达 92.83%，高于对抗微调的 83.48%。
- 利用指令跟随检索器进行恶意信息检索Exploiting Instruction-Following Retrievers for Malicious Information Retrieval
测试六个主流检索器，多数对超 50% 的恶意查询能选出有害段落，指令跟随能力可被利用，且有害段落会让安全对齐的 LLM 满足恶意请求。
- 如果埃莉诺·里格比遇见ChatGPT：大模型时代的孤独研究If Eleanor Rigby Had Met ChatGPT: A Study on Loneliness in a Post-LLM World
分析用户将ChatGPT用于孤独陪伴的对话，发现其未能妥善回应自杀意念与创伤，相关对话中的有毒内容发生率也高出35%。
Adrian de WynterACL Anthology - LongSafety：评估大语言模型的长上下文安全性LongSafety: Evaluating Long-Context Safety of Large Language Models
构建含1543个案例的长上下文安全基准，评测16个模型发现多数安全率低于55%，且短上下文安全表现不保证长上下文安全。
Yida Lu, Jiale Cheng, Zhexin Zhang 等ACL Anthology - MDIT-Bench：评测大型多模态模型的双重隐式毒性MDIT-Bench: Evaluating the Dual-Implicit Toxicity in Large Multimodal Models
提出双重隐式毒性与含 317,638 个问题的基准，评测 13 个 LMM，发现它们难以处理此类毒性，困难级别下表现显著下降。
- Qorǵau：哈萨克语-俄语双语场景下的安全评测Qorǵau: Evaluating Safety in Kazakh-Russian Bilingual Contexts
构建哈萨克语与俄语的 LLM 安全评测数据集，实验显示多语言与专用模型的安全表现差异明显，强调需要区域化的安全数据。
- 更安全还是更走运？大语言模型安全评审易受表面措辞干扰Safer or Luckier? LLMs as Safety Evaluators Are Not Robust to Artifacts
评测11款安全评审模型，发现道歉等表面措辞可显著扭曲安全判断；多模型联合评审虽有改善，仍无法消除这类敏感性。
Hongyu Chen, Seraphina Goldfarb-TarrantACL Anthology - TRIDENT：以三维多样化红队数据合成增强模型安全TRIDENT: Enhancing Large Language Model Safety with Tri-Dimensional Diversified Red-Teaming Data Synthesis
从词汇、恶意意图与越狱策略三维合成安全训练数据，微调后较最佳基线的平均危害评分降低14.29%，攻击成功率降低20%。
Xiaorui Wu, Xiaofeng Mao, Fei Li 等ACL Anthology - VLSBench：揭示多模态安全评测中的视觉信息泄漏VLSBench: Unveiling Visual Leakage in Multimodal Safety
发现现有基准的文本会泄露图像风险线索，构建2200对无此泄漏的图文样本，并发现消除泄漏后多模态对齐优于纯文本对齐。
Xuhao Hu, Dongrui Liu, Hao Li 等ACL Anthology