攻击arXiv 2610.06093
研究评测训练数据提取风险的跨语言迁移
用翻译前缀做跨语言训练数据提取，恢复英语训练文本中的 PII
- arXiv
- 2610.06093
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- GPT-Neo 1.3B、GPT-Neo 2.7B、GPT-J 6B 等7个
- 攻击提取与窃取
摘要跨语言 TDE 能恢复英语记忆的 PII，转移随多语训练和措辞保真变化。
这篇工作检验训练数据抽取是否跨语言：英语段落里记住的 PII，能否被其他语言的前缀逐字抽出。
- 攻击arXiv 2610.04128
研究显示拆分学习中的梯度可提升客户端文本重建率
衡量分裂学习中梯度相对激活对客户文本重建的额外贡献
- arXiv
- 2610.04128
- 发表
- 场景
- 模型与 API
- 被测模型
- GPT-2 (openai-community/gpt2, 124M)、Qwen3-0.6B
- 攻击提取与窃取
摘要激活已恢复大部分 token。
这篇工作测量 split learning 分裂点上的文本泄漏：激活单独能恢复多少，训练回传的梯度再增加多少，以及按 token 还是按整篇计分会不会改写结论。
- 攻击arXiv 2610.01365
ReGap：无需真实隐私数据即可通过微调重新提取模型隐私关联
提出 ReGap，用自生成伪监督微调恢复模型中的隐私关联
- arXiv
- 2610.01365
- 发表
- 场景
- 模型与 API
- 被测模型
- GPT-2 Small、GPT-2 Medium、GPT-2 Large 等6个
摘要提出无真实私有监督的恢复攻击 ReGap，实验显示微调可通过自生成数据唤醒模型潜在隐私关联，突显后适应隐私风险。
- 攻击arXiv 2609.35699
论文：蒸馏防御在蒸馏后强化学习下易被攻破
提出用 API 推理摘要重建轨迹再蒸馏加强化学习，攻破蒸馏防御
- arXiv
- 2609.35699
- 发表
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Qwen2.5-0.5B、Qwen2.5-1.5B、Qwen2.5-3B 等12个
摘要更现实的蒸馏攻击是蒸馏后再 RL。
这篇工作修订蒸馏攻击的威胁模型：攻击者经合法 API 收集闭源推理数据，先蒸馏自有模型，再做强化学习。作者认为只在蒸馏后评估防御，会漏掉后续 RL，从而高估防御。
- 攻击arXiv 2609.33985
研究：众包微调数据投毒可放大专有指令抽取
提出主题锚点投毒，放大众包微调后的专有指令提取
- arXiv
- 2609.33985
- 发表
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Qwen2.5-7B-Instruct、Qwen2.5-14B-Instruct、Llama-3.1-8B-Instruct 等4个
摘要论文提出基于主题锚点的数据中毒攻击，证明低比例的中毒样本可在黑盒条件下隐蔽放大微调指令泄漏。
- 攻击arXiv 2609.04382
研究揭示 split-LLM 训练中返回梯度泄露真实行，前向隐私门仍通过
揭示拆分训练返回梯度以零支撑暴露诱饵行并泄露训练内容
- arXiv
- 2609.04382
- 发表
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Qwen3-0.6B、35B-A3B
- 攻击提取与窃取
摘要论文揭示拆分训练中反向梯度零支撑完全暴露诱饵行，联合视图突破门控，裁剪加噪可有效缓解。
这是一项关于双节点大语言模型拆分训练系统的系统安全案例研究，揭示了评估工具遗漏反向信道所导致的静默隐私失效。
- 攻击arXiv 2608.09867
研究者利用加密推理块跨模型兼容性窃取专有 LLM 推理链
利用加密思维块的跨模型重放，诱导弱模型逐字转写专有推理链
- arXiv
- 2608.09867
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Claude Opus 4.8、Claude Sonnet 4.6、Claude Haiku 4.5 等13个
摘要论文揭示了客户端加密思维块跨模型互换漏洞，提出了低成本提取方法并给出防御方案。
- 攻击arXiv 2604.01039
评估与加固 LLM 系统指令以抵御编码攻击提取
用编码与结构化请求抽取系统指令，并用 CoT 改写加固
- arXiv
- 2604.01039
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4.1-mini、GPT-3.5-turbo、Gemini-2.5-flash 等7个
摘要编码式请求可在直接拒答后引出系统指令。
这项工作评测并加固 LLM 系统指令在编码式抽取下的保密性。作者关心的是：直接抽取已被拒绝时，把同一请求改写成格式化或编码任务，模型是否仍交出受保护内容。
- 攻击arXiv 2601.21233
Just Ask：好奇的代码 Agent 揭示前沿 LLM 的系统提示词
提出 JustAsk，用在线技能选择提取模型系统提示词
- arXiv
- 2601.21233
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- anthropic/claude-opus-4.5、openai/gpt-5.2-codex、GPT-5.2 等19个
- 攻击arXiv 2512.16059
ContextLeak：审计私有上下文学习方法的隐私泄露
提出 ContextLeak，用金丝雀成员推断审计私有 ICL 泄漏
- arXiv
- 2512.16059
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Llama3.3-70b、Qwen2.5-72b、GPT-4.1 等6个
- 攻击提取与窃取
摘要ContextLeak 审计私有 ICL 的 worst-case 泄漏。
ContextLeak 是一套用成员推断审计私有 ICL 的框架，目标是给 worst-case 泄漏一个经验下界，而不是只引用理论 ε。
- 攻击arXiv 2509.09488
研究者提出 SeedSnitch 与 PromptPirate，利用种子漏洞窃取扩散模型提示词
提出 SeedSnitch 与 PromptPirate，恢复种子后窃取扩散提示词
- arXiv
- 2509.09488
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Stable Diffusion 3.5 Large、Stable Diffusion 3.5 Medium、Stable Diffusion 3.5 Turbo 等4个
已经到底了