跳到正文
10月12日 · 周一

全部论文

找到 279篇
筛选2

攻击类型

越狱252提示注入244投毒与后门154模型篡改35提取与窃取81检测规避75拒绝服务10恶意使用27

攻击技术

梯度与表征优化17自动化搜索48多轮渐进26编码与混淆38角色扮演与说服21对话结构操控10推理链操控6跨模态载荷32针对防御10

模型自身风险

欺骗与谋划4失准与价值偏离3拒答失当9幻觉与编造3

防御类型

模型加固25推理时干预17检测与过滤27指令与数据隔离11权限与审批5监控与审计14

影响

有害内容221越权操作21数据与隐私泄露10输出被操纵11监督失效5

系统形态

模型与 API222LLM 应用6AI Agent51coding agent12science agent3web agent4多智能体4

攻击者权限

黑盒110灰盒4白盒30无盒（离线迁移）3

攻击面/入口

用户输入258文档与消息3工具返回17工具与技能描述5代码仓库与依赖4Agent 间消息3图像与音视频54训练数据4权重与梯度7

层

提示层161模型层45应用层53训练与数据层19

系统组件

MCP 与技能3记忆3RAG4护栏与评审58监控器17推理链14权限与沙箱6微调与开源权重5视觉36音频13图像生成22多模态70
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 261篇还没打标签，不在筛选结果里。
攻击类型：越狱攻击类型：恶意使用清除全部

另有261篇论文还没打上分类标签，暂不在筛选结果里。

  2. 防御arXiv 2610.13333

    LETHE：通过价值多样性坍缩防御未授权的图像到视频生成

    提出 LETHE，扰动参考图以阻止未授权图生视频

    arXiv
    2610.13333
    发表
    层
    提示层
    场景
    模型与 API
    被测模型
    Wan2.1-I2V-14B、CogVideoX-5B-I2V、LightX2V 等6个
    摘要LETHE 压低参考 value 多样性并吸引注意力，使受保护图难以被忠实动画化。

    LETHE 是一种发布前加到个人图像上的保护扰动，用来对付未经同意的图生视频。

    深度解读完整解读
  3. 可解释性arXiv 2610.13078

    注意力看见，MLP 拒绝：追踪 LLM 中从注意力到 MLP 的安全路径

    追踪注意力识别有害性到 MLP 拒绝写入的通路并提出 Sentinel

    arXiv
    2610.13078
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct、Qwen3-8B-Instruct 等18个
    摘要注意力更新更易读出有害性，MLP 更新写入拒绝，Sentinel 用两路信号路由提醒。

    作者把对齐模型的越狱和过度拒绝，改写成残差流上从识别到写入的通路问题，并据此做解码前的条件提醒。

    深度解读完整解读
  5. 评测与基准arXiv 2610.11766

    研究提出意图恢复率作为 LLM 安全评测的补充指标

    提出 IRIS，用意图恢复率区分遮蔽越狱下无害输出的原因

    arXiv
    2610.11766
    发表
    层
    提示层
    场景
    模型与 API
    被测模型
    GPT-4o、Claude Sonnet 4.5、Claude Opus 4.5 等6个
    摘要无害输出的证据权重取决于任务是否被恢复。

    IRIS 把意图恢复当作中间信号，用来解释意图遮蔽提示下为何没有出现有害协助。

    深度解读完整解读
  6. 评测与基准arXiv 2610.11112

    EpiReal-Bench：商用图像生成模型虚假声明红队基准

    构建 EpiReal-Bench，评测图像生成器将虚假主张渲染为可信证据

    arXiv
    2610.11112
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    GPT-Image-2、Nano Banana 2、Grok Imagen 2.0 等4个
    摘要四款商用图像模型能把假主张画成可信证据。

    EpiReal-Bench 用来量商用图像生成器会不会把虚假现实主张画成可信视觉证据。

    深度解读完整解读
  7. 防御arXiv 2610.11005

    研究：叙事包装可跨语言绕过 LLM 拒答

    提出 GUISE 基准与 AXIS 训练，防御叙事包装越狱

    arXiv
    2610.11005
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    Qwen3-1.7B、Qwen3-4B、GLM-4-9B
    摘要GUISE 分开测包装与语域。

    作者测量叙事包装下的拒答失效，并训练一个在未见包装上拒绝、同时仍回答同风格良性请求的适配器。问题是：安全对齐模型拒绝直说的有害请求，却回答嵌进角色或叙事里的同一请求。文言文被用来把语域和包装拆开。

    深度解读完整解读
  8. 评测与基准arXiv 2610.10276

    PatchBench 提出激活补丁局部评测协议，揭示越狱修复的附带损伤

    提出 PatchBench-Local 协议，评测激活补丁修复越狱的局部附带损伤

    arXiv
    2610.10276
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Qwen2.5-3B-Instruct、Qwen2.5-14B-Instruct、gemma-3-4b-it 等8个

    摘要论文提出 PatchBench 与局部评估协议，揭示了激活补丁在全局能力无损下仍存局部良性退化。

    深度解读完整解读
  11. 防御arXiv 2610.09703

    研究揭示 Token-Pruning 对 VLM 安全性的影响并提出 SAP 缓解机制

    提出 Safety-Aware Pruning，缓解视觉 token 剪枝放大的多模态越狱

    arXiv
    2610.09703
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    LLaVA-1.5-7B
    摘要剪枝去掉背景 token 后注意力塌向恶意前景。

    这篇工作评估视觉 token 剪枝如何改变 VLM 在多模态越狱下的行为，并给出推理时防御 SAP。

    深度解读完整解读
  12. 防御arXiv 2610.09167

    Persist-3 用顺序检验识别未见越狱来源，提升 MTK 与 Prompt Guard 2 防御效果

    提出 Persist-3 序贯检验，从隐藏表示识别未见越狱源

    arXiv
    2610.09167
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Llama2-7B-chat、Qwen2.5-7B-Instruct、Gemma-2-9B-it 等4个
    摘要Persist-3 用有限窗口检验攻击流是否超出已知越狱源，检出率低于全历史 SR-DKW，但决策只依赖最近观测。

    Persist-3 是一个有限记忆的序贯检测器，用来判断攻击表示流是否已经不能由任何一个已知越狱源解释。。

    深度解读完整解读
  13. 评测与基准arXiv 2610.09033

    研究发布 ASRD 数据集，评测五款开源模型在非规范输入下的安全表现

    arXiv
    2610.09033
    发表
    层
    提示层
    场景
    模型与 API
    被测模型
    Gemma 2 9B、Gemma 3 4B、Llama 3.1 8B 等6个
    摘要五模型、七族表面形式的四态评测里，低有害遵从不等于读懂后的安全处理。

    ASRD 用四态标签检查五个开源模型如何处理非规范表面上的有害请求。

    深度解读完整解读
  14. 防御arXiv 2610.08678

    研究揭示投机解码的安全代价并提出 SecureSD 加固方法

    测量有损投机解码的安全代价，并提出 SecureSD 收紧早期验证

    arXiv
    2610.08678
    发表
    层
    模型层
    场景
    AI Agent
    攻击者
    黑盒
    被测模型
    Qwen3-8B、Qwen3-32B、Llama-3.1-8B-Instruct 等6个
    摘要有损推测解码的早期偏离更快抬高越狱与注入风险。

    作者研究有损推测解码在换取速度时，是否会比效用更快地损害越狱与提示注入防护，并给出按位置校正的 SecureSD。

    深度解读完整解读
  15. 防御arXiv 2610.08316

    MARCO：面向蛋白质生成模型的放射性水印框架

    提出 MARCO 放射性水印，冻结蛋白质生成模型并在去噪时嵌入签名

    arXiv
    2610.08316
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    RFdiffusion、ESMFold、Chroma 等6个
    摘要MARCO 在冻结的 PGM 上去噪时嵌构象水印，作者称能兼顾保真与抗扰动，并使盗版模型继承水印。

    MARCO 是加在蛋白质生成模型推理过程上的构象水印，用来标记知识产权，并为可能的生物安全滥用保留可追溯信号。作者还把它说成数字权利管理工具，以及符合生物武器公约的数字监管链。问题在于：专有 PGM 的三维输出可能被拿去训练盗版模型，也可能在来源被抹掉后绕过筛查。

    深度解读完整解读
  16. 防御arXiv 2610.07532

    LADE：用暗知识中的模型无关潜在安全信号防御 LLM 越狱

    提出 LADE，用首 token 暗知识在生成前过滤越狱查询

    arXiv
    2610.07532
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    白盒
    被测模型
    Llama-2-7B-Chat、Llama-3-8B-Instruct、Qwen2-7B-Instruct 等13个
    摘要作者用 LADE 在生成前过滤有害查询，并称八个模型中六个的 Held-out 平均最好。

    LADE 是一种只读首 token 输出概率的防御，用来在生成前挡下可能引出有害回复的查询。

    深度解读完整解读
  17. 防御arXiv 2610.07276

    SAFESHIELD：小语言模型部署时安全的决策组织框架

    提出 SAFESHIELD，组织小语言模型部署时的安全决策

    arXiv
    2610.07276
    发表
    层
    应用层
    场景
    LLM 应用
    被测模型
    Qwen3-4B-Instruct
    摘要SAFESHIELD 用可审计决策轨迹组织 SLM 部署时的四项安全决策，并报告协调依赖影响端到端结果。

    SAFESHIELD 是面向小语言模型的部署时安全框架，把运行时安全从单项审核改写成可检查的决策过程。

    深度解读完整解读
  19. 攻击arXiv 2610.06670

    研究者提出 Reward Stealing Attack，从对齐模型行为反推安全奖励实施攻击

    提出 ReSA，从对齐模型行为恢复安全奖励并在解码时反转

    arXiv
    2610.06670
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    白盒、灰盒
    被测模型
    Llama3.1-8B-Instruct、Gemma-7B-Instruct、Qwen2.5-7B-Instruct 等9个
    摘要ReSA 用最大熵 IRL 从对齐模型行为恢复代理安全奖励，并在解码时反转以诱导有害输出。

    ReSA 是一种对抗攻击：从对齐模型的可观察行为恢复代理安全奖励，再在解码时把该奖励反过来用。。

    深度解读完整解读
加载更多