攻击arXiv 2610.09981
研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题
提出利用路由元数据推断敏感话题的侧信道攻击
- arXiv
- 2610.09981
- 发表
- 场景
- LLM 应用
- 被测模型
- RouteLLM (BERT router)、notdiamond-0001、Vela (vLLM Semantic Router)
摘要论文揭示并测量了 LLM 路由决策在无文本日志中的敏感话题泄露，验证了按类别公平性防御的有效性与边界。
- 攻击arXiv 2610.06848
TranScope：利用 CPU 性能计数器对 Transformer 做成员推断攻击
提出 TRANSCOPE，用 CPU 硬件计数器推断训练集成员
- arXiv
- 2610.06848
- 发表
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- BERT (4.4M-340M)、ViT (22M-307M)、Pythia (70M-2.8B) 等5个
摘要TRANSCOPE 揭示了分词器在嵌入表引发的硬件访问局部性差异，证实微架构计数器可突破恒定时间与置信度遮蔽防御。
- 攻击arXiv 2610.05894
研究者提出闭环偏见注入攻击
提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见
- arXiv
- 2610.05894
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 灰盒
- 被测模型
- LLaDA-8B-Instruct、Dream-v0-Instruct-7B、LLaDA-MoE-7B-A1B-Instruct
摘要通过去噪中间概率反馈动态调节残差流转向，证明扩散语言模型在推理服务栈中存在闭环偏见注入脆弱性。
- 攻击arXiv 2610.01062
Kernelized Activation Steering：将激活引导推广到再生核希尔伯特空间的新框架
提出核化激活引导 KAS，在推理时自适应转向激活以诱导越狱
- arXiv
- 2610.01062
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-7B-Instruct、Gemma-2-9B-IT、Llama-3.1-8B-Instruct 等4个
摘要KAS 用核梯度做局部自适应转向，并在线性核下恢复 DiM。
Kernelized Activation Steering（KAS） 把推理时的激活转向写成核空间中的优化，使更新随当前激活相对源、目标参考集的位置而变化。
- 攻击arXiv 2609.39788
研究：多智能体系统潜在通信链路可被训练用于提升有害顺从
提出只训练或篡改多智能体潜在通信链路来提高有害遵从
- arXiv
- 2609.39788
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- Llama-3.2-3B-Instruct、Qwen2.5-3B-Instruct、Gemma-3-1B-IT 等7个
摘要潜在链路本身即可改变冻结智能体系统的安全，奖励既能攻击也能修复。
学习得到的潜在通信链路会改变由冻结、对齐智能体组成的系统是否遵从有害请求。。作者研究三种拓扑：双智能体、三级顺序协作，以及双专家加汇总。
- 攻击arXiv 2608.17485
KeyPooling：测量 LLM API 中继路径在何处瓦解提示缓存隔离
提出 KeyPooling，测量 API 中继何处瓦解提示缓存隔离
- arXiv
- 2608.17485
- 发表
- 场景
- 模型与 API
- 被测模型
- grok-4-fast-non-reasoning、grok-4-1-fast-non-reasoning、grok-3 等11个
摘要共享上游凭证使中继客户进入同一缓存域，保留身份或独立 principal 可分开。
KeyPooling测量 LLM API 中继在何处丢掉客户身份，使 prompt cache 不再按下游客户隔离。
- 攻击arXiv 2608.07430
研究者提出 SN-Guided Diffusion，利用扩散大模型安全神经元实现离线越狱
提出 SN-Guided Diffusion，利用安全神经元实现离线越狱
- arXiv
- 2608.07430
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-7B-Instruct、LLaDA-8B-Instruct、Dream-Instruct-7B 等15个
摘要论文揭示了扩散语言模型对自回归安全神经元的继承性，并提出纯离线黑盒越狱框架 SN-Guided Diffusion。
论文系统评估了扩散大语言模型（DLLM）在安全对齐中的双重角色——既作为白盒攻击目标，又作为黑盒越狱生成的对抗工具。
- 攻击arXiv 2605.08513
Apple 研究者发现抑制单个神经元即可绕过 LLM 安全对齐
提出单神经元激活干预，抑制拒答神经元或放大概念神经元以绕过安全对齐
- arXiv
- 2605.08513
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Qwen3-1.7B、Qwen3-4B、Qwen3-8B 等11个
摘要作者称大模型安全由拒答门控与概念底座构成，干预单个神经元足以双向击穿对齐，且拒答神经元在预训练阶段已然存在。
- 攻击arXiv 2603.11132
WebWeaver：以隐蔽的上下文推断攻破 LLM 多智能体系统拓扑机密性
提出 WebWeaver ，只攻陷单个智能体并从对话上下文恢复多智能体通信拓扑
- arXiv
- 2603.11132
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- Llama 3.1 8B、Qwen 2.5 7B、Mistral NeMo 12B 等6个
摘要WebWeaver 用上下文推断拓扑。
WebWeaver 是针对 LLM-MAS 通信拓扑机密性的推断攻击：只控制一个任意智能体，从对话上下文恢复全图，而不是查询智能体 ID。
- 攻击arXiv 2603.10080
Amnesia：针对大语言模型特定语义层的对抗性激活引导
提出 Amnesia 激活引导攻击，推理时绕过模型安全拒答
- arXiv
- 2603.10080
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Llama-2-7B-Chat、Llama-3-8B-Instruct、Qwen-7B-Chat
- 攻击arXiv 2602.20595
OptiLeak：在多租户 LLM 服务中用强化学习高效重建提示词
提出 OPTILEAK，经 KV 缓存侧信道逐 token 重建他人提示
- arXiv
- 2602.20595
- 发表
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Qwen-2.5-3B-Instruct、Qwen-2.5-7B-Instruct、Qwen-2.5-14B-Instruct 等4个
摘要OPTILEAK 用 SFT 与 hard-token DPO 降低每 token 请求数，作者称缓存提示泄露的风险高于先前报告。
- 攻击arXiv 2602.05444
用于 LLM 鲁棒越狱攻击的因果前门调整
提出 CFA2，用 SAE 定位防御方向并正交化输出权重实现越狱
- arXiv
- 2602.05444
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Llama 3.1 8B Instruct、Llama2 7B Chat、Mistral 7B Instruct 等4个
- 攻击arXiv 2601.15801
在大语言模型中通过全局优化归因与利用安全向量
提出 GOSV，全局优化定位安全注意力头并在推理时重贴激活越狱
- arXiv
- 2601.15801
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Llama-2-7b-chat、Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct 等4个
已经到底了